快速入門：使用金鑰保存庫載入應用程式秘密

發行項
12/04/2024

注意

基本、標準和企業方案將從 2025 年 3 月中旬開始淘汰，並停用 3 年。建議您轉換至 Azure Container Apps。如需詳細資訊，請參閱 Azure Spring Apps 淘汰公告。

標準 耗用量和專用 方案將從 2024 年 9 月 30 日起淘汰，並在六個月後完成關閉。建議您轉換至 Azure Container Apps。如需詳細資訊，請參閱將 Azure Spring Apps 標準取用和專用方案遷移至 Azure Container Apps。

本文適用於： ❎基本/標準 ✅ 企業

本快速入門說明如何針對執行 Azure Spring Apps Enterprise 方案的應用程式，使用 Azure 金鑰保存庫安全地載入秘密。

每個應用程式都有將它連線到其環境和支援服務的屬性。這些服務包括資料庫、記錄和監視工具、傳訊平臺等資源。每個資源都需要尋找和存取它的方式，通常是以URL和認證的形式。此資訊通常受到法律保護，而且必須保密，才能保護客戶數據。在 Azure Spring Apps 中，您可以使用受控識別和 Azure 角色型存取控制，設定應用程式直接從金鑰保存庫將這些秘密載入記憶體。

必要條件

具有有效訂用帳戶的 Azure 帳戶。免費建立帳戶。
了解並滿足 Azure Marketplace 中企業方案的需求一節。
Azure CLI 2.45.0 版或更高版本。
Git。
jq
Azure Spring 應用程式企業方案延伸模組。使用下列命令來移除舊版並安裝最新的企業方案延伸模組。如果您先前已安裝 spring-cloud 延伸模組，請將其解除安裝，以避免設定與版本不符。
```
az extension add --upgrade --name spring
az extension remove --name spring-cloud
```
完成下列快速入門中的步驟：
- 使用企業方案建置應用程式並將其部署至 Azure Spring Apps。
- 與適用於 PostgreSQL 的 Azure 資料庫和 Azure Cache for Redis 整合

布建金鑰保存庫和儲存秘密

下列指示說明如何建立金鑰保存庫並安全地儲存應用程式秘密。

使用下列命令建立變數來保存資源名稱。請務必將預留位置取代為您自己的值。

注意

Microsoft 建議您使用最安全的可用驗證流程。此程式中所述的驗證流程，例如資料庫、快取、傳訊或 AI 服務，在應用程式中需要高度的信任，而且不會在其他流程中帶來風險。只有在更安全的選項，例如無密碼或無密鑰連線的受控識別時，才能使用此流程。針對本機計算機作業，偏好使用無密碼或無密鑰連線的使用者身分識別。
```
export RESOURCE_GROUP=<resource-group-name>
export KEY_VAULT_NAME=<key-vault-name>
export POSTGRES_SERVER_NAME=<postgres-server-name>
export POSTGRES_USERNAME=<postgres-username>
export POSTGRES_PASSWORD=<postgres-password>
export REDIS_CACHE_NAME=<redis-cache-name>
export AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME=<Azure-Spring-Apps-service-instance-name>
```

使用下列命令來建立金鑰保存庫來儲存應用程式秘密：

az keyvault create \
    --resource-group ${RESOURCE_GROUP} \
    --name ${KEY_VAULT_NAME}

使用下列命令，將完整的資料庫伺服器名稱儲存在金鑰保存庫：

az keyvault secret set \
    --vault-name ${KEY_VAULT_NAME} \
    --name "POSTGRES-SERVER-NAME" \
    --value "${POSTGRES_SERVER_NAME}.postgres.database.azure.com"

使用下列命令，將資料庫名稱儲存在目錄服務應用程式的金鑰保存庫中：

az keyvault secret set \
    --vault-name ${KEY_VAULT_NAME} \
    --name "CATALOG-DATABASE-NAME" \
    --value "acmefit_catalog"

使用下列命令將資料庫登入認證儲存在金鑰保存庫：

注意

Microsoft 建議您使用最安全的可用驗證流程。此程式中所述的驗證流程，例如資料庫、快取、傳訊或 AI 服務，在應用程式中需要高度的信任，而且不會在其他流程中帶來風險。只有在更安全的選項，例如無密碼或無密鑰連線的受控識別時，才能使用此流程。針對本機計算機作業，偏好使用無密碼或無密鑰連線的使用者身分識別。
```
az keyvault secret set \
    --vault-name ${KEY_VAULT_NAME} \
    --name "POSTGRES-LOGIN-NAME" \
    --value "${POSTGRES_USERNAME}"

az keyvault secret set \
    --vault-name ${KEY_VAULT_NAME} \
    --name "POSTGRES-LOGIN-PASSWORD" \
    --value "${POSTGRES_PASSWORD}"
```
使用下列命令，將資料庫連接字串儲存在 Order Service 應用程式的金鑰保存庫中：

注意

Microsoft 建議您使用最安全的可用驗證流程。此程式中所述的驗證流程，例如資料庫、快取、傳訊或 AI 服務，在應用程式中需要高度的信任，而且不會在其他流程中帶來風險。只有在更安全的選項，例如無密碼或無密鑰連線的受控識別時，才能使用此流程。針對本機計算機作業，偏好使用無密碼或無密鑰連線的使用者身分識別。
```
az keyvault secret set \
    --vault-name ${KEY_VAULT_NAME} \
    --name "ConnectionStrings--OrderContext" \
    --value "Server=${POSTGRES_SERVER_NAME};Database=acmefit_order;Port=5432;Ssl Mode=Require;User Id=${POSTGRES_USERNAME};Password=${POSTGRES_PASSWORD};"
```

使用下列命令來擷取 Redis 連線屬性，並將其儲存在金鑰保存庫：

注意

Microsoft 建議您使用最安全的可用驗證流程。此程式中所述的驗證流程，例如資料庫、快取、傳訊或 AI 服務，在應用程式中需要高度的信任，而且不會在其他流程中帶來風險。只有在更安全的選項，例如無密碼或無密鑰連線的受控識別時，才能使用此流程。針對本機計算機作業，偏好使用無密碼或無密鑰連線的使用者身分識別。

export REDIS_HOST=$(az redis show \
    --resource-group ${RESOURCE_GROUP} \
    --name ${REDIS_CACHE_NAME} | jq -r '.hostName')

export REDIS_PORT=$(az redis show \
    --resource-group ${RESOURCE_GROUP} \
    --name ${REDIS_CACHE_NAME} | jq -r '.sslPort')

export REDIS_PRIMARY_KEY=$(az redis list-keys \
    --resource-group ${RESOURCE_GROUP} \
    --name ${REDIS_CACHE_NAME} | jq -r '.primaryKey')

az keyvault secret set \
    --vault-name ${KEY_VAULT_NAME} \
    --name "CART-REDIS-CONNECTION-STRING" \
    --value "rediss://:${REDIS_PRIMARY_KEY}@${REDIS_HOST}:${REDIS_PORT}/0"

如果您已設定單一登入，請使用下列命令，將 JSON Web 金鑰（JWK） URI 儲存在金鑰保存庫：

az keyvault secret set \
    --vault-name ${KEY_VAULT_NAME} \
    --name "SSO-PROVIDER-JWK-URI" \
    --value <jwk-uri>

在金鑰保存庫中將秘密的存取權授與應用程式

下列指示說明如何將金鑰保存庫秘密的存取權授與部署至 Azure Spring Apps 企業版方案的應用程式。

使用下列命令來啟用購物車服務應用程式的系統指派身分識別：

az spring app identity assign \
    --resource-group ${RESOURCE_GROUP} \
    --name cart-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME}

使用下列命令來設定 Cart Service 應用程式的金鑰保存庫存取原則get list：

export CART_SERVICE_APP_IDENTITY=$(az spring app show \
    --resource-group ${RESOURCE_GROUP} \
    --name cart-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.identity.principalId')

az keyvault set-policy \
    --name ${KEY_VAULT_NAME} \
    --object-id ${CART_SERVICE_APP_IDENTITY} \
    --resource-group ${RESOURCE_GROUP} \
    --secret-permissions get list

使用下列命令為 Order Service 應用程式啟用系統指派的身分識別：

az spring app identity assign \
    --resource-group ${RESOURCE_GROUP} \
    --name order-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME}

使用下列命令來設定 Order Service 應用程式的金鑰保存庫存取原則get list：

export ORDER_SERVICE_APP_IDENTITY=$(az spring app show \
    --resource-group ${RESOURCE_GROUP} \
    --name order-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.identity.principalId')

az keyvault set-policy \
    --name ${KEY_VAULT_NAME} \
    --object-id ${ORDER_SERVICE_APP_IDENTITY} \
    --resource-group ${RESOURCE_GROUP} \
    --secret-permissions get list

使用下列命令為目錄服務應用程式啟用系統指派的身分識別：

az spring app identity assign \
    --resource-group ${RESOURCE_GROUP} \
    --name catalog-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME}

使用下列命令來設定目錄服務應用程式的金鑰保存庫存取原則get list：

export CATALOG_SERVICE_APP_IDENTITY=$(az spring app show \
    --resource-group ${RESOURCE_GROUP} \
    --name catalog-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.identity.principalId')

az keyvault set-policy \
    --name ${KEY_VAULT_NAME} \
    --object-id ${CATALOG_SERVICE_APP_IDENTITY} \
    --resource-group ${RESOURCE_GROUP} \
    --secret-permissions get list

如果您已設定單一登入，請使用下列命令為 Identity Service 應用程式啟用系統指派的身分識別：

az spring app identity assign \
    --resource-group ${RESOURCE_GROUP} \
    --name identity-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME}

如果您已設定單一登錄，請使用下列命令，為 Identity Service 應用程式設定金鑰保存庫的存取get list原則：

export IDENTITY_SERVICE_APP_IDENTITY=$(az spring app show \
    --resource-group ${RESOURCE_GROUP} \
    --name identity-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.identity.principalId')

az keyvault set-policy \
    --name ${KEY_VAULT_NAME} \
    --object-id ${IDENTITY_SERVICE_APP_IDENTITY} \
    --resource-group ${RESOURCE_GROUP} \
    --secret-permissions get list

更新應用程式以載入金鑰保存庫秘密

授與從金鑰保存庫讀取秘密的存取權之後，請使用下列步驟來更新應用程式，以在其設定中使用新的秘密值。

使用下列命令來擷取要用於更新應用程式的金鑰保存庫 URI：

export KEYVAULT_URI=$(az keyvault show --name ${KEY_VAULT_NAME} --resource-group ${RESOURCE_GROUP} | jq -r '.properties.vaultUri')

使用下列命令擷取要用於更新應用程式的 Spring Cloud Gateway URL：

export GATEWAY_URL=$(az spring gateway show \
    --resource-group ${RESOURCE_GROUP} \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.properties.url')

使用下列命令移除 Service Connector 系結 Order Service 應用程式和適用於 PostgreSQL 的 Azure 資料庫彈性伺服器：

az spring connection delete \
    --resource-group ${RESOURCE_GROUP} \
    --app order-service \
    --connection order_service_db \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
    --deployment default \
    --yes

使用下列命令以 URI 更新 Order Service 環境，以存取金鑰保存庫：

注意

Microsoft 建議您使用最安全的可用驗證流程。此程式中所述的驗證流程，例如資料庫、快取、傳訊或 AI 服務，在應用程式中需要高度的信任，而且不會在其他流程中帶來風險。只有在更安全的選項，例如無密碼或無密鑰連線的受控識別時，才能使用此流程。針對本機計算機作業，偏好使用無密碼或無密鑰連線的使用者身分識別。
```
az spring app update \
    --resource-group ${RESOURCE_GROUP} \
    --name order-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
    --env "ConnectionStrings__KeyVaultUri=${KEYVAULT_URI}" "AcmeServiceSettings__AuthUrl=https://${GATEWAY_URL}" "DatabaseProvider=Postgres"
```

使用下列命令來移除服務連接器系結目錄服務應用程式和適用於 PostgreSQL 的 Azure 資料庫彈性伺服器：

az spring connection delete \
    --resource-group ${RESOURCE_GROUP} \
    --app catalog-service \
    --connection catalog_service_db \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
    --deployment default \
    --yes

使用下列命令來更新目錄服務環境和組態模式，以存取金鑰保存庫：

az spring app update \
    --resource-group ${RESOURCE_GROUP} \
    --name catalog-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
    --config-file-pattern catalog/default,catalog/key-vault \
    --env "SPRING_CLOUD_AZURE_KEYVAULT_SECRET_PROPERTY_SOURCES_0_ENDPOINT=${KEYVAULT_URI}" "SPRING_CLOUD_AZURE_KEYVAULT_SECRET_PROPERTY_SOURCES_0_NAME='acme-fitness-store-vault'" "SPRING_PROFILES_ACTIVE=default,key-vault"

使用下列命令來移除 Service Connector 系結 Cart Service 應用程式和 Azure Cache for Redis：

az spring connection delete \
    --resource-group ${RESOURCE_GROUP} \
    --app cart-service \
    --connection cart_service_cache \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
    --deployment default \
    --yes

使用下列命令來更新 Cart Service 環境以存取金鑰保存庫：

az spring app update \
    --resource-group ${RESOURCE_GROUP} \
    --name cart-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
    --env "CART_PORT=8080" "KEYVAULT_URI=${KEYVAULT_URI}" "AUTH_URL=https://${GATEWAY_URL}"

如果您已設定單一登錄，請使用下列命令來更新 Identity Service 環境和組態模式，以存取金鑰保存庫：

az spring app update \
    --resource-group ${RESOURCE_GROUP} \
    --name identity-service \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} \
    --config-file-pattern identity/default,identity/key-vault \
    --env "SPRING_CLOUD_AZURE_KEYVAULT_SECRET_PROPERTY_SOURCES_0_ENDPOINT=${KEYVAULT_URI}" "SPRING_CLOUD_AZURE_KEYVAULT_SECRET_PROPERTY_SOURCES_0_NAME='acme-fitness-store-vault'" "SPRING_PROFILES_ACTIVE=default,key-vault"

使用下列命令來擷取 Spring Cloud Gateway 的 URL：

export GATEWAY_URL=$(az spring gateway show \
    --resource-group ${RESOURCE_GROUP} \
    --service ${AZURE_SPRING_APPS_SERVICE_INSTANCE_NAME} | jq -r '.properties.url')

echo "https://${GATEWAY_URL}"

您可以在瀏覽器中開啟輸出 URL，以探索更新的應用程式。

清除資源

如果您打算繼續進行後續的快速入門和教學課程，您可以讓這些資源留在原處。如果不再需要，請刪除資源群組，這會刪除資源群組中的資源。若要使用 Azure CLI 刪除資源群組，請使用下列命令：

echo "Enter the Resource Group name:" &&
read resourceGroupName &&
az group delete --name $resourceGroupName &&
echo "Press [ENTER] to continue ..."

下一步

繼續進行下列任一選擇性快速入門：

共用方式為

快速入門：使用金鑰保存庫載入應用程式秘密

必要條件

布建金鑰保存庫和儲存秘密

在金鑰保存庫中將秘密的存取權授與應用程式

更新應用程式以載入金鑰保存庫秘密

清除資源

下一步

意見反應

其他資源

共用方式為

快速入門：使用 金鑰保存庫 載入應用程式秘密

必要條件

布建 金鑰保存庫 和儲存秘密

在 金鑰保存庫 中將秘密的存取權授與應用程式

更新應用程式以載入 金鑰保存庫秘密

清除資源

下一步

意見反應

其他資源

快速入門：使用金鑰保存庫載入應用程式秘密

布建金鑰保存庫和儲存秘密

在金鑰保存庫中將秘密的存取權授與應用程式

更新應用程式以載入金鑰保存庫秘密