將容器化的 Python 應用程式部署至 App Service

你可以在 Azure Cloud Shell 執行Azure CLI指令，或是在安裝了 Azure CLI 的本地機器上執行。

使用 RBAC 授權建立 金鑰保存庫

Azure Key Vault 是用來儲存秘密、API 金鑰、連接字串和憑證的安全服務。 在這裡文稿中，它會儲存 MongoDB 連接字串 與 Web 應用程式的 SECRET_KEY。

將金鑰保存庫設定為使用 基於角色的存取控制（RBAC）來透過Azure角色管理存取，而非傳統的存取政策。 Web 應用程式會使用其 系統指派的受控識別 ，在運行時間安全地擷取秘密。

1. 請使用 az keyvault create 指令建立啟用 RBAC 的Azure Key Vault。

   • Bash
   • PowerShell

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

建立 App Service 方案和 Web 應用程式

App Service 方案會定義 Web 應用程式的計算資源、定價層和區域。 這個網頁應用程式執行你的容器化應用程式，並以系統指派的管理身份來安全認證 Azure Container Registry（ACR）和 Azure Key Vault。

在此步驟中，請完成以下任務：

• 建立 App Service 方案
• 使用其受控識別建立 Web 應用程式
• 透過特定的容器映像設定網頁應用程式部署
• 透過 ACR 準備持續部署

1. 使用 az appservice plan create 指令來為你的應用程式配置運算環境。

   • Bash
   • PowerShell

   #!/bin/bash
   APP_SERVICE_PLAN_NAME="msdocs-web-app-plan"
   
   az appservice plan create \
       --name "$APP_SERVICE_PLAN_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --sku B1 \
       --is-linux
   

2. 使用 az webapp create 指令來建立網頁應用程式。 此命令也會啟用 系統指派的受控識別 ，並設定應用程式執行的容器映像。

   • Bash
   • PowerShell

   #!/bin/bash
   APP_SERVICE_NAME="msdocs-website-name" #APP_SERVICE_NAME must be globally unique as it becomes the website name in the URL `https://<website-name>.azurewebsites.net`.
   # Use the same registry name as in part 2 of this tutorial series.
   REGISTRY_NAME="msdocscontainerregistryname" #REGISTRY_NAME is the registry name you used in part 2 of this tutorial.
   CONTAINER_NAME="$REGISTRY_NAME.azurecr.io/msdocspythoncontainerwebapp:latest" #CONTAINER_NAME is of the form "yourregistryname.azurecr.io/repo_name:tag".
   
   az webapp create \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --plan "$APP_SERVICE_PLAN_NAME" \
     --name "$APP_SERVICE_NAME" \
     --assign-identity '[system]' \
     --deployment-container-image-name "$CONTAINER_NAME" 
   

   注意

   執行此指令時，你可能會看到以下錯誤：

   No credential was provided to access Azure Container Registry. Trying to look up...
   Retrieving credentials failed with an exception:'Failed to retrieve container registry credentials. Please either provide the credentials or run 'az acr update -n msdocscontainerregistryname --admin-enabled true' to enable admin first.'
   

   此錯誤發生是因為網頁應用程式嘗試使用管理員憑證存取 ACR，但管理員憑證預設是被停用的。 您可以放心忽略這個訊息。 下一步是設定網頁應用程式使用其管理身份與 ACR 進行認證。

將 金鑰保存庫 Secrets Officer 角色授與已驗證的使用者

若要將秘密儲存在 Azure Key Vault 中，執行腳本的用戶必須具有 金鑰保存庫 秘密官員 角色。 此角色授予在保存庫內建立及管理密碼的權限。

在此步驟中，腳本會將該角色指派給目前已認證的使用者。 然後，此使用者可以安全地儲存應用程式秘密，例如 MongoDB 連接字串與應用程式的 SECRET_KEY。

此角色指派是兩個 金鑰保存庫 相關角色指派中的第一個。 之後，Web 應用程式的系統指定的受控身份會獲得從保管庫擷取機密的存取權。

透過使用 Azure RBAC，您可以確保基於身份的存取安全且可稽核，因此不需要使用硬編碼的憑證。

1. 使用 az 角色分配 create 指令，在 金鑰保存庫 範圍內指派該角色。

   • Bash
   • PowerShell

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

使用受控識別授與 ACR 的 Web 存取權

若要安全從Azure Container Registry擷取影像（ACR），請設定網頁應用程式使用其系統指派的管理身份。 透過管理身份，你不需要管理員憑證，也能支援安全且無需憑證的部署。

此程式牽涉到兩個主要動作：

• 讓 Web 應用程式在存取 ACR 時使用其受控識別
• 將 AcrPull 角色指派至目標 ACR 的該身分識別上

1. 在此步驟中，透過使用 az webapp identity show 指令，取得網頁應用程式管理身份的主 ID（唯一物件 ID）。 接著，使用 az webapp config set，將 acrUseManagedIdentityCreds 屬性設為 true，以啟用受控識別來進行 ACR 驗證。 接著，使用 az role assignment create 命令，將 AcrPull 角色指派給 Web 應用程式的受控識別。 此角色會授與 Web 應用程式從登錄提取映像的許可權。

   • Bash
   • PowerShell

   #!/bin/bash
   PRINCIPAL_ID=$(az webapp identity show \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --query principalId \
     -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az webapp config set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --generic-configurations '{"acrUseManagedIdentityCreds": true}'
   
   az role assignment create \
   --role "AcrPull" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.ContainerRegistry/registries/$REGISTRY_NAME"
   
   

將金鑰保存庫存取權授予 Web 應用程式的受控身分識別

Web 應用程式需要許可權才能存取 MongoDB 連接字串和 SECRET_KEY等秘密。 要授予這些權限，請將 金鑰保存庫 秘密使用者 角色指派給網頁應用程式的 系統指派的管理身份 。

1. 在此步驟中，使用 Web 應用程式系統指派受控識別的唯一識別碼（主體識別碼），透過 az role assignment create 命令，以 金鑰保存庫 Secrets User 角色授與 Web 應用程式存取 金鑰保存庫 的權限。

   • Bash
   • PowerShell

   #!/bin/bash
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

將機密存放在 金鑰保存庫 中

為了避免在應用程式中硬編碼祕密，請將 MongoDB 連接字串 以及網頁應用程式的 secret key 存放在 Azure Key Vault。 網頁應用程式能透過其管理身份在執行時安全地存取這些秘密，因此你不需要將憑證儲存在程式碼或設定中。

1. 請使用 az cosmosdb keys list 指令來取得 MongoDB 連接字串。 接著，使用 az keyvault secret set 指令，將連接字串和隨機產生的秘密金鑰都儲存在 金鑰保存庫。

   • Bash
   • PowerShell

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

設定 Web 應用程式以使用 金鑰保存庫 祕密

要在執行時安全存取秘密，請設定網頁應用程式參考 Azure Key Vault 中儲存的秘密。 使用 金鑰保存庫 參考，透過應用程式的 系統指派受控識別，將祕密值注入應用程式的環境中。

此方法可避免硬式編碼秘密，並允許應用程式在執行期間安全地擷取敏感性值，例如 MongoDB 連接字串和秘密密鑰。

1. 使用 az webapp config appsettings set 指令來新增參考 金鑰保存庫 秘密的應用程式設定。 具體來說，請將 MongoConnectionString 和 MongoSecretKey 應用程式設定為參考 金鑰保存庫 中儲存的對應秘密。

   • Bash
   • PowerShell

   #!/bin/bash
   MONGODB_NAME="restaurants_reviews"
   MONGODB_COLLECTION_NAME="restaurants_reviews"
   
   az webapp config appsettings set \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --name "$APP_SERVICE_NAME" \
     --settings \
         CONNECTION_STRING="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoConnectionString)" \
         SECRET_KEY="@Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)" \
         DB_NAME="$MONGODB_NAME" \
         COLLECTION_NAME="$MONGODB_COLLECTION_NAME"
   

從 ACR 啟動持續部署

當你啟用持續部署時，網頁應用程式會自動拉取並執行最新的容器映像檔，當你推送到Azure Container Registry（ACR）時。 此功能減少手動部署步驟，並協助確保應用程式持續更新。

1. 使用 az webapp deployment container config 指令，啟用從 ACR 持續部署到網頁應用程式。

   • Bash
   • PowerShell

   #!/bin/bash
   az webapp deployment container config \
     --name "$APP_SERVICE_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --enable-cd true
   

註冊一個 ACR webhook 以進行持續部署

若要自動化部署，請在 Azure Container Registry （ACR） 中註冊 Webhook，以在推送新的容器映射時通知 Web 應用程式。 透過使用 webhook，應用程式會自動拉取並執行最新版本。

你在 Azure Container Registry 設定的 webhook（ACR）會在每當有新映像檔推送到 msdocspythoncontainerwebapp 倉庫時，向網頁應用程式的 SCM 端點（SERVICE_URI）發送 POST 請求。 此動作會觸發 Web 應用程式來提取和部署更新的映像，並完成 ACR 與 Azure App 服務 之間的持續部署管線。

1. 使用 az acr webhook create 命令來註冊 webhook，並將其設定為在 push 事件上觸發。

   • Bash
   • PowerShell

   #!/bin/bash
   CREDENTIAL=$(az webapp deployment list-publishing-credentials \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --name "$APP_SERVICE_NAME" \
       --query publishingPassword --output tsv)
   # Web app publishing credentials may not be available immediately. In production, poll until non-empty.   
   
   SERVICE_URI="https://$APP_SERVICE_NAME:$CREDENTIAL@$APP_SERVICE_NAME.scm.azurewebsites.net/api/registry/webhook"
   
   az acr webhook create \
     --name webhookforwebapp \
     --registry "$REGISTRY_NAME" \
     --scope msdocspythoncontainerwebapp:* \
     --uri "$SERVICE_URI" \
     --actions push
   
   

瀏覽網站

若要確認 Web 應用程式正在執行，請開啟 https://<website-name>.azurewebsites.net，並將 取代 <website-name> 為 App Service 的名稱。 您應該會看到餐廳檢閱範例應用程式。 第一次載入可能需要幾分鐘。

網站出現后，請嘗試新增餐廳並提交評論，以確認應用程式正常運作。

如果你是本地使用 Azure CLI，請使用 az webapp 瀏覽指令在預設瀏覽器中開啟該網站：

az webapp browse --name $APP_SERVICE_NAME --resource-group $RESOURCE_GROUP_NAME

您可以使用 Visual Studio Code 中的 Docker 擴充功能，建置容器化 Web 應用程式並將其部署至 Azure App 服務。 這個擴充套件可以簡化應用程式的封裝過程，並將它推送至雲端平台。 部署之後，請使用 Azure Tools 擴充功能來設定 Web 應用程式的設定，包括 MongoDB 連接字串和應用程式的秘密密鑰。

一開始，透過硬編碼值來設定和測試應用程式，確保它能啟動並成功連接到 MongoDB 資料庫。 確認應用程式運作之後，請使用 Azure CLI（在本機或 Cloud Shell 中）來建立 Azure Key Vault。 接著，授權使用者在 VS Code 中建立應用程式，以儲存敏感資訊，並將 MongoDB 的 連接字串 和應用程式的秘密金鑰作為 金鑰保存庫 秘密存放。

最後，在Visual Studio Code 中，更新Web應用程式的應用程式設定，以參考儲存在金鑰保存庫中的秘密。 應用程式現在可以安全地存取設定值，而不需要直接內嵌在程序代碼中。

建立 Web 應用程式

這些步驟需要安裝適用於 VS Code 的 Docker 擴充功能 。

1. 重新整理 Docker 擴充功能中的 Azure Container Registry，以確認您所建置的容器會出現在 Docker 延伸模組的 REGISTRIES 區段底下。 如果未出現，請以滑鼠右鍵按下登錄名稱，然後選取 [重新整理] 。

   

2. 選取 F1 或 CTRL+SHIFT+P 開啟命令選擇區，輸入 “Docker 登錄表”，然後選取 “Docker 登錄表：將映像部署至 Azure App 服務...”的工作。

3. 請根據提示輸入下列數值以部署映像：

   • 選取登錄提供者： Azure
   • 訂用帳戶：選取包含您稍早建立之 Azure Container Registry 的訂用帳戶。
   • 選取登錄：輸入您稍早在本教學課程中建立的登錄名稱。
   • 選取存放庫：輸入存放庫名稱 msdocscontainerregistryname。 如果您沒有看到此存放庫，請重新整理 Docker 擴充套件 REGISTRIES 一節。
   • 選取標籤：影像標籤的 最新版本 。
   • 輸入 Web 應用程式的全域唯一名稱：輸入 Azure App 服務 全域唯一的名稱。 例如，如果您使用 msdocs-website-name，Web 應用程式 URL 會是 http://msdocs-website-name.azurewebsites.net。
   • 選取資源群組：使用包含您稍早建立之 Azure Container Registry 的資源群組。
   • 選取 Linux App Service 方案：使用現有方案或建立新的方案。

4. 如需部署的詳細數據，請檢視 [OUTPUT] 視窗。 其中一個輸出行是「授與 App Service 從 ACR 拉取影像的許可權...」，App Service 會使用受控的身分識別來存取登錄。

   

   最後一個網站 https://<app-name>.azurewebsites.net 尚未就緒，因為您需要指定 MongoDB 資訊。

   注意

   當您使用 Visual Studio Code 進行部署時，App Service 已設定受控識別，以從登錄提取映像。 您可以在 [OUTPUT] 視窗中檢視記錄，並尋找「授與 App Service 從 ACR 提取映像的許可權...」訊息，以確認受控識別已啟用。

設定受管理的身份識別和 Webhook

在使用 VS Code 部署時，你會建立一個 webhook，讓網頁應用程式能從 Azure Container Registry 拉取新的映像檔。

1. 檢閱 Azure 入口網站中的 Webhook 組態，以確認 服務 URI 以 “/api/registry/webhook” 結尾。 若要檢閱服務 URI，請在 VS Code 中開啟 Docker 擴充功能，並尋找您所建立的登錄。 在登錄上按下滑鼠右鍵，然後選取 在入口網站中開啟。 容器登錄會在 Azure 入口網站中開啟。 按一下 服務，然後按一下 Webhook。 開啟右鍵選單，然後點擊 [設定]。

   

2. 確認 服務 URI 以 “/api/registry/webhook” 結尾。 如果沒有，請將它加到字串末尾，然後按一下儲存。

透過硬編碼值配置與 MongoDB 的連線

在此步驟中，指定網頁應用程式連接 MongoDB 所需的環境變數。

1. 在 VS Code 中的 Azure 檢視（透過 Azure 擴充功能）：

   1. 展開 RESOURCES，然後在您的訂用帳戶下尋找 App Services。 （請確保你依 資源類型分類查看資源。）

   2. 展開 [應用程式服務 ]，並尋找您建立的 Web 應用程式。

   3. 展開您的 Web 應用程式，並以滑鼠右鍵按下 [應用程式設定]。

   4. 請選擇“新增設定…”。

   

2. 每次新增設定時，VS Code 視窗頂端會出現一個對話框，您可以在其中新增設定名稱，後面接著其值。 新增下列設定：

   • CONNECTION_STRING： MongoDB 連接字串。 在本教學的後續步驟中，將此值設為儲存在 Azure Key Vault 中的連線字串。
   • DB_NAME： restaurants_reviews
   • COLLECTION_NAME： restaurants_reviews
   • WEBSITES_PORT： Django 為 8000，Flask 為 5000 。 此環境變數會指定容器正在接聽的埠。
   • SECRET_KEY ： supersecretkeythatispassedtopythonapp。 此秘密金鑰是 Django 和 Flask 用來加密工作階段資料的隨機字串。 在本教學後面，將這個值設為你存放在 Azure Key Vault 的隨機字串。

請使用硬編碼的數值瀏覽網站

在 VS Code 中的 Azure 檢視（透過 Azure 擴充功能）：

1. 展開 RESOURCES，然後在您的訂用帳戶下尋找 App Services。 （請確保你依 資源類型分類查看資源。）

2. 以滑鼠右鍵按下您的 Web 應用程式，然後選取 [瀏覽網站]。 如果您的網站顯示錯誤，請等候幾分鐘后再試一次。 網頁應用程式啟動可能需要幾分鐘。 另請參閱 App Service 的疑難排解。

使用 RBAC 授權建立 金鑰保存庫

在此步驟中，您會建立 Azure Key Vault 來儲存 MongoDB 連接字串 和 Web 應用程式的 SECRET_KEY。 Azure Key Vault 是用來儲存秘密、API 金鑰、連接字串和憑證的安全服務。 你可以設定金鑰保存庫使用 基於角色的存取控制（RBAC）來透過Azure角色管理存取，而非傳統的存取政策。 Web 應用程式會使用其 系統指派的受控識別 ，在運行時間安全地擷取秘密。

1. 執行下列 Azure CLI 命令來建立新的 金鑰保存庫。 此指令使用 bash 或 PowerShell 來建立啟用 RBAC 授權的 金鑰保存庫。

   • Bash
   • PowerShell

   #!/bin/bash
   RESOURCE_GROUP_NAME="msdocs-web-app-rg"
   LOCATION="westus"
   KEYVAULT_NAME="${RESOURCE_GROUP_NAME}-kv"
   
   az keyvault create \
     --name "$KEYVAULT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --location "$LOCATION" \
     --enable-rbac-authorization true
   

將 金鑰保存庫 Secrets Officer 角色授與已驗證的使用者

若要在Azure Key Vault中儲存秘密，請賦予執行腳本的使用者 金鑰保存庫秘密官角色。 此角色賦予在保險庫內建立和管理秘密的能力。

在此步驟中，腳本將此角色指派給目前已認證的使用者，使他們能安全地儲存敏感的應用程式資料，如 MongoDB 連接字串 及應用程式的 SECRET_KEY。

透過使用 Azure Role-Based 存取控制（RBAC），此方法可確保根據身分對 金鑰保存庫 進行安全且可稽核的存取，因此不需要直接將憑證嵌入程式碼或設定檔中。

1. 使用 az 角色分配 create 指令，在 金鑰保存庫 範圍內指派該角色。

   • Bash
   • PowerShell

   #!/bin/bash
   CALLER_ID=$(az ad signed-in-user show --query id -o tsv)
   echo $CALLER_ID # Verify this value retrieved successfully. In production, poll to verify this value is retrieved successfully.
   
   az role assignment create \
     --role "Key Vault Secrets Officer" \
     --assignee "$CALLER_ID" \
     --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   
   

將機密存放在 金鑰保存庫 中

為了避免在應用程式中硬編碼祕密，請將 MongoDB 連接字串 存到 MongoDB 實例，並將網頁應用程式的 secret 金鑰 存於 Azure Key Vault。 網頁應用程式可透過其管理身份在執行時安全地存取這些秘密，無需將憑證儲存在程式碼或設定中。

1. 請使用 az cosmosdb keys list 指令來取得 MongoDB 連接字串。 接著，使用 az keyvault secret set 指令，將連接字串和隨機產生的秘密金鑰都儲存在 金鑰保存庫。

   • Bash
   • PowerShell

   #!/bin/bash
   ACCOUNT_NAME="msdocs-cosmos-db-account-name"
   
   MONGO_CONNECTION_STRING=$(az cosmosdb keys list \
     --name "$ACCOUNT_NAME" \
     --resource-group "$RESOURCE_GROUP_NAME" \
     --type connection-strings \
     --query "connectionStrings[?description=='Primary MongoDB Connection String'].connectionString" -o tsv)
   
   SECRET_KEY=$(openssl rand -base64 32 | tr -dc 'a-zA-Z0-9')
   # This key is cryptographically secure, using OpenSSL’s strong random number generator.
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoConnectionString" \
     --value "$MONGO_CONNECTION_STRING"
   
   az keyvault secret set \
     --vault-name "$KEYVAULT_NAME" \
     --name "MongoSecretKey" \
     --value "$SECRET_KEY"
   

將金鑰保存庫存取權授予 Web 應用程式的受控身分識別

Web 應用程式需要權限才能存取 MongoDB 連接字串，以及存放在金鑰儲存庫中的 SECRET_KEY。 要授予這些權限，請將 金鑰保存庫 秘密使用者 角色指派給網頁應用程式的 系統指派的管理身份 。

1. 在此步驟中，使用 Web 應用程式系統指派受控識別的唯一識別碼（主體識別碼），透過 az role assignment create 命令，以 金鑰保存庫 Secrets User 角色授與該 Web 應用程式存取 金鑰保存庫 的權限。

   • Bash
   • PowerShell

   #!/bin/bash
     APP_SERVICE_NAME="msdocs-website-name"
     PRINCIPAL_ID=$(az webapp identity show \
       --name "$APP_SERVICE_NAME" \
       --resource-group "$RESOURCE_GROUP_NAME" \
       --query principalId \
       -o tsv)
   echo $PRINCIPAL_ID # Verify this value retrieved successfully. In production, poll for successful 'AcrPull' role assignment using `az role assignment list`.    
   
   az role assignment create \
   --role "Key Vault Secrets User" \
   --assignee "$PRINCIPAL_ID" \
   --scope "/subscriptions/$(az account show --query id -o tsv)/resourceGroups/$RESOURCE_GROUP_NAME/providers/Microsoft.KeyVault/vaults/$KEYVAULT_NAME"
   

透過使用 金鑰保存庫 秘密設定與 MongoDB 的連線

在此步驟中，您會更新連線到 MongoDB 所需的環境變數，以使用儲存在金鑰保存庫中的值。

1. 在 VS Code 中的 Azure 檢視（透過 Azure 擴充功能）：

   1. 展開 RESOURCES，然後在您的訂用帳戶下尋找 App Services。 （請確保你依 資源類型分類查看資源。）

   2. 展開 應用程式服務，接著展開您的 Web 應用程式，然後展開 應用程式設定。

   3. 修改下列設定：

   • CONNECTION_STRING： @Microsoft.KeyVault(SecretUri=https://msdocs-web-app-rg-kv.vault.azure.net/secrets/MongoConnectionString)
   • SECRET_KEY： @Microsoft.KeyVault(SecretUri=https://$KEYVAULT_NAME.vault.azure.net/secrets/MongoSecretKey)

   注意

   要確認應用程式設定是否正確，請使用 az webapp config appsettings list 指令來列出網頁應用程式的應用程式設定。 命令的格式為： az webapp config appsettings list --/<resource-group msdocs-web-app-rg/> --name /<website-name/>。 此命令會列出 Web 應用程式的所有應用程式設定，包括您剛才設定的應用程式設定。

使用 金鑰保存庫 祕密來瀏覽此網站

在 VS Code 中的 Azure 檢視（透過 Azure 擴充功能）：

1. 展開 RESOURCES，然後在您的訂用帳戶下尋找 App Services。 （請確保你依 資源類型分類查看資源。）

2. 以滑鼠右鍵按下您的 Web 應用程式，然後選取 [瀏覽網站]。 如果您的網站顯示錯誤，請等候幾分鐘后再試一次。 網頁應用程式啟動可能需要幾分鐘。 另請參閱 App Service 的疑難排解。