Sdílet prostřednictvím

Jak používat zabezpečený účet úložiště se službou Azure Functions

  • Článek

V tomto článku se dozvíte, jak připojit aplikaci funkcí k zabezpečenému účtu úložiště. Podrobný kurz vytvoření aplikace funkcí s omezeními příchozího a odchozího přístupu najdete v kurzu Integrace s virtuální sítí . Další informace o azure Functions a sítích najdete v tématu Možnosti sítí Azure Functions.

Omezení účtu úložiště na virtuální síť

Když vytvoříte aplikaci funkcí, vytvoříte nový účet úložiště nebo propojíte s existujícím účtem. V současné době podporují vytváření aplikací funkcí s existujícím zabezpečeným účtem úložiště jenom nasazení azure Portal, nasazení šablon ARM a nasazení Bicep.

Poznámka:

Zabezpečené účty úložiště se podporují pro všechny úrovně plánu Dedicated (App Service) a pro plán Elastic Premium. Podporují se také v plánu Flex Consumption. Plán Consumption nepodporuje virtuální sítě.

Seznam všech omezení účtů úložiště najdete v tématu Požadavky na účet úložiště.

Zabezpečené úložiště během vytváření aplikace funkcí

Můžete vytvořit aplikaci funkcí spolu s novým účtem úložiště, který je zabezpečený za virtuální sítí. Následující části ukazují, jak tyto prostředky vytvořit pomocí webu Azure Portal nebo pomocí šablon nasazení.

Dokončete kroky v části Vytvoření aplikace funkcí v plánu Premium. V této části kurzu virtuální sítě se dozvíte, jak vytvořit aplikaci funkcí, která se připojuje k úložišti přes privátní koncové body.

Poznámka:

Když vytvoříte aplikaci funkcí na webu Azure Portal, můžete také zvolit existující zabezpečený účet úložiště na kartě Úložiště . Musíte ale nakonfigurovat příslušné sítě v aplikaci funkcí, aby se mohl připojit přes virtuální síť použitou k zabezpečení účtu úložiště. Pokud nemáte oprávnění ke konfiguraci sítí nebo jste síť ještě plně nepřipravili, vyberte Konfigurovat sítě po vytvoření na kartě Sítě. Sítě pro novou aplikaci funkcí můžete nakonfigurovat na portálu v části Sítě nastavení>.

Zabezpečené úložiště pro existující aplikaci funkcí

Pokud máte existující aplikaci funkcí, můžete přímo nakonfigurovat sítě na účtu úložiště, který aplikace používá. Výsledkem tohoto procesu je ale, že aplikace funkcí se během konfigurace sítě a restartování aplikace funkcí vypne.

Pokud chcete minimalizovat výpadky, můžete místo toho vyměnit existující účet úložiště za nový zabezpečený účet úložiště.

1. Povolení integrace virtuální sítě

Předpokladem je povolení integrace virtuální sítě pro vaši aplikaci funkcí:

  1. Zvolte aplikaci funkcí s účtem úložiště, který nemá povolené koncové body služby ani privátní koncové body.

  2. Povolte integraci virtuální sítě pro vaši aplikaci funkcí.

2. Vytvoření zabezpečeného účtu úložiště

Nastavení zabezpečeného účtu úložiště pro vaši aplikaci funkcí:

  1. Vytvořte druhý účet úložiště. Tento účet úložiště je zabezpečený účet úložiště, který bude vaše aplikace funkcí používat místo původního nezabezpečeného účtu úložiště. Můžete také použít existující účet úložiště, který služba Functions ještě nepoužívá.

  2. Uložte připojovací řetězec pro tento účet úložiště, abyste ho mohli použít později.

  3. Vytvořte sdílenou složku v novém účtu úložiště. Pro usnadnění používání můžete použít stejný název sdílené složky z původního účtu úložiště. Pokud použijete nový název sdílené složky, musíte aktualizovat nastavení aplikace.

  4. Nový účet úložiště zabezpečte jedním z následujících způsobů:

    • Vytvoření privátního koncového bodu Při nastavování připojení privátního koncového bodu vytvořte privátní koncové body pro file zdroje a blob podsourcy. Pro Durable Functions musíte také vytvářet queue a table podsourcy přístupné prostřednictvím privátních koncových bodů. Pokud používáte vlastní nebo místní server DNS (Domain Name System), nakonfigurujte server DNS tak, aby se přeložil na nové privátní koncové body.

    • Omezte provoz na konkrétní podsítě. Ujistěte se, že je vaše aplikace funkcí integrovaná se sítí s povolenou podsítí a že má podsíť koncový bod Microsoft.Storageslužby.

  5. Zkopírujte obsah souboru a objektu blob z aktuálního účtu úložiště používaného aplikací funkcí do nově zabezpečeného účtu úložiště a sdílené složky. AzCopy a Průzkumník služby Azure Storage jsou běžné metody. Pokud používáte Průzkumník služby Azure Storage, možná budete muset povolit ip adrese klienta přístup k bráně firewall vašeho účtu úložiště.

Teď jste připraveni nakonfigurovat aplikaci funkcí tak, aby komunikovali s nově zabezpečeným účtem úložiště.

3. Povolení směrování aplikací a konfigurace

Poznámka:

Tyto kroky konfigurace se vyžadují jenom pro plány hostování Elastic Premium a Dedicated (App Service). Plán Flex Consumption nevyžaduje nastavení lokality ke konfiguraci sítí.

Teď jste připraveni směrovat provoz vaší aplikace funkcí tak, aby procházel virtuální sítí:

  1. Povolte směrování aplikací pro směrování provozu vaší aplikace do virtuální sítě:

    1. V aplikaci funkcí rozbalte Nastavení a pak vyberte Sítě. Na stránce Sítě v části Konfigurace odchozího provozu vyberte podsíť přidruženou k integraci virtuální sítě.

    2. Na nové stránce v části Směrování aplikace vyberte Odchozí internetový provoz.

  2. Povolte směrování sdílení obsahu, aby vaše aplikace funkcí mohla komunikovat s vaším novým účtem úložiště prostřednictvím své virtuální sítě. Na stejné stránce jako v předchozím kroku v části Směrování konfigurace vyberte Úložiště obsahu.

Poznámka:

Při směrování do sdílené složky obsahu v účtu úložiště sdíleném více aplikacemi funkcí ve stejném plánu musíte věnovat zvláštní pozornost. Další informace najdete v tématu Konzistentní směrování prostřednictvím virtuálních sítí v článku Důležité informace o úložišti.

4. Aktualizace nastavení aplikace

Nakonec musíte aktualizovat nastavení aplikace tak, aby odkazovat na nový zabezpečený účet úložiště:

  1. V aplikaci funkcí rozbalte Nastavení a pak vyberte Proměnné prostředí.

  2. Na kartě Nastavení aplikace aktualizujte následující nastavení tak, že vyberete jednotlivá nastavení, upravíte ho a pak vyberete Použít:

    Název nastavení Hodnota Komentář
    AzureWebJobsStorage Připojovací řetězec úložiště Použijte připojovací řetězec pro nový zabezpečený účet úložiště, který jste si uložili dříve.
    WEBSITE_CONTENTAZUREFILECONNECTIONSTRING Připojovací řetězec úložiště Použijte připojovací řetězec pro nový zabezpečený účet úložiště, který jste si uložili dříve.
    WEBSITE_CONTENTSHARE Sdílená složka Použijte název sdílené složky vytvořené v zabezpečeném účtu úložiště, ve kterém se nacházejí soubory nasazení projektu.

  3. Vyberte Použít a potom potvrďte uložení nového nastavení aplikace do aplikace funkcí.

    Aplikace funkcí se restartuje.

Po restartování aplikace funkcí se připojí k zabezpečenému účtu úložiště.

Další kroky

Možnosti sítí Azure Functions