打开容器壳（SSH）并在Azure 应用服务中执行命令

App Service 提供基于浏览器的 SSH 访问，访问托管在 Windows 自定义容器中的应用。 浏览器会话无需特殊图像配置。

Azure CLI az webapp exec 命令仅支持 Linux Web 应用。 不要在 Windows 应用 Service 计划中使用本文中的 Linux CLI 示例。

对于内置和自定义的 Linux 容器，较新的浏览器终端和 az webapp exec 都使用 Kudu 作为经过身份验证的代理来连接到正在运行的容器。 这些选项不需要你安装SSH服务器、嵌入SSH密码、暴露SSH端口，或在自定义镜像中启动SSH守护进程。 旧版 Kudu WebSSH 和 az webapp ssh 访问可能仍然需要自定义镜像中的 SSH 服务器。

使用 Azure 门户进行浏览器会话，或使用预览 az webapp exec 命令进行本地终端会话或分离式命令执行。 浏览器终端要求镜像中包含 /bin/bash，目前不支持选择另一个 shell。 如果图片外壳不同，则改用 az webapp exec --shell /bin/sh。 没有 Shell 的镜像（包括 distroless 镜像）无法打开交互式会话。

• 对于 CLI 示例，安装 Azure CLI 2.90.0 或更高版本并登录。 使用 az version 查看您的版本。
• 对于CLI交互会话，使用存在于镜像中的交互终端和一个shell。 默认为 /bin/bash；对于不含 bash 的映像，如果该 shell 可用，请指定 --shell /bin/sh。

使用 Azure CLI 打开 SSH 会话

预览 az webapp exec 命令会在你的应用主容器中打开一个交互式 shell。 会话使用你在Windows、macOS和Linux上的本地终端;不会打开浏览器。

az webapp exec --resource-group <resource-group-name> --name <app-name>

对于使用 /bin/sh 代替 bash 的镜像：

az webapp exec --resource-group <resource-group-name> --name <app-name> --shell /bin/sh

你可以在这个会话中运行命令并检查它们的输出。 例如，如果镜像中已安装，请使用 top。 要检查SCM/Kudu容器而不是应用容器：

az webapp exec --resource-group <resource-group-name> --name <app-name> --target kudu

应用程序和 Kudu 容器是不同的环境。 在应用容器中运行依赖于应用运行时、依赖关系或网络连接的命令。

选择实例或部署槽

默认情况下，CLI连接一个应用实例。 查找实例ID：

az webapp list-instances --resource-group <resource-group-name> --name <app-name> --output table

连接到特定实例：

az webapp exec --resource-group <resource-group-name> --name <app-name> --instance <instance-id>

添加 --slot <slot-name> 以访问部署槽位。 选择槽位的实例时，也将 --slot 添加到 az webapp list-instances。

交互 Shell 模式一次只支持一个实例。

无需交互式会话即可运行命令

在不打开终端会话的情况下，使用 --mode execute 向主应用容器提交命令。 该命令以分离模式运行。 该模式适合后台诊断或其他不需要立即输出的工作。

直接运行程序

使用 --command 指定程序及其参数。 引用整条命令：

az webapp exec --resource-group <resource-group-name> --name <app-name> --mode execute --command "python3 /home/site/wwwroot/scripts/diagnostics.py" --working-directory /home/site/wwwroot --instance <instance-id>

用你应用中部署的脚本替换脚本路径。 可执行文件及其依赖必须存在于容器中。

--command 不解释如 >、| 或 && 等 shell 运算符。 需要 shell 时就用 --shell-command。 这两种选择是互斥的。

捕获输出并检查是否完成

以下示例使用了 Bash 客户端的引号用法，例如在 Cloud Shell 中。 它向一个实例提交只读诊断命令，并分别记录其输出和退出状态。 将每次调用中的 <run-id> 替换为新的标识符，并将 <instance-id> 替换为来自 az webapp list-instances 的 ID。

az webapp exec --resource-group <resource-group-name> --name <app-name> \
  --mode execute --instance <instance-id> --shell /bin/sh \
  --shell-command 'uname -a > /home/LogFiles/diagnostics-<run-id>.log 2>&1; result=$?; printf "%s\n" "$result" > /home/LogFiles/diagnostics-<run-id>.exit'

确保 /bin/sh 和诊断命令存在，且 /home/LogFiles 存在且可写。 在自定义容器中的 /home 持久性取决于应用的 存储配置。 单引号可防止客户端 shell 在请求到达容器之前展开 $? 和 $result。

提交后，在同一实例上打开交互式 App Shell，检查文件：

cat /home/LogFiles/diagnostics-<run-id>.log
cat /home/LogFiles/diagnostics-<run-id>.exit

记录的退出状态为 0 表示诊断命令已成功。 非零状态表示失败;检查日志。 如果状态文件不存在，说明尚未确认已完成：命令可能仍在运行，可能未启动，或者已被中断。 不要仅凭接受或部分日志就推断成功。 使用新的运行标识符，这样旧的状态文件就不会被误认为是当前结果。

CLI不提供完成轮询API。 将输出重定向到文件并不会自动让它出现在 App Service 日志流中。

对于数据库迁移或其他改变共享状态的操作，选择 一个 实例，单独检查完成情况，不要仅仅因为提交没有输出就重跑该操作。 在需要验证成功后再继续时，保持互动式工作流程。

在多个实例上运行独立命令

执行模式还接受逗号分隔的实例ID列表或 --instance all。 多个实例的请求是并行提交的。 例如，对每个实例运行已部署的每实例诊断脚本：

az webapp exec --resource-group <resource-group-name> --name <app-name> --mode execute --command "python3 /home/site/wwwroot/scripts/diagnostics.py" --instance all

脚本必须记录其自身的结果。 如果存储是共享的，请为每个实例和每次运行使用不同的输出路径。 不要将 all 用于共享数据库迁移或其他只能运行一次的操作。 如果部分提交失败，CLI会报告错误，尽管其他实例可能已接受该命令。

添加 --slot <slot-name> 以针对部署槽位执行。

Limitations

• 执行模式只针对主应用容器。 你只能在交互式 Shell 模式下使用 --target kudu。
• 仅在执行模式下使用 --working-directory 或 --cwd，并提供绝对路径。
• 为 --shell 提供绝对路径。 在执行模式下，你只能将其与 --shell-command 一起使用。
• 本次预览不提供文件传输、端口转发或选择任意边车容器的选项。 使用支持的 部署方法 上传文件。
• 分离执行并不是可靠的作业调度器。 容器的重启或更换可能会中断工作。 不要假设自动重试或恰好一次执行。