Gerenciar segredos em Aplicativos de Contêiner do Azure

Artigo
10/26/2023

O Azure Container Apps permite que a sua aplicação armazene em segurança valores de configurações sensíveis. Depois que os segredos são definidos no nível do aplicativo, os valores protegidos ficam disponíveis para revisões em seus aplicativos de contêiner. Além disso, você pode fazer referência a valores protegidos dentro de regras de escala. Para obter informações sobre como usar segredos com o Dapr, consulte Integração do Dapr.

Os segredos são confinados a uma aplicação, fora de qualquer revisão específica dessa aplicação.
Adicionar, remover ou alterar segredos não gera novas revisões.
Cada revisão da aplicação pode fazer referência a um ou mais segredos.
Várias revisões podem fazer referência ao mesmo ou mesmos segredos.

Um segredo atualizado ou excluído não afeta automaticamente as revisões existentes em seu aplicativo. Quando um segredo é atualizado ou eliminado, pode responder às alterações de uma de duas maneiras:

Implementar uma revisão nova.
Reiniciar uma revisão existente.

Antes de eliminar um segredo, implemente uma nova revisão que já não faça referência ao segredo antigo. Em seguida, desative todas as revisões que fazem referência ao segredo.

Definição de segredos

Os segredos são definidos como um conjunto de pares nome/valor. O valor de cada segredo é especificado diretamente ou como uma referência a um segredo armazenado no Cofre da Chave do Azure.

Armazenar valor secreto em aplicativos de contêiner

Quando você define segredos através do portal, ou através de diferentes opções de linha de comando.

Vá para seu aplicativo de contêiner no portal do Azure.
Na seção Configurações, selecione Segredos.
Selecione Adicionar.
No painel de contexto Adicionar segredo, insira as seguintes informações:
- Nome: O nome do segredo.
- Tipo: Selecione Container Apps Secret.
- Valor: O valor do segredo.
Selecione Adicionar.

Os segredos são definidos no nível do aplicativo na resources.properties.configuration.secrets seção.

"resources": [
{
    ...
    "properties": {
        "configuration": {
            "secrets": [
            {
                "name": "queue-connection-string",
                "value": "<MY-CONNECTION-STRING-VALUE>"
            }],
        }
    }
}

Aqui, uma cadeia de conexão para uma conta de armazenamento de fila é declarada secrets na matriz. Neste exemplo, você substituiria <MY-CONNECTION-STRING-VALUE> pelo valor da cadeia de conexão.

Quando você cria um aplicativo de contêiner, os segredos são definidos usando o --secrets parâmetro.

O parâmetro aceita um conjunto delimitado por espaço de pares nome/valor.
Cada par é delimitado por um sinal de igual (=).

az containerapp create \
  --resource-group "my-resource-group" \
  --name queuereader \
  --environment "my-environment-name" \
  --image demos/queuereader:v1 \
  --secrets "queue-connection-string=<CONNECTION_STRING>"

Aqui, uma cadeia de conexão para uma conta de armazenamento de fila é declarada --secrets no parâmetro. Substitua <CONNECTION_STRING> pelo valor da cadeia de conexão.

Quando você cria um aplicativo contêiner, os segredos são definidos como um ou mais objetos Secret que são passados pelo ConfigurationSecrets parâmetro.

$EnvId = (Get-AzContainerAppManagedEnv -ResourceGroupName my-resource-group -EnvName my-environment-name).Id
$TemplateObj = New-AzContainerAppTemplateObject -Name queuereader -Image demos/queuereader:v1
$SecretObj = New-AzContainerAppSecretObject -Name queue-connection-string -Value $QueueConnectionString

$ContainerAppArgs = @{
    Name = 'my-resource-group'
    Location = '<location>'
    ResourceGroupName = 'my-resource-group'
    ManagedEnvironmentId = $EnvId
    TemplateContainer = $TemplateObj
    ConfigurationSecret = $SecretObj
}

New-AzContainerApp @ContainerAppArgs

Aqui, uma cadeia de conexão para uma conta de armazenamento de fila é declarada. O valor for queue-connection-string vem de uma variável de ambiente chamada $QueueConnectionString.

Segredo de referência do Cofre da Chave

Ao definir um segredo, você cria uma referência a um segredo armazenado no Cofre da Chave do Azure. O Container Apps recupera automaticamente o valor secreto do Key Vault e o disponibiliza como um segredo em seu aplicativo de contêiner.

Para fazer referência a um segredo do Cofre da Chave, você deve primeiro habilitar a identidade gerenciada em seu aplicativo de contêiner e conceder à identidade acesso aos segredos do Cofre da Chave.

Para habilitar a identidade gerenciada em seu aplicativo de contêiner, consulte Identidades gerenciadas.

Para conceder acesso aos segredos do Cofre da Chave, crie uma política de acesso no Cofre da Chave para a identidade gerenciada que você criou. Habilite a permissão secreta "Obter" nesta política.

Vá para seu aplicativo de contêiner no portal do Azure.
Na seção Configurações, selecione Identidade.
Na guia Sistema atribuído, selecione Ativado.
Selecione Salvar para habilitar a identidade gerenciada atribuída ao sistema.
Na seção Configurações, selecione Segredos.
Selecione Adicionar.
No painel de contexto Adicionar segredo, insira as seguintes informações:
- Nome: O nome do segredo.
- Tipo: Selecione Referência do Cofre da Chave.
- URL secreto do Cofre da Chave: o URI do seu segredo no Cofre da Chave.
- Identidade: a identidade a ser usada para recuperar o segredo do Cofre de Chaves.
Selecione Adicionar.

Os segredos são definidos no nível do aplicativo na resources.properties.configuration.secrets seção.

"resources": [
{
    ...
    "properties": {
        "configuration": {
            "secrets": [
            {
                "name": "queue-connection-string",
                "keyVaultUrl": "<KEY-VAULT-SECRET-URI>",
                "identity": "system"
            }],
        }
    }
}

Aqui, uma cadeia de conexão para uma conta de armazenamento de fila é declarada secrets na matriz. Seu valor é recuperado automaticamente do Cofre da Chave usando a identidade especificada. Para usar uma identidade gerenciada pelo usuário, substitua system pelo ID de recurso da identidade.

Substitua <KEY-VAULT-SECRET-URI> pelo URI do seu segredo no Cofre de Chaves.

Quando você cria um aplicativo de contêiner, os segredos são definidos usando o --secrets parâmetro.

O parâmetro aceita um conjunto delimitado por espaço de pares nome/valor.
Cada par é delimitado por um sinal de igual (=).
Para especificar uma referência do Cofre da Chave, use o formato <SECRET_NAME>=keyvaultref:<KEY_VAULT_SECRET_URI>,identityref:<MANAGED_IDENTITY_ID>. Por exemplo, queue-connection-string=keyvaultref:https://mykeyvault.vault.azure.net/secrets/queuereader,identityref:/subscriptions/00000000-0000-0000-0000-000000000000/resourcegroups/my-resource-group/providers/Microsoft.ManagedIdentity/userAssignedIdentities/my-identity.

az containerapp create \
  --resource-group "my-resource-group" \
  --name queuereader \
  --environment "my-environment-name" \
  --image demos/queuereader:v1 \
  --user-assigned "<USER_ASSIGNED_IDENTITY_ID>" \
  --secrets "queue-connection-string=keyvaultref:<KEY_VAULT_SECRET_URI>,identityref:<USER_ASSIGNED_IDENTITY_ID>"

Aqui, uma cadeia de conexão para uma conta de armazenamento de fila é declarada --secrets no parâmetro. Substitua <KEY_VAULT_SECRET_URI> pelo URI do seu segredo no Cofre de Chaves. Substitua <USER_ASSIGNED_IDENTITY_ID> pelo ID do recurso da identidade atribuída ao usuário. Para a identidade atribuída ao sistema, use system em vez do ID do recurso.

Nota

A identidade atribuída ao usuário deve ter acesso para ler o segredo no Cofre de Chaves. A identidade atribuída ao sistema não pode ser usada com o comando create porque ela não está disponível até que o aplicativo contêiner seja criado.

Nota

Se estiver a utilizar UDR com a Firewall do Azure, terá de adicionar a AzureKeyVault etiqueta de serviço e o FQDN login.microsoft.com à lista de permissões da firewall. Consulte configurar o UDR com o Firewall do Azure para decidir quais tags de serviço adicionais você precisa.

URI secreto do Cofre de Chaves e rotação secreta

O URI secreto do Cofre da Chave deve estar em um dos seguintes formatos:

https://myvault.vault.azure.net/secrets/mysecret/ec96f02080254f109c51a1f14cdb1931: Faça referência a uma versão específica de um segredo.
https://myvault.vault.azure.net/secrets/mysecret: Consulte a versão mais recente de um segredo.

Se uma versão não for especificada no URI, o aplicativo usará a versão mais recente existente no cofre de chaves. Quando as versões mais recentes ficam disponíveis, o aplicativo recupera automaticamente a versão mais recente em 30 minutos. Todas as revisões ativas que fazem referência ao segredo em uma variável de ambiente são reiniciadas automaticamente para pegar o novo valor.

Para obter controle total de qual versão de um segredo é usada, especifique a versão no URI.

Referenciando segredos em variáveis de ambiente

Depois de declarar segredos no nível do aplicativo, conforme descrito na seção definindo segredos, você pode fazer referência a eles em variáveis de ambiente ao criar uma nova revisão em seu aplicativo contêiner. Quando uma variável de ambiente faz referência a um segredo, seu valor é preenchido com o valor definido no segredo.

Exemplo

O exemplo a seguir mostra um aplicativo que declara uma cadeia de conexão no nível do aplicativo. Essa conexão é referenciada em uma variável de ambiente de contêiner e em uma regra de escala.

Depois de definir um segredo em seu aplicativo de contêiner, você pode fazer referência a ele em uma variável de ambiente ao criar uma nova revisão.

Vá para seu aplicativo de contêiner no portal do Azure.
Abra a página Gerenciamento de revisão .
Selecione Criar nova revisão.
Na página Criar e implantar nova revisão, selecione um contêiner.
Na seção Variáveis de ambiente, selecione Adicionar.
Introduza as informações seguintes:
- Nome: O nome da variável de ambiente.
- Fonte: Selecione Referenciar um segredo.
- Valor: Selecione o segredo ao qual deseja fazer referência.
Selecione Guardar.
Selecione Criar para criar a nova revisão.

Neste exemplo, a cadeia de conexão do aplicativo é declarada como queue-connection-string e fica disponível em outro lugar nas seções de configuração.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-08-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "location": {
            "type": "String"
        },
        "environment_id": {
            "type": "String"
        },
        "queue-connection-string": {
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
    {
        "name": "queuereader",
        "type": "Microsoft.App/containerApps",
        "apiVersion": "2022-03-01",
        "kind": "containerapp",
        "location": "[parameters('location')]",
        "properties": {
            "managedEnvironmentId": "[parameters('environment_id')]",
            "configuration": {
                "activeRevisionsMode": "single",
                "secrets": [
                {
                    "name": "queue-connection-string",
                    "value": "[parameters('queue-connection-string')]"
                }]
            },
            "template": {
                "containers": [
                    {
                        "image": "myregistry/myQueueApp:v1",
                        "name": "myQueueApp",
                        "env": [
                            {
                                "name": "QueueName",
                                "value": "myqueue"
                            },
                            {
                                "name": "ConnectionString",
                                "secretRef": "queue-connection-string"
                            }
                        ]
                    }
                ],
                "scale": {
                    "minReplicas": 0,
                    "maxReplicas": 10,
                    "rules": [
                        {
                            "name": "myqueuerule",
                            "azureQueue": {
                                "queueName": "demoqueue",
                                "queueLength": 100,
                                "auth": [
                                    {
                                        "secretRef": "queue-connection-string",
                                        "triggerParameter": "connection"
                                    }
                                ]
                            }
                        }
                    ]
                }
            }
        }
    }]
}

Aqui, a variável de ambiente nomeada connection-string obtém seu valor do segredo de nível queue-connection-string de aplicativo. Além disso, a configuração de autenticação da regra de escala do Armazenamento de Filas do Azure usa o queue-connection-string segredo como para definir sua conexão.

Para evitar comprometer valores secretos para o controle do código-fonte com seu modelo ARM, passe valores secretos como parâmetros de modelo ARM.

Neste exemplo, você cria um aplicativo de contêiner usando a CLI do Azure com um segredo referenciado em uma variável de ambiente. Para fazer referência a um segredo em uma variável de ambiente na CLI do Azure, defina seu valor como secretref:, seguido pelo nome do segredo.

az containerapp create \
  --resource-group "my-resource-group" \
  --name myQueueApp \
  --environment "my-environment-name" \
  --image demos/myQueueApp:v1 \
  --secrets "queue-connection-string=$CONNECTIONSTRING" \
  --env-vars "QueueName=myqueue" "ConnectionString=secretref:queue-connection-string"

Aqui, a variável de ambiente nomeada connection-string obtém seu valor do segredo de nível queue-connection-string de aplicativo.

Neste exemplo, você cria um contêiner usando o Azure PowerShell com um segredo referenciado em uma variável de ambiente. Para fazer referência ao segredo em uma variável de ambiente no PowerShell, defina seu valor como secretref:, seguido pelo nome do segredo.

$EnvId = (Get-AzContainerAppManagedEnv -ResourceGroupName my-resource-group -EnvName my-environment-name).Id

$SecretObj = New-AzContainerAppSecretObject -Name queue-connection-string -Value $QueueConnectionString
$EnvVarObjQueue = New-AzContainerAppEnvironmentVarObject -Name QueueName -Value myqueue
$EnvVarObjConn = New-AzContainerAppEnvironmentVarObject -Name ConnectionString -SecretRef queue-connection-string -Value secretref
$TemplateObj = New-AzContainerAppTemplateObject -Name myQueueApp -Image demos/myQueueApp:v1 -Env $EnvVarObjQueue, $EnvVarObjConn

$ContainerAppArgs = @{
    Name = 'myQueueApp'
    Location = '<location>'
    ResourceGroupName = 'my-resource-group'
    ManagedEnvironmentId = $EnvId
    TemplateContainer = $TemplateObj
    ConfigurationSecret = $SecretObj
}

New-AzContainerApp @ContainerAppArgs

Aqui, a variável de ambiente nomeada ConnectionString obtém seu valor do segredo de nível $QueueConnectionString de aplicativo.

Segredos de montagem num volume

Depois de declarar segredos no nível do aplicativo, conforme descrito na seção definindo segredos, você pode fazer referência a eles em montagens de volume ao criar uma nova revisão em seu aplicativo contêiner. Quando você monta segredos em um volume, cada segredo é montado como um arquivo no volume. O nome do arquivo é o nome do segredo e o conteúdo do arquivo é o valor do segredo. Você pode carregar todos os segredos em uma montagem de volume ou pode carregar segredos específicos.

Exemplo

Depois de definir um segredo em seu aplicativo de contêiner, você pode fazer referência a ele em uma montagem de volume ao criar uma nova revisão.

Vá para seu aplicativo de contêiner no portal do Azure.
Abra a página Gerenciamento de revisão .
Selecione Criar nova revisão.
Na página Criar e implantar nova revisão.
Selecione um contêiner e selecione Editar.
Na seção Montagens de volume, expanda a seção Segredos.
Selecione Criar novo volume.
Introduza as informações seguintes:
- Designação: mysecrets
- Monte todos os segredos: ativado
Nota

Se quiser carregar segredos específicos, desative Montar todos os segredos e selecione os segredos que deseja carregar.
Selecione Adicionar.
Em Nome do volume, selecione mysecrets.
Em Montar caminho, insira /mnt/secrets.
Selecione Guardar.
Selecione Criar para criar a nova revisão com a montagem do volume.

Neste exemplo, dois segredos são declarados no nível do aplicativo. Esses segredos são montados em um volume chamado mysecrets do tipo Secret. O volume é montado no caminho /mnt/secrets. O aplicativo pode então fazer referência aos segredos na montagem do volume.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-08-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "location": {
            "type": "String"
        },
        "environment_id": {
            "type": "String"
        },
        "queue-connection-string": {
            "type": "Securestring"
        },
        "api-key": {
            "type": "Securestring"
        }
    },
    "variables": {},
    "resources": [
    {
        "name": "queuereader",
        "type": "Microsoft.App/containerApps",
        "apiVersion": "2022-11-01-preview",
        "kind": "containerapp",
        "location": "[parameters('location')]",
        "properties": {
            "managedEnvironmentId": "[parameters('environment_id')]",
            "configuration": {
                "activeRevisionsMode": "single",
                "secrets": [
                    {
                        "name": "queue-connection-string",
                        "value": "[parameters('queue-connection-string')]"
                    },
                    {
                        "name": "api-key",
                        "value": "[parameters('api-key')]"
                    }
                ]
            },
            "template": {
                "containers": [
                    {
                        "image": "myregistry/myQueueApp:v1",
                        "name": "myQueueApp",
                        "volumeMounts": [
                            {
                                "name": "mysecrets",
                                "mountPath": "/mnt/secrets"
                            }
                        ]
                    }
                ],
                "volumes": [
                    {
                        "name": "mysecrets",
                        "storageType": "Secret"
                    }
                ]
            }
        }
    }]
}

Para carregar segredos específicos e especificar seus caminhos dentro do volume montado, defina os secrets segredos na matriz do objeto de volume. O exemplo a seguir mostra como carregar somente o queue-connection-string segredo na montagem do mysecrets volume com um nome de arquivo de connection-string.txt.

{
    "properties": {
        ...
        "configuration": {
            ...
            "secrets": [
                {
                    "name": "queue-connection-string",
                    "value": "[parameters('queue-connection-string')]"
                },
                {
                    "name": "api-key",
                    "value": "[parameters('api-key')]"
                }
            ]
        },
        "template": {
            "containers": [
                {
                    "image": "myregistry/myQueueApp:v1",
                    "name": "myQueueApp",
                    "volumeMounts": [
                        {
                            "name": "mysecrets",
                            "mountPath": "/mnt/secrets"
                        }
                    ]
                }
            ],
            "volumes": [
                {
                    "name": "mysecrets",
                    "storageType": "Secret",
                    "secrets": [
                        {
                            "secretRef": "queue-connection-string",
                            "path": "connection-string.txt"
                        }
                    ]
                }
            ]
        }
        ...
    }
    ...
}

Em seu aplicativo, você pode ler o segredo de um arquivo localizado em /mnt/secrets/connection-string.txt.

Neste exemplo, dois segredos são declarados no nível do aplicativo. Esses segredos são montados em um volume chamado mysecrets do tipo Secret. O volume é montado no caminho /mnt/secrets. O aplicativo pode então ler os segredos como arquivos na montagem do volume.

az containerapp create \
  --resource-group "my-resource-group" \
  --name myQueueApp \
  --environment "my-environment-name" \
  --image demos/myQueueApp:v1 \
  --secrets "queue-connection-string=$CONNECTIONSTRING" "api-key=$API_KEY" \
  --secret-volume-mount "/mnt/secrets"

Para carregar segredos específicos e especificar seus caminhos dentro do volume montado, defina seu aplicativo usando YAML.

Próximos passos

Contentores

Gerenciar segredos em Aplicativos de Contêiner do Azure

Definição de segredos

Armazenar valor secreto em aplicativos de contêiner

Segredo de referência do Cofre da Chave

URI secreto do Cofre de Chaves e rotação secreta

Referenciando segredos em variáveis de ambiente

Exemplo

Segredos de montagem num volume

Exemplo

Próximos passos

Recursos adicionais