Как использовать защищенную учетную запись хранилища с Функции Azure

При создании экземпляра приложения Functions Azure требуется учетная запись хранения Azure. Эта учетная запись хранения по умолчанию используется для поддержания работоспособности вашего функционального приложения средой выполнения Azure Functions. Дополнительные сведения см. в статье Рекомендации по хранению для Функций Azure. В этой статье показано, как использовать безопасную учетную запись хранения в качестве учетной записи хранения по умолчанию. Подробное руководство по созданию приложения-функции с ограничениями для входящего и исходящего доступа см. в руководстве по интеграции с виртуальной сетью . Дополнительные сведения об Функции Azure и сети см. в статье Параметры сети для Функций Azure.

Ограничьте учетную запись хранения до виртуальной сети

При создании приложения-функции создается новая учетная запись хранения или ссылка на существующую. Имейте в виду эти рекомендации при работе с защищенной учетной записью хранения.

• Чтобы создать приложение-функцию, использующее существующую защищенную учетную запись хранения в качестве учетной записи хранения по умолчанию, необходимо создать его либо в портале Azure, либо с помощью шаблона ARM, либо при помощи развертывания Bicep.
• При использовании защищенной учетной записи хранения с динамическим планом масштабирования следует размещать функции в плане Flex Consumption. Этот план поддерживает как защищенные учетные записи хранения, так и подключения на основе управляемых удостоверений к хранилищу, что является наиболее безопасным вариантом подключения.
• Все уровни плана Dedicated (Служба приложений) и плана Elastic Premium также поддерживают безопасные аккаунты хранения. Однако при использовании управляемых удостоверений для подключения из приложения плана Premium существуют компромиссы. Дополнительные сведения см. в статье "Создание приложения без Файлы Azure".
• План потребления не поддерживает виртуальные сети, поэтому вы не можете подключиться к защищенной учетной записи хранения при работе на плане потребления. Чтобы воспользоваться преимуществами размещения бессерверных функций, вам следует перестроить приложение для запуска в тарифном плане Flex Consumption.
• В этой статье показано, как создать функциональное приложение в плане Premium, которое подключается к защищенной учетной записи хранения с помощью строки подключения учетной записи хранения. Чтобы обеспечить лучшую защиту учетных данных учетной записи хранения, вместо этого следует использовать управляемые удостоверения при подключении к учетной записи хранения. Вместо этого выполните Быстрый старт: Создание и развертывание функций в Функции Azure с использованием Azure Developer CLI, чтобы создать приложение функции в плане Flex Consumption, которое подключается к новой защищенной учетной записи хранения с помощью управляемых удостоверений.
• Список всех ограничений для учетных записей хранения см. в разделе "Требования к учетной записи хранения".

Безопасное хранилище во время создания приложения-функции

Вы можете создать приложение-функцию вместе с новой учетной записью хранения, защищенной за виртуальной сетью. В следующих разделах показано, как создать эти ресурсы с помощью портал Azure или с помощью шаблонов развертывания.

Безопасное хранилище для существующего приложения-функции

При наличии функционального существующего приложения можно напрямую настроить сетевые параметры учетной записи хранения, используемой данным приложением. Однако этот процесс приводит к отключению приложения-функции во время настройки сети и перезапуска приложения-функции.

Чтобы свести к минимуму время простоя, можно заменить существующую учетную запись хранения на новую защищенную учетную запись хранения.

1. Включение интеграции виртуальной сети

Необходимо настроить интеграцию виртуальной сети для функционального приложения.

1. Выберите функциональное приложение с учетной записью хранения, в которой не задействованы конечные точки служб или приватные конечные точки.

2. Включите интеграцию виртуальной сети для приложения-функции.

2. Создание защищенной учетной записи хранения

Настройте безопасную учетную запись хранения для приложения-функции:

1. Создайте вторую учетную запись хранения. Эта учетная запись хранения является защищенной учетной записью хранения для приложения-функции, используемой вместо исходной незащищенной учетной записи хранения. Вы также можете использовать существующую учетную запись хранения, которая еще не используется функциями.

2. Сохраните строку подключения этого учетного аккаунта хранения для дальнейшего использования.

3. Создайте общую папку в новой учетной записи хранения. Для удобства можно использовать то же имя общей папки из исходной учетной записи хранения. В противном случае, если вы используете новое имя общей папки, необходимо обновить параметр приложения.

4. Обеспечьте защиту новой учетной записи хранения одним из следующих способов:

   • Создайте частную конечную точку. При настройке подключения к частной конечной точке создайте частные конечные точки для file, blob и table подресурсов. Для долговременных функций необходимо также сделать queue побочные ресурсы доступными через частные конечные точки. Если вы используете пользовательский или локальный dns-сервер, настройте DNS-сервер для разрешения новых частных конечных точек.

   • Ограничить трафик определенными подсетями. Убедитесь, что ваше приложение-функция интегрировано с разрешенной подсетью и что подсеть имеет только одну из этих конечных точек службы:

     • Microsoft.Storage: используется, если приложение находится в том же регионе, что и виртуальная сеть.
     • Microsoft.Storage.Global: используется, если приложение находится в другом регионе, отличном от виртуальной сети.

5. Скопируйте содержимое файла и BLOB-объекта из текущей учетной записи хранения, используемой приложением-функцией, в недавно защищённую учетную запись хранения и файловое хранилище. AzCopy и служба хранилища Azure Explorer являются общими методами. Если вы используете Обозреватель службы хранилища Azure, возможно, потребуется разрешить IP-адрес клиента в брандмауэре учетной записи хранения.

Теперь вы готовы настроить функциональное приложение для взаимодействия с вновь защищенной учетной записью хранения данных.

3. Включение маршрутизации приложений и конфигурации

Теперь вы готовы маршрутизировать трафик приложения-функции для передачи через виртуальную сеть:

1. Включите маршрутизацию приложений для маршрутизации трафика приложения в виртуальную сеть:

   1. В функциональном приложении разверните раздел Параметры и выберите Сеть. На странице "Сеть" в разделе "Конфигурация исходящего трафика" выберите подсеть, связанную с интеграцией виртуальной сети.

   2. На новой странице в разделе "Маршрутизация приложений" выберите исходящий интернет-трафик.

2. Если приложение использует общую папку Службы файлов Azure, включите маршрутизацию общих ресурсов, выбрав хранилище контента в разделе "Маршрутизация конфигурации". Это позволяет приложению взаимодействовать с файлами Azure с помощью виртуальной сети.

4. Обновление параметров приложения

Наконец, необходимо обновить параметры приложения, чтобы указать новую безопасную учетную запись хранения:

1. В приложении-функции разверните раздел "Параметры, а затем выберите переменные среды.

2. На вкладке "Параметры приложения" обновите следующие параметры, выбрав каждый параметр, редактируя его, а затем нажмите кнопку "Применить".

   Имя настройки	Значение	Комментарии
   AzureWebJobsStorage	строка подключения к хранилищу;	Используйте строку подключения для вашей новой защищенной учетной записи хранения, которую вы сохранили ранее.
   WEBSITE_CONTENTAZUREFILECONNECTIONSTRING	строка подключения к хранилищу;	Используйте строку подключения для вашей новой защищенной учетной записи хранения, которую вы сохранили ранее. Важно только в том случае, если ваше приложение использует файлы Azure.
   WEBSITE_CONTENTSHARE	Общий доступ к файлам	Используйте имя общей папки, созданной в защищенной учетной записи хранения, в которой находятся файлы развертывания проекта. Важно только в том случае, если ваше приложение использует файлы Azure.

3. Нажмите кнопку "Применить", а затем подтвердите сохранение новых параметров приложения в приложении-функции. Это приводит к перезапуску приложения-функции.

После завершения перезапуска приложения-функции он подключается к защищенной учетной записи хранения.

Следующие шаги