你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

快速入门：使用密钥保管库加载应用程序机密

注意

从 2025 年 3 月中旬开始，基本、标准和企业计划将弃用，停用期为三年。 建议过渡到 Azure 容器应用。 有关详细信息，请参阅 Azure Spring Apps 停用公告。

从 2024 年 9 月 30 日开始，标准消耗和专用计划将弃用，六个月后将完全关闭。 建议过渡到 Azure 容器应用。 有关详细信息，请参阅将 Azure Spring Apps 标准消耗和专用计划迁移到 Azure 容器应用。

本文适用于：❌ 基本版/标准版 ✔️ 企业版

本快速入门介绍了如何使用 Azure Key Vault 为运行 Azure Spring Apps 企业计划的应用安全地加载机密。

每个应用程序都有一些用于将其连接到其环境和支持性服务的属性。 这些服务包括数据库等资源、日志记录和监视工具、消息传递平台，等等。 每种资源要求通过某种方式（通常是 URL 和凭据的形式）来查找和访问它。 此信息通常受法律保护，并且必须保密以保护客户数据。 在 Azure Spring Apps 中，可以配置应用程序以使用托管标识和 Azure 基于角色的访问控制直接将这些机密从密钥保管库加载到内存中。

先决条件

• 具有活动订阅的 Azure 帐户。 免费创建帐户。
• 了解并满足 Azure 市场中企业计划的要求部分。
• Azure CLI 版本 2.45.0 或更高版本。
• Git。
• jq
• Azure Spring Apps 企业计划扩展。 使用以下命令删除以前的版本，并安装最新的企业计划扩展。 如果以前安装了 spring-cloud 扩展，请卸载它以避免配置和版本不匹配。

  az extension add --upgrade --name spring
  az extension remove --name spring-cloud
  

• 完成以下快速入门中的步骤：
  • 使用企业计划生成应用并将其部署到 Azure Spring Apps.
  • 与 Azure Database for PostgreSQL 和 Azure Cache for Redis 集成

预配密钥保管库并存储机密

以下说明介绍如何创建密钥保管库并安全地保存应用程序机密。

1. 使用以下命令创建变量以保存资源名称。 请务必将占位符替换为你自己的值。

   export RESOURCE_GROUP=<resource-group-name>
   export KEY_VAULT_NAME=<key-vault-name>
   export POSTGRES_SERVER_NAME=<postgres-server-name>
   export POSTGRES_USERNAME=<postgres-username>
   export POSTGRES_PASSWORD=<postgres-password>
   export REDIS_CACHE_NAME=<redis-cache-name>
   export AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME=<Azure-Spring-Apps-service-instance-name>
   

2. 使用以下命令创建密钥保管库以存储应用程序机密：

   az keyvault create \
       --resource-group ${RESOURCE_GROUP} \
       --name ${KEY_VAULT_NAME}
   

3. 使用以下命令将完整的数据库服务器名称存储在密钥保管库中：

   az keyvault secret set \
       --vault-name ${KEY_VAULT_NAME} \
       --name "POSTGRES-SERVER-NAME" \
       --value "${POSTGRES_SERVER_NAME}.postgres.database.azure.com"
   

4. 使用以下命令将数据库名称存储在目录服务应用程序的密钥保管库中：

   az keyvault secret set \
       --vault-name ${KEY_VAULT_NAME} \
       --name "CATALOG-DATABASE-NAME" \
       --value "acmefit_catalog"
   

5. 使用以下命令将数据库登录凭据存储在密钥保管库中：

   az keyvault secret set \
       --vault-name ${KEY_VAULT_NAME} \
       --name "POSTGRES-LOGIN-NAME" \
       --value "${POSTGRES_USERNAME}"
   
   az keyvault secret set \
       --vault-name ${KEY_VAULT_NAME} \
       --name "POSTGRES-LOGIN-PASSWORD" \
       --value "${POSTGRES_PASSWORD}"
   

6. 使用以下命令将数据库连接字符串存储在订单服务应用程序的密钥保管库中：

   az keyvault secret set \
       --vault-name ${KEY_VAULT_NAME} \
       --name "ConnectionStrings--OrderContext" \
       --value "Server=${POSTGRES_SERVER_NAME};Database=acmefit_order;Port=5432;Ssl Mode=Require;User Id=${POSTGRES_USERNAME};Password=${POSTGRES_PASSWORD};"
   

7. 使用以下命令检索 Redis 连接属性并将其存储在密钥保管库中：

   export REDIS_HOST=$(az redis show \
       --resource-group ${RESOURCE_GROUP} \
       --name ${REDIS_CACHE_NAME} | jq -r '.hostName')
   
   export REDIS_PORT=$(az redis show \
       --resource-group ${RESOURCE_GROUP} \
       --name ${REDIS_CACHE_NAME} | jq -r '.sslPort')
   
   export REDIS_PRIMARY_KEY=$(az redis list-keys \
       --resource-group ${RESOURCE_GROUP} \
       --name ${REDIS_CACHE_NAME} | jq -r '.primaryKey')
   
   az keyvault secret set \
       --vault-name ${KEY_VAULT_NAME} \
       --name "CART-REDIS-CONNECTION-STRING" \
       --value "rediss://:${REDIS_PRIMARY_KEY}@${REDIS_HOST}:${REDIS_PORT}/0"
   

8. 如果已配置单一登录，请使用以下命令将 JSON Web 密钥 (JWK) URI 存储在密钥保管库中：

   az keyvault secret set \
       --vault-name ${KEY_VAULT_NAME} \
       --name "SSO-PROVIDER-JWK-URI" \
       --value <jwk-uri>
   

授予应用程序访问密钥保管库中的机密的权限

以下说明介绍了如何向部署到 Azure Spring Apps 企业计划的应用程序授予对密钥保管库机密的访问权限。

1. 使用以下命令为购物车服务应用程序启用系统分配的标识：

   az spring app identity assign \
       --resource-group ${RESOURCE_GROUP} \
       --name cart-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME}
   

2. 使用以下命令在购物车服务应用程序的密钥保管库上设置 get list 访问策略：

   export CART_SERVICE_APP_IDENTITY=$(az spring app show \
       --resource-group ${RESOURCE_GROUP} \
       --name cart-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.identity.principalId')
   
   az keyvault set-policy \
       --name ${KEY_VAULT_NAME} \
       --object-id ${CART_SERVICE_APP_IDENTITY} \
       --resource-group ${RESOURCE_GROUP} \
       --secret-permissions get list
   

3. 使用以下命令为订单服务应用程序启用系统分配的标识：

   az spring app identity assign \
       --resource-group ${RESOURCE_GROUP} \
       --name order-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME}
   

4. 使用以下命令在订单服务应用程序的密钥保管库上设置 get list 访问策略：

   export ORDER_SERVICE_APP_IDENTITY=$(az spring app show \
       --resource-group ${RESOURCE_GROUP} \
       --name order-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.identity.principalId')
   
   az keyvault set-policy \
       --name ${KEY_VAULT_NAME} \
       --object-id ${ORDER_SERVICE_APP_IDENTITY} \
       --resource-group ${RESOURCE_GROUP} \
       --secret-permissions get list
   

5. 使用以下命令为目录服务应用程序启用系统分配的标识：

   az spring app identity assign \
       --resource-group ${RESOURCE_GROUP} \
       --name catalog-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME}
   

6. 使用以下命令在目录服务应用程序的密钥保管库上设置 get list 访问策略：

   export CATALOG_SERVICE_APP_IDENTITY=$(az spring app show \
       --resource-group ${RESOURCE_GROUP} \
       --name catalog-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.identity.principalId')
   
   az keyvault set-policy \
       --name ${KEY_VAULT_NAME} \
       --object-id ${CATALOG_SERVICE_APP_IDENTITY} \
       --resource-group ${RESOURCE_GROUP} \
       --secret-permissions get list
   

7. 如果已配置单一登录，请使用以下命令为标识服务应用程序启用系统分配的标识：

   az spring app identity assign \
       --resource-group ${RESOURCE_GROUP} \
       --name identity-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME}
   

8. 如果已配置单一登录，请使用以下命令在标识服务应用程序的密钥保管库上设置 get list 访问策略：

   export IDENTITY_SERVICE_APP_IDENTITY=$(az spring app show \
       --resource-group ${RESOURCE_GROUP} \
       --name identity-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.identity.principalId')
   
   az keyvault set-policy \
       --name ${KEY_VAULT_NAME} \
       --object-id ${IDENTITY_SERVICE_APP_IDENTITY} \
       --resource-group ${RESOURCE_GROUP} \
       --secret-permissions get list
   

更新应用程序以加载密钥保管库机密

授予从密钥保管库中读取机密的访问权限后，使用以下步骤更新应用程序，以在其配置中使用新的机密值。

1. 使用以下命令检索要在更新应用程序时使用的密钥保管库的 URI：

   export KEYVAULT_URI=$(az keyvault show --name ${KEY_VAULT_NAME} --resource-group ${RESOURCE_GROUP} | jq -r '.properties.vaultUri')
   

2. 使用以下命令检索要在更新应用程序时使用的 Spring Cloud 网关的 URL：

   export GATEWAY_URL=$(az spring gateway show \
       --resource-group ${RESOURCE_GROUP} \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.properties.url')
   

3. 使用以下命令删除用于绑定订单服务应用程序和 Azure Database for PostgreSQL 灵活服务器的服务连接器：

   az spring connection delete \
       --resource-group ${RESOURCE_GROUP} \
       --app order-service \
       --connection order_service_db \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
       --deployment default \
       --yes
   

4. 使用以下命令通过 URI 更新订单服务环境以访问密钥保管库：

   az spring app update \
       --resource-group ${RESOURCE_GROUP} \
       --name order-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
       --env "ConnectionStrings__KeyVaultUri=${KEYVAULT_URI}" "AcmeServiceSettings__AuthUrl=https://${GATEWAY_URL}" "DatabaseProvider=Postgres"
   

5. 使用以下命令删除用于绑定目录服务应用程序和 Azure Database for PostgreSQL 灵活服务器的服务连接器：

   az spring connection delete \
       --resource-group ${RESOURCE_GROUP} \
       --app catalog-service \
       --connection catalog_service_db \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
       --deployment default \
       --yes
   

6. 使用以下命令更新目录服务环境和配置模式以访问密钥保管库：

   az spring app update \
       --resource-group ${RESOURCE_GROUP} \
       --name catalog-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
       --config-file-pattern catalog/default,catalog/key-vault \
       --env "SPRING_CLOUD_AZURE_KEYVAULT_SECRET_PROPERTY_SOURCES_0_ENDPOINT=${KEYVAULT_URI}" "SPRING_CLOUD_AZURE_KEYVAULT_SECRET_PROPERTY_SOURCES_0_NAME='acme-fitness-store-vault'" "SPRING_PROFILES_ACTIVE=default,key-vault"
   

7. 使用以下命令删除用于绑定购物车服务应用程序和 Azure Cache for Redis 的服务连接器：

   az spring connection delete \
       --resource-group ${RESOURCE_GROUP} \
       --app cart-service \
       --connection cart_service_cache \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
       --deployment default \
       --yes
   

8. 使用以下命令更新购物车服务环境以访问密钥保管库：

   az spring app update \
       --resource-group ${RESOURCE_GROUP} \
       --name cart-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
       --env "CART_PORT=8080" "KEYVAULT_URI=${KEYVAULT_URI}" "AUTH_URL=https://${GATEWAY_URL}"
   

9. 如果已配置单一登录，请使用以下命令更新标识服务环境和配置模式，以访问密钥保管库：

   az spring app update \
       --resource-group ${RESOURCE_GROUP} \
       --name identity-service \
       --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
       --config-file-pattern identity/default,identity/key-vault \
       --env "SPRING_CLOUD_AZURE_KEYVAULT_SECRET_PROPERTY_SOURCES_0_ENDPOINT=${KEYVAULT_URI}" "SPRING_CLOUD_AZURE_KEYVAULT_SECRET_PROPERTY_SOURCES_0_NAME='acme-fitness-store-vault'" "SPRING_PROFILES_ACTIVE=default,key-vault"
   

10. 使用以下命令检索 Spring Cloud 网关的 URL：

    export GATEWAY_URL=$(az spring gateway show \
        --resource-group ${RESOURCE_GROUP} \
        --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.properties.url')
    
    echo "https://${GATEWAY_URL}"
    

    可以在浏览器中打开输出 URL 以浏览更新后的应用程序。

清理资源

如果打算继续使用后续的快速入门和教程，则可能需要保留这些资源。 如果不再需要资源组，可以将其删除，这将删除资源组中的资源。 若要使用 Azure CLI 删除资源组，请使用以下命令：

echo "Enter the Resource Group name:" &&
read resourceGroupName &&
az group delete --name $resourceGroupName &&
echo "Press [ENTER] to continue ..."

后续步骤

继续学习以下任一可选快速入门：

• 配置单一登录
• 集成 Azure Database for PostgreSQL 和 Azure Cache for Redis
• 端到端监视应用程序
• 设置请求速率限制
• 自动进行部署
• 集成 Azure OpenAI