Создание первых контейнерных функций в приложениях контейнеров Azure

В этой статье вы создадите приложение-функцию, работающее в контейнере Linux, и развернете его в среде приложений контейнеров Azure из реестра контейнеров. Развернув приложения-контейнеры, вы можете интегрировать приложения-функции в облачные микрослужбы. Дополнительные сведения см. в статье Размещение Функций Azure в контейнерных приложениях Azure.

В этой статье показано, как создавать функции, выполняемые в контейнере Linux, и развертывать контейнер в среде приложений контейнеров.

Завершение этого краткого руководства повлечет за собой небольшие расходы в размере нескольких центов США или меньше в вашей учетной записи Azure, которые можно свести к минимуму, выполнив очистку ресурсов после выполнения.

Выберите язык разработки

Сначала вы используете средства Функций Azure для создания кода проекта в качестве приложения-функции в контейнере Docker с помощью базового образа Linux для конкретного языка. Выберите язык в верхней части статьи.

Core Tools автоматически генерирует Dockerfile для проекта, который использует наиболее актуальную версию соответствующего базового образа для языка ваших функций. Следует регулярно обновлять контейнер из последнего базового образа и повторно развертывать его из обновленной версии контейнера. Дополнительные сведения см. в разделе "Создание контейнерных приложений-функций".

Prerequisites

Перед началом работы необходимо иметь следующее:

• Установите Azure CLI версии 2.4 или более поздней.

Если у вас нет подписки Azure, создайте бесплатную учетную запись перед началом работы.

Чтобы опубликовать образ приложения-функции, создаваемого в реестре контейнеров, вам потребуется идентификатор Docker и Docker Desktop , работающий на локальном компьютере. Если у вас нет идентификатора Docker, можно создать учетную запись Docker.

python -m venv .venv

source .venv/bin/activate

sudo apt-get install python3-venv

py -m venv .venv

.venv\scripts\activate

py -m venv .venv

.venv\scripts\activate

Создайте и протестируйте локальный проект функций

func init --worker-runtime dotnet-isolated --docker

func init --worker-runtime node --language javascript --docker

func init --worker-runtime powershell --docker

func init --worker-runtime python --docker

func init --worker-runtime node --language typescript --docker

mvn archetype:generate -DarchetypeGroupId=com.microsoft.azure -DarchetypeArtifactId=azure-functions-archetype -DjavaVersion=8 -Ddocker

mvn archetype:generate "-DarchetypeGroupId=com.microsoft.azure" "-DarchetypeArtifactId=azure-functions-archetype" "-DjavaVersion=8" "-Ddocker"

mvn archetype:generate "-DarchetypeGroupId=com.microsoft.azure" "-DarchetypeArtifactId=azure-functions-archetype" "-DjavaVersion=8" "-Ddocker"

Параметр --docker создает Dockerfile для проекта, который определяет подходящий контейнер для использования с функциями Azure и выбранной средой выполнения.

cd fabrikam-functions

func new --name HttpExample --template "HTTP trigger"

func new --name HttpExample --template "HTTP trigger"

Чтобы протестировать функцию локально, запустите локальный узел среды выполнения Функций Azure в корневой папке проекта. Чтобы убедиться, что функция может вызываться позже при размещении в Docker, убедитесь, что уровень авторизации задан AuthorizationLevel.Anonymousили установлен, если он еще не настроен.

func start  

func start  

npm install
npm start

mvn clean package  
mvn azure-functions:run

Нажмите Ctrl+C (Command+C на macOS), чтобы остановить хост.

Создание образа контейнера и проверка локально

(Необязательно) Проверьте Dockerfile в корневом каталоге папки проекта. Dockerfile описывает необходимую среду для запуска приложения-функции в Linux. Полный список поддерживаемых базовых образов для Функций Azure можно найти на странице базового образа Функций Azure.

В корневой папке проекта выполните команду docker build, укажите имя как azurefunctionsimage и тег как v1.0.0. Замените <DOCKER-ID> идентификатором вашей учетной записи Docker Hub. Эта команда отвечает за создание образа Docker для контейнера.

docker build --tag <DOCKER-ID>/azurefunctionsimage:v1.0.0 .

После выполнения команды можно запустить новый контейнер локально.

Чтобы проверить сборку, запустите образ в локальном контейнере с помощью команды запуска Docker , замените <DOCKER-ID> еще раз идентификатором учетной записи Docker Hub и добавьте аргумент портов следующим образом -p 8080:80:

docker run -p 8080:80 -it <DOCKER-ID>/azurefunctionsimage:v1.0.0

После проверки приложения-функции в контейнере нажмите клавиши CTRL+C (Command+C в macOS), чтобы остановить выполнение.

Публикация образа контейнера в реестре

Чтобы сделать образ контейнера доступным для развертывания в среде размещения, необходимо отправить его в реестр контейнеров. Рекомендуется в целях безопасности использовать экземпляр Azure Container Registry и обеспечивать подключения на основе управляемых удостоверений. Docker Hub требует проверки подлинности с помощью общих секретов, что делает развертывания более уязвимыми.

Создание вспомогательных ресурсов Azure для функции

Прежде чем развернуть контейнер в Azure, необходимо создать три ресурса:

• группу ресурсов — логический контейнер связанных ресурсов;
• учетная запись хранения, которая используется для сохранения состояния и других сведений о ваших функциях.
• Среда для приложений контейнеров Azure с рабочей областью Log Analytics.
• Управляемое удостоверение, назначаемое пользователем, которое позволяет приложению-функции безопасно подключаться к ресурсам Azure без использования общих секретов. Подключения как к учетной записи хранилища Azure, так и к экземпляру Контейнерного реестра Azure осуществляются через проверку подлинности Microsoft Entra с удостоверением, которое рекомендуется использовать для этого сценария.

Используйте следующие команды для создания необходимых ресурсов Azure:

1. При необходимости войдите в Azure:

   Команда az login выполняет вход в вашу учетную запись Azure. Используется az account set при наличии нескольких подписок, связанных с вашей учетной записью.

2. Выполните следующую команду, чтобы обновить Azure CLI до последней версии:

   az upgrade
   

   Если ваша версия Azure CLI не является последней версией, начинается установка. Способ обновления зависит от операционной системы. После завершения обновления можно продолжить.

3. Выполните следующие команды, которые обновляют расширение "Приложения контейнеров Azure" и регистрируют пространства имен, необходимые для приложений контейнеров:

   az extension add --name containerapp --upgrade -y
   az provider register --namespace Microsoft.Web 
   az provider register --namespace Microsoft.App 
   az provider register --namespace Microsoft.OperationalInsights 
   

4. Создайте группу ресурсов с именем AzureFunctionsContainers-rg.

   az group create --name AzureFunctionsContainers-rg --location eastus
   

   Эта az group create команда создает группу ресурсов в регионе "Восток США". Если вы вместо этого хотите использовать регион поближе, при использовании доступного кода региона, возвращенного командой az account list-locations. Для использования настраиваемого региона вместо eastus необходимо изменить последующие команды.

5. Создайте среду приложения контейнера Azure с включенными профилями рабочей нагрузки.

   az containerapp env create --name MyContainerappEnvironment --enable-workload-profiles --resource-group AzureFunctionsContainers-rg --location eastus
   

   Выполнение команды может занять несколько минут.

6. Создайте учетную запись хранения общего назначения в группе ресурсов и регионе без доступа к общему ключу.

   az storage account create --name <STORAGE_NAME> --location eastus --resource-group AzureFunctionsContainers-rg --sku Standard_LRS --allow-blob-public-access false --allow-shared-key-access false
   

   Команда az storage account create создает учетную запись для хранения, доступ к которой можно получить только с помощью удостоверений, аутентифицированных с помощью Microsoft Entra, которым были предоставлены разрешения на доступ к конкретным ресурсам.

   В предыдущем примере замените <STORAGE_NAME> соответствующим именем, которое является уникальным в службе хранилища Azure. Имена хранилищ должны содержать от 3 до 24 символов и состоять только из цифр и строчных букв. Standard_LRS указывает учетную запись общего назначения, которая поддерживается Функциями.

7. Создайте управляемое удостоверение и используйте возвращенное principalId для предоставления ему доступа к вашей учетной записи хранения и доступа на извлечение в вашем экземпляре реестра.

   principalId=$(az identity create --name <USER_IDENTITY_NAME> --resource-group AzureFunctionsContainers-rg --location eastus --query principalId -o tsv) 
   acrId=$(az acr show --name <REGISTRY_NAME> --query id --output tsv)
   az role assignment create --assignee-object-id $principalId --assignee-principal-type ServicePrincipal --role acrpull --scope $acrId
   storageId=$(az storage account show --resource-group AzureFunctionsContainers-rg --name <STORAGE_NAME> --query 'id' -o tsv)
   az role assignment create --assignee-object-id $principalId --assignee-principal-type ServicePrincipal --role "Storage Blob Data Owner" --scope $storageId
   

   Команда az identity create создает управляемое удостоверение, назначенное пользователем, а команда az role assignment create добавляет ваше удостоверение в необходимые роли. Замените <REGISTRY_NAME>, <USER_IDENTITY_NAME> и <STORAGE_NAME> на имя вашего существующего реестра контейнеров, имя для управляемого удостоверения и имя учетной записи хранения соответственно. Теперь управляемое удостоверение можно использовать приложению для доступа к учетной записи хранения и реестру контейнеров Azure, без использования общих секретов.

Создание и настройка приложения-функции в Azure с помощью образа

Приложение-функция в Azure управляет выполнением функций в среде azure Container Apps. В этом разделе вы используете ресурсы Azure из предыдущего раздела, чтобы создать функциональное приложение из образа в реестре контейнеров в среде для контейнерных приложений. Вы также настраиваете новую среду с помощью строки подключения к необходимой учетной записи службы хранилища Azure.

az functionapp create Используйте команду для создания приложения-функции в новой управляемой среде, поддерживаемой приложениями контейнеров Azure. В az functionapp create параметре --environment указывается среда для контейнерных приложений.

UAMI_RESOURCE_ID=$(az identity show --name $uami_name --resource-group $group --query id -o tsv)
az functionapp create --name <APP_NAME> --storage-account <STORAGE_NAME> --environment MyContainerappEnvironment --workload-profile-name "Consumption" --resource-group AzureFunctionsContainers-rg --functions-version 4 --assign-identity $UAMI_RESOURCE_ID

UAMI_RESOURCE_ID=$(az identity show --name <USER_IDENTITY_NAME> --resource-group AzureFunctionsContainers-rg --query id -o tsv)
az resource patch --resource-group AzureFunctionsContainers-rg --name <APP_NAME> --resource-type "Microsoft.Web/sites" --properties "{ \"siteConfig\": { \"linuxFxVersion\": \"DOCKER|<REGISTRY_NAME>.azurecr.io/azurefunctionsimage:v1.0.0\", \"acrUseManagedIdentityCreds\": true, \"acrUserManagedIdentityID\":\"$UAMI_RESOURCE_ID\", \"appSettings\": [{\"name\": \"DOCKER_REGISTRY_SERVER_URL\", \"value\": \"<REGISTRY_NAME>.azurecr.io\"}]}}"

az functionapp create --name <APP_NAME> --storage-account <STORAGE_NAME> --environment MyContainerappEnvironment --workload-profile-name "Consumption" --resource-group AzureFunctionsContainers-rg --functions-version 4 --assign-identity --image <DOCKER_ID>/azurefunctionsimage:v1.0.0  

Указав --workload-profile-name "Consumption", вы создаёте своё приложение в среде с профилем рабочей нагрузки по умолчанию Consumption, стоимость которого аналогична плану потребления контейнерных приложений. При первом создании приложения-функции он извлекает исходный образ из реестра.

Обновление параметров приложения

Чтобы хост функций мог подключаться к учетной записи хранения по умолчанию с помощью общих секретов, необходимо заменить параметр строки подключения эквивалентным параметром, в котором используется назначаемое пользователем управляемое удостоверение для подключения к учетной записи хранения.

1. Удалите существующий AzureWebJobsStorage параметр строка подключения:

   az functionapp config appsettings delete --name <APP_NAME> --resource-group AzureFunctionsContainers-rg --setting-names AzureWebJobsStorage 
   

   Команда az functionapp config appsettings delete удаляет этот параметр из приложения. Замените <APP_NAME> на имя приложения-функции.

2. Добавьте эквивалентные параметры с AzureWebJobsStorage__ префиксом, который определяет подключение управляемого удостоверения, назначаемое пользователем, к учетной записи хранения по умолчанию:

   clientId=$(az identity show --name <USER_IDENTITY_NAME> --resource-group AzureFunctionsContainers-rg --query 'clientId' -o tsv)
   az functionapp config appsettings set --name <APP_NAME> --resource-group AzureFunctionsContainers-rg --settings AzureWebJobsStorage__accountName=<STORAGE_NAME> AzureWebJobsStorage__credential=managedidentity AzureWebJobsStorage__clientId=$clientId
   

   В этом примере замените <APP_NAME>, <USER_IDENTITY_NAME>, <STORAGE_NAME> на имя вашего приложения-функции, имя вашего удостоверения и имя вашей учетной записи хранения соответственно.

На этом этапе функции выполняются в среде "Приложения контейнеров", при этом уже добавлены необходимые параметры приложения. При необходимости вы можете добавить другие параметры в приложение функций стандартным способом для функций. Дополнительные сведения см. в разделе "Использование параметров приложения".

Проверка функций в Azure

С помощью образа, развернутого в приложении-функции в Azure, теперь можно вызвать функцию через HTTP-запросы.

1. Выполните следующую az functionapp function show команду, чтобы получить URL-адрес новой функции:

   az functionapp function show --resource-group AzureFunctionsContainers-rg --name <APP_NAME> --function-name HttpExample --query invokeUrlTemplate 
   

   Замените <APP_NAME> на имя приложения-функции.

При переходе к этому URL-адресу в браузере должны отображаться выходные данные, аналогичные данным при локальном запуске функции.

URL-адрес запроса должен выглядеть примерно так:

Очистка ресурсов

Если вы хотите продолжить работу с функцией Azure с помощью ресурсов, созданных в этой статье, можно оставить все эти ресурсы.

После завершения работы с развертыванием приложения-функции удалите AzureFunctionsContainers-rg группу ресурсов, чтобы очистить все ресурсы в этой группе:

az group delete --name AzureFunctionsContainers-rg

Дальнейшие шаги