Tutorial: Menyimpan dan menggunakan kredensial Azure Cosmos DB dengan Azure Key Vault

BERLAKU UNTUK: NoSQL MongoDB Cassandra Gremlin Meja

Jika Anda menggunakan Azure Cosmos DB sebagai database, Anda tersambung ke database, kontainer, dan item dengan menggunakan SDK, titik akhir API, dan kunci utama atau sekunder.

Ini bukan praktik yang baik untuk menyimpan URI titik akhir dan kunci baca-tulis sensitif langsung dalam kode aplikasi atau file konfigurasi. Idealnya, data ini dibaca dari variabel lingkungan dalam host. Di Azure App Service, pengaturan aplikasi memungkinkan Anda menyuntikkan kredensial runtime untuk akun Azure Cosmos DB Anda tanpa perlu pengembang menyimpan kredensial ini dengan cara teks yang tidak aman.

Azure Key Vault melakukan iterasi pada praktik terbaik ini lebih lanjut dengan memungkinkan Anda menyimpan kredensial ini dengan aman sambil memberikan layanan seperti akses terkelola Azure App Service ke kredensial. Azure App Service akan membaca kredensial Anda dengan aman dari Azure Key Vault dan menyuntikkan kredensial tersebut ke dalam aplikasi anda yang sedang berjalan.

Dengan praktik terbaik ini, pengembang dapat menyimpan kredensial untuk alat seperti emulator Azure Cosmos DB atau Coba Azure Cosmos DB gratis selama pengembangan. Kemudian, tim operasi dapat memastikan bahwa pengaturan produksi yang benar disuntikkan pada runtime.

Dalam tutorial ini, Anda akan mempelajari cara:

Prasyarat

• Akun Azure Cosmos DB for NoSQL yang sudah ada.
  • Jika Anda memiliki langganan Azure, buat akun baru.
  • Jika Anda tidak memiliki langganan Azure, buat akun gratis sebelum Anda memulai.
  • Atau, Anda dapat mencoba Azure Cosmos DB gratis sebelum berkomitmen.
• Akun GitHub.

Sebelum Memulai: Mendapatkan kredensial Azure Cosmos DB

Sebelum memulai, Anda akan mendapatkan kredensial untuk akun yang sudah ada.

1. Navigasi ke halaman portal Azure untuk akun Azure Cosmos DB for NoSQL yang ada.

2. Dari halaman akun Azure Cosmos DB for NoSQL, pilih opsi menu navigasi Kunci .

   

3. Catat nilai dari bidang URI dan KUNCI PRIMER. Anda akan menggunakan nilai-nilai ini nanti dalam tutorial ini.

   

Membuat sumber daya Azure Key Vault

Pertama, buat brankas kunci baru untuk menyimpan API Anda untuk kredensial NoSQL.

1. Masuk ke portal Azure.

2. Pilih Buat sumber daya > Keamanan > Key Vault.

3. Pada halaman Buat brankas kunci, masukkan informasi berikut ini:

   Pengaturan	Deskripsi
   Langganan	Pilih langganan Azure yang ingin Anda gunakan untuk akun Azure Cosmos ini.
   Grup sumber daya	Pilih grup sumber daya, atau pilih Buat baru, lalu masukkan nama unik untuk grup sumber daya baru.
   Nama brankas kunci	Masukkan nama unik global untuk brankas kunci Anda.
   Wilayah	Pilih lokasi geografis untuk menghosting akun Azure Cosmos DB Anda. Gunakan lokasi yang paling dekat dengan pengguna Anda untuk memberi mereka akses tercepat ke data.
   Tingkat harga	Pilih Standar.

4. Biarkan pengaturan yang tersisa ke nilai defaultnya.

5. Pilih Tinjau + buat.

6. Tinjau pengaturan yang Anda berikan, kemudian pilih Buat. Dibutuhkan beberapa menit untuk membuat akun. Tunggu halaman portal untuk menampilkan Penyebaran Anda selesai sebelum melanjutkan.

Menambahkan kunci akses Azure Cosmos DB pada Key Vault

Sekarang, simpan kredensial Azure Cosmos DB Anda sebagai rahasia di brankas kunci.

1. Pilih Buka sumber daya untuk masuk ke halaman sumber daya Azure Key Vault.

2. Dari halaman sumber daya Azure Key Vault, pilih opsi menu navigasi Rahasia .

3. Pilih Hasilkan/Impor dari menu.

   

4. Pada halaman Buat rahasia , masukkan informasi berikut ini:

   Pengaturan	Deskripsi
   Opsi unggah	Manual
   Nama	titik akhir kosmos
   Nilai rahasia	Masukkan URI yang Anda salin sebelumnya dalam tutorial ini.

   

5. Pilih Buat untuk membuat rahasia titik akhir kosmos baru.

6. Pilih Buat/Impor dari menu lagi. Pada halaman Buat rahasia , masukkan informasi berikut ini:

   Pengaturan	Deskripsi
   Opsi unggah	Manual
   Nama	cosmos-readwrite-key
   Nilai rahasia	Masukkan KUNCI PRIMER yang Anda salin sebelumnya dalam tutorial ini.

   

7. Pilih Buat untuk membuat rahasia cosmos-readwrite-key baru.

8. Setelah rahasia dibuat, lihat di daftar rahasia dalam halaman Rahasia .

   

9. Pilih setiap kunci, pilih versi terbaru, lalu salin Pengidentifikasi Rahasia. Anda akan menggunakan pengidentifikasi untuk rahasia cosmos-endpoint dan cosmos-readwrite-key nanti dalam tutorial ini.

   Tip

   Pengidentifikasi rahasia dalam format https://<key-vault-name>.vault.azure.net/secrets/<secret-name>/<version-id>ini . Misalnya, jika nama brankas kunci adalah msdocs-key-vault, nama kuncinya adalah cosmos-readwrite-key, dan versinya adalah aaaaaaaa-0b0b-1c1c-2d2d-33333333333333; maka pengidentifikasi rahasia adalah https://msdocs-key-vault.vault.azure.net/secrets/cosmos-readwrite-key/aaaaaaaa-0b0b-1c1c-2d2d-333333333333:

   

Membuat dan mendaftarkan Azure Web App dengan Azure Key Vault

Di bagian ini, buat Azure Web App baru, sebarkan aplikasi sampel, lalu daftarkan identitas terkelola Aplikasi Web dengan Azure Key Vault.

1. Buat repositori GitHub baru menggunakan templat cosmos-db-nosql-dotnet-sample-web-environment-variables.

2. Di portal Azure, pilih Buat sumber daya > Web > App.

3. Pada halaman Buat Aplikasi Web dan tab Dasar , masukkan informasi berikut ini:

   Pengaturan	Deskripsi
   Langganan	Pilih langganan Azure yang ingin Anda gunakan untuk akun Azure Cosmos ini.
   Grup sumber daya	Pilih grup sumber daya, atau pilih Buat baru, lalu masukkan nama unik untuk grup sumber daya baru.
   Nama	Masukkan nama unik global untuk aplikasi web Anda.
   Menerbitkan	Pilih Kode.
   Tumpukan runtime	Pilih .NET 6 (LTS).
   Sistem Operasi	Pilih Windows.
   Wilayah	Pilih lokasi geografis untuk menghosting akun Azure Cosmos DB Anda. Gunakan lokasi yang paling dekat dengan pengguna Anda untuk memberi mereka akses tercepat ke data.

4. Biarkan pengaturan yang tersisa ke nilai defaultnya.

5. Pilih Berikutnya: Penyebaran.

6. Pada tab Penyebaran , masukkan informasi berikut ini:

   Pengaturan	Deskripsi
   Penerapan Berkelanjutan	Klik Aktifkan.
   Akun GitHub	Pilih Otorisasi. Ikuti perintah otorisasi akun GitHub untuk memberikan izin Azure untuk membaca repositori GitHub yang baru dibuat.
   Organisasi	Pilih organisasi untuk repositori GitHub baru Anda.
   Repositori	Pilih nama repositori GitHub baru Anda.
   Cabang	Pilih utama.

7. Pilih Tinjau + buat.

8. Tinjau pengaturan yang Anda berikan, kemudian pilih Buat. Dibutuhkan beberapa menit untuk membuat akun. Tunggu halaman portal untuk menampilkan Penyebaran Anda selesai sebelum melanjutkan.

9. Anda mungkin perlu menunggu beberapa menit tambahan agar aplikasi web awalnya disebarkan ke aplikasi web. Dari halaman sumber daya Azure Web App, pilih Telusuri untuk melihat status default aplikasi.

   

10. Pilih opsi menu navigasi Identitas.

11. Pada halaman Identitas , pilih Aktif untuk Identitas terkelola yang ditetapkan sistem, lalu pilih Simpan.

    

Menyuntikkan rahasia Azure Key Vault sebagai pengaturan aplikasi Azure Web App

Terakhir, masukkan rahasia yang disimpan di brankas kunci Anda sebagai pengaturan aplikasi dalam aplikasi web. Pengaturan aplikasi akan, pada gilirannya, menyuntikkan kredensial ke dalam aplikasi saat runtime tanpa menyimpan kredensial dalam teks yang jelas.

1. Kembali ke halaman brankas kunci di portal Azure. Pilih Kebijakan akses dari menu navigasi.

2. Pada halaman Kebijakan akses , pilih Buat dari menu.

   

3. Pada tab Izin dari halaman Buat kebijakan akses, pilih opsi Dapatkan di bagian Izin rahasia. Pilih Selanjutnya.

   

4. Pada tab Utama , pilih nama aplikasi web yang Anda buat sebelumnya dalam tutorial ini. Pilih Selanjutnya.

   

   Catatan

   Dalam contoh cuplikan layar ini, aplikasi web diberi nama msdocs-dotnet-web.

5. Pilih Berikutnya lagi untuk melewati tab Aplikasi . Pada tab Tinjau + buat , tinjau pengaturan yang Anda sediakan, lalu pilih Buat.

6. Kembali ke halaman aplikasi web di portal Azure. Pilih Konfigurasi dari menu navigasi.

7. Pada halaman Konfigurasi , pilih Pengaturan aplikasi baru. Dalam dialog Tambahkan/Edit pengaturan aplikasi, masukkan informasi berikut ini:

   Pengaturan	Deskripsi
   Nama	CREDENTIALS__ENDPOINT
   Kunci	Dapatkan pengidentifikasi rahasia untuk rahasia titik akhir kosmos di brankas kunci yang Anda buat sebelumnya dalam tutorial ini. Masukkan pengidentifikasi dalam format berikut: @Microsoft.KeyVault(SecretUri=<secret-identifier>).

   Tip

   Pastikan bahwa variabel lingkungan memiliki nilai garis bawah ganda (__) alih-alih satu garis bawah. Garis bawah ganda adalah pembatas kunci yang didukung oleh .NET pada semua platform. Untuk informasi selengkapnya, lihat konfigurasi variabel lingkungan.

   Catatan

   Misalnya, jika pengidentifikasi rahasia adalah https://msdocs-key-vault.vault.azure.net/secrets/cosmos-endpoint/AB0CD1EF2GH3IJ4KL5MN6OP7QR8ST9, maka referensinya adalah @Microsoft.KeyVault(SecretUri=https://msdocs-key-vault.vault.azure.net/secrets/cosmos-endpoint/AB0CD1EF2GH3IJ4KL5MN6OP7QR8ST9):

   

8. Pilih OK untuk mempertahankan pengaturan aplikasi baru

9. Pilih Pengaturan aplikasi baru lagi. Dalam dialog Tambahkan/Edit pengaturan aplikasi, masukkan informasi berikut lalu pilih OK:

   Pengaturan	Deskripsi
   Nama	CREDENTIALS__KEY
   Kunci	Dapatkan pengidentifikasi rahasia untuk rahasia cosmos-readwrite-key di brankas kunci yang Anda buat sebelumnya dalam tutorial ini. Masukkan pengidentifikasi dalam format berikut: @Microsoft.KeyVault(SecretUri=<secret-identifier>).

10. Kembali ke halaman Konfigurasi , pilih Simpan untuk memperbarui pengaturan aplikasi untuk aplikasi web.

    

11. Tunggu beberapa menit hingga aplikasi web dimulai ulang dengan pengaturan aplikasi baru. Pada titik ini, pengaturan aplikasi baru harus menunjukkan bahwa pengaturan tersebut adalah Referensi Brankas kunci.

    

12. Pilih Gambaran Umum dari menu navigasi. Pilih Telusuri untuk melihat aplikasi dengan kredensial yang diisi.

    

Langkah berikutnya

• Untuk mengonfigurasi firewall pada Azure Cosmos DB, lihat artikel dukungan firewall.
• Untuk mengonfigurasi titik akhir layanan jaringan virtual, lihat artikel akses aman dengan menggunakan titik akhir layanan VNet.