Allgemeine Verfügbarkeit: Updates für Geheimniskonfigurationsoptionen in App Service und Azure Functions
Veröffentlichungsdatum: 07 Juli, 2021
Key Vault-Verweise bieten nun erweiterte Netzwerkunterstützung sowohl unter Windows als auch unter Linux und die Möglichkeit, eine vom Benutzer zugewiesene Identität zu bestimmen. Außerdem ermöglichen wir Apps mithilfe der App-Identität den Zugriff auf ihr Inhaltspaket in Blob Storage.
Key Vault-Verweise ermöglichen einer App die Verwendung einer verwalteten Identität, um Geheimnisse aus Azure Key Vault aufzulösen und als Umgebungsvariablen verfügbar zu machen. Diese Funktionalität ermöglicht es Teams, Geheimnisse problemlos und ohne Codeänderungen in die Verwaltung zu verschieben. In einer vorherigen Ankündigung wurde erwähnt, dass Windows-Apps beim Auflösen von Geheimnissen aus Key Vault virtuelle Netzwerkintegrationen verwenden können. Das gleiche Feature ist jetzt für Linux-Apps verfügbar, und die Einschränkungen für die gemeinsame Verwendung der Netzwerkintegration und automatischen Rotation wurden aufgehoben.
Key Vault-Verweise waren in der Vergangenheit von der vom System zugewiesenen Identität der App abhängig. Mit dem heutigen Update können Apps eine vom Benutzer zugewiesene Identität angeben, die stattdessen für den Zugriff auf ihre Geheimnisse verwendet werden soll. Dadurch werden bestimmte Automatisierungsworkflows erheblich vereinfacht, da die Identität erstellt und dem Tresor Berechtigungen zugewiesen werden können, bevor die App selbst erstellt wird.
Obwohl diese Features die Verwaltung von Geheimnissen wesentlich vereinfachen, ist es oft von Vorteil, die Geheimnisse vollständig aus Ihrem Workflow zu entfernen, anstatt sich direkt auf die Identität zu verlassen. Apps, die die Unterstützung für das Ausführen aus Paketen in Anspruch nehmen, können eine Shared Access Signature (SAS) nutzen, die gegenüber einem Geheimnis viele Vorteile bietet, aber einen gewissen Verwaltungsaufwand mit sich bringt. Ab jetzt ermöglichen wir es Apps, stattdessen eine verwaltete Identität zu verwenden, wenn der App Zugriff auf das Speicherkonto gewährt wurde.
Ebenso sollten Apps die neuesten Azure-SDK-Clientbibliotheken nutzen, die Ihnen dabei helfen, mithilfe einer Identität aus Ihrem Anwendungscode eine Verbindung mit Azure-Diensten herzustellen. Für Azure Functions haben wir vor Kurzem die identitätsbasierte Verbindungsunterstützung für die Vorschau angekündigt, die es ermöglicht, vom System oder Benutzer zugewiesene Identitäten für die Runtime, Trigger und Bindungen von Functions zu verwenden.
Weitere Informationen zur identitätsbasierten Verbindungsunterstützung für Azure Functions