教學課程 - 如何使用 cloud-init 在首次開機時於 Azure 中自訂 Linux 虛擬機器
適用於：✔️ Linux VM ✔️ 彈性擴展集
在先前的教學課程中，您學到了如何以 SSH 連線到虛擬機器 (VM) 並手動安裝 NGINX。 若要以快速且一致的方式建立 VM，您通常需要借助某種形式的自動化。 在初次開機時自訂 VM 的常見方法是使用 cloud-init (英文)。 在本教學課程中，您將了解如何：
- 建立 Cloud-init 組態檔
- 建立 VM 來使用 Cloud-init 檔案
- 在建立 VM 之後，檢視執行中的 Node.js 應用程式
- 使用 Key Vault 安全地儲存憑證
- 使用 Cloud-init 來安全地自動部署 NGINX
如果您選擇在本機安裝和使用 CLI，本教學課程會要求您執行 Azure CLI 2.0.30 版或更新版本。 執行 az --version 以尋找版本。 如果您需要安裝或升級，請參閱安裝 Azure CLI。
Cloud-Init 概觀
Cloud-init (英文) 是在 Linux VM 初次開機時，廣泛用來自訂它們的方法。 您可以使用 cloud-init 來安裝封裝和寫入檔案，或者設定使用者和安全性。 當 cloud-init 在初次開機程序期間執行時，不需要使用任何額外的步驟或必要的代理程式來套用您的組態。
Cloud-init 也適用於散發套件。 例如，您不使用 apt-get install 或 yum install 來安裝套件。 您可以改為定義要安裝的套件清單。 Cloud-init 會針對您選取的散發套件自動使用原生的套件管理工具。
我們正在與合作夥伴合作，以期在他們提供給 Azure 的映像中包含和使用 cloud-init。 如需每個發佈的 cloud-init 支援詳細資訊，請參閱 Azure中 VM 的 cloud-init 支援。
建立 Cloud-init 組態檔
若要查看作用中的 cloud-init，請建立 VM 來安裝 NGINX 並執行簡單 'Hello World' Node.js 應用程式。 下列 cloud-init 組態會安裝必要的封裝、建立 Node.js 應用程式，然後初始化並啟動應用程式。
在 Bash 提示字元或 Cloud Shell 中，建立名為 cloud-init.txt 的檔案，並貼上下列組態。 例如，輸入 sensible-editor cloud-init.txt 可建立檔案，並查看可用的編輯器清單。 請確定已正確複製整個 cloud-init 檔案，特別是第一行：
#cloud-config
package_upgrade: true
packages:
- nginx
- nodejs
- npm
write_files:
- owner: www-data:www-data
path: /etc/nginx/sites-available/default
defer: true
content: |
server {
listen 80;
location / {
proxy_pass http://localhost:3000;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection keep-alive;
proxy_set_header Host $host;
proxy_cache_bypass $http_upgrade;
}
}
- owner: azureuser:azureuser
path: /home/azureuser/myapp/index.js
defer: true
content: |
var express = require('express')
var app = express()
var os = require('os');
app.get('/', function (req, res) {
res.send('Hello World from host ' + os.hostname() + '!')
})
app.listen(3000, function () {
console.log('Hello world app listening on port 3000!')
})
runcmd:
- service nginx restart
- cd "/home/azureuser/myapp"
- npm init
- npm install express -y
- nodejs index.js
如需 Cloud-init 組態選項的詳細資訊，請參閱 Cloud-init 組態範例 \(英文\)。
建立虛擬機器
建立 VM 之前，請先使用 az group create 來建立資源群組。 下列範例會在 eastus 位置建立名為 myResourceGroupAutomate 的資源群組：
az group create --name myResourceGroupAutomate --location eastus
現在，使用 az vm create 建立 VM。 使用 --custom-data 參數以傳入 cloud-init 組態檔。 如果您將檔案儲存於目前工作目錄之外的位置，請提供 cloud-init.txt 組態的完整路徑。 下列範例會建立名為 myVM 的 VM。
az vm create \
--resource-group myResourceGroupAutomate \
--name myAutomatedVM \
--image Ubuntu2204 \
--admin-username azureuser \
--generate-ssh-keys \
--custom-data cloud-init.txt
系統需要花幾分鐘的時間來建立 VM、安裝封裝和啟動應用程式。 在 Azure CLI 將您返回提示字元之後，背景工作會繼續執行。 可能需要再等候幾分鐘，才能存取應用程式。 建立 VM 之後，請注意 Azure CLI 所顯示的 publicIpAddress。 此位址是用來透過 Web 瀏覽器存取 Node.js 應用程式。
若要讓 Web 流量到達您的 VM，請使用 az vm open-port 從網際網路開啟通訊埠 80：
az vm open-port --port 80 --resource-group myResourceGroupAutomate --name myAutomatedVM
測試 Web 應用程式
現在，您可以開啟 Web 瀏覽器，並在網址列輸入 http://<publicIpAddress>。 提供您自己從 VM 建立程序中取得的公用 IP 位址。 您的 Node.js 應用程式即會顯示，如下列範例所示：
從 Key Vault 插入憑證
您可以選擇性閱讀這一節，其中示範如何安全地將憑證儲存在 Azure Key Vault 中，並在 VM 部署期間插入它們。 不需使用包含憑證的自訂映像內建中，此程序可確保會在初次開機時將最新憑證插入至 VM。 過程中，憑證絕對不會離開 Azure 平台，或在指令碼、命令列記錄或範本中公開。
Azure Key Vault 會保護密碼編譯金鑰和祕密，像是憑證或密碼。 Key Vault 有助於簡化金鑰管理程序，並可讓您控管存取和加密資料的金鑰。 此案例會引進一些 Key Vault 概念來建立和使用憑證，但並不是如何使用 Key Vault 的詳盡概觀。
下列步驟將示範如何：
- 建立 Azure Key Vault
- 產生或上傳憑證至 Key Vault
- 從憑證建立祕密以插入至 VM
- 建立 VM 並插入憑證
建立 Azure Key Vault
首先，使用 az keyvault create 建立 Key Vault，並加以啟用以供您在部署 VM 時使用。 每個 Key Vault 需要唯一的名稱，而且應該全部小寫。 使用您自己唯一的 Key Vault 名稱來取代下列範例中的 mykeyvault：
keyvault_name=mykeyvault
az keyvault create \
--resource-group myResourceGroupAutomate \
--name $keyvault_name \
--enabled-for-deployment
產生憑證並儲存於 Key Vault
若要在生產環境中使用，您應該使用 az keyvault certificate import 來匯入由受信任的提供者所簽署的有效憑證。 在本教學課程中，下列範例示範如何透過使用預設憑證原則的 az keyvault certificate create 來產生自我簽署憑證：
az keyvault certificate create \
--vault-name $keyvault_name \
--name mycert \
--policy "$(az keyvault certificate get-default-policy --output json)"
準備要與 VM 搭配使用的憑證
若要在 VM 建立程序期間使用憑證，使用 az keyvault secret list-versions 來取得憑證的識別碼。 VM 需要特定格式的憑證，才能在開機時將其插入，因此請將憑證轉換為 az vm secret format。 下列範例會將這些命令的輸出指派給變數，以方便在後續步驟中使用：
secret=$(az keyvault secret list-versions \
--vault-name $keyvault_name \
--name mycert \
--query "[?attributes.enabled].id" --output tsv)
vm_secret=$(az vm secret format --secret "$secret" --output json)
建立 Cloud-init 組態來保護 NGINX
當您建立 VM 時，憑證和金鑰會儲存在受保護的 /var/lib/waagent/ 目錄中。 若要將憑證自動新增至 VM 並設定 NGINX，您可以從上一個範例中使用更新的 cloud-init 組態。
建立名為 cloud-init-secured.txt 的檔案，並貼上下列組態。 如果您使用 Cloud Shell，請在該處而非在本機電腦上建立 cloud-init 組態檔。 例如，輸入 sensible-editor cloud-init-secured.txt 可建立檔案，並查看可用的編輯器清單。 請確定已正確複製整個 cloud-init 檔案，特別是第一行：
#cloud-config
package_upgrade: true
packages:
- nginx
- nodejs
- npm
write_files:
- owner: www-data:www-data
path: /etc/nginx/sites-available/default
defer: true
content: |
server {
listen 80;
listen 443 ssl;
ssl_certificate /etc/nginx/ssl/mycert.cert;
ssl_certificate_key /etc/nginx/ssl/mycert.prv;
location / {
proxy_pass http://localhost:3000;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection keep-alive;
proxy_set_header Host $host;
proxy_cache_bypass $http_upgrade;
}
}
- owner: azureuser:azureuser
path: /home/azureuser/myapp/index.js
defer: true
content: |
var express = require('express')
var app = express()
var os = require('os');
app.get('/', function (req, res) {
res.send('Hello World from host ' + os.hostname() + '!')
})
app.listen(3000, function () {
console.log('Hello world app listening on port 3000!')
})
runcmd:
- secretsname=$(find /var/lib/waagent/ -name "*.prv" | cut -c -57)
- mkdir /etc/nginx/ssl
- cp $secretsname.crt /etc/nginx/ssl/mycert.cert
- cp $secretsname.prv /etc/nginx/ssl/mycert.prv
- service nginx restart
- cd "/home/azureuser/myapp"
- npm init
- npm install express -y
- nodejs index.js
建立安全的 VM
現在，使用 az vm create 建立 VM。 使用 --secrets 參數，從 Key Vault 插入憑證資料。 如同先前範例，您也要使用 --custom-data 參數來傳入 cloud-init 組態：
az vm create \
--resource-group myResourceGroupAutomate \
--name myVMWithCerts \
--image Ubuntu2204 \
--admin-username azureuser \
--generate-ssh-keys \
--custom-data cloud-init-secured.txt \
--secrets "$vm_secret"
系統需要花幾分鐘的時間來建立 VM、安裝封裝和啟動應用程式。 在 Azure CLI 將您返回提示字元之後，背景工作會繼續執行。 可能需要再等候幾分鐘，才能存取應用程式。 建立 VM 之後，請注意 Azure CLI 所顯示的 publicIpAddress。 此位址是用來透過 Web 瀏覽器存取 Node.js 應用程式。
若要讓 Web 流量安全到達您的 VM，請使用 az vm open-port 從網際網路開啟通訊埠 443：
az vm open-port \
--resource-group myResourceGroupAutomate \
--name myVMWithCerts \
--port 443
測試安全的 Web 應用程式
現在，您可以開啟 Web 瀏覽器，並在網址列輸入 https://<publicIpAddress>。 提供您自己的公用 IP 位址，其已顯示在先前 VM 建立程序中的輸出中。 如果您使用自我簽署憑證，請接受安全性警告：
接著會顯示受保護的 NGINX 網站和 Node.js 應用程式，如下列範例所示：
下一步
在本教學課程中，您已在初次開機時使用 Cloud-init 來設定 VM。 您已了解如何︰
- 建立 Cloud-init 組態檔
- 建立 VM 來使用 Cloud-init 檔案
- 在建立 VM 之後，檢視執行中的 Node.js 應用程式
- 使用 Key Vault 安全地儲存憑證
- 使用 Cloud-init 來安全地自動部署 NGINX
前進至下一個教學課程，以了解如何建立自訂的 VM 映像。