教程：将 PHP、MySQL 和 Redis 应用部署到 Azure 应用服务

此步骤创建 Azure 资源。 本教程中所使用的步骤会创建一组安全默认的资源，其中包括应用服务、Azure Database for MySQL 和 Azure Redis 缓存。 对于创建过程，需要指定：

• Web 应用程序的名称。 它以 https://<app-name>-<hash>.<region>.chinacloudsites.cn 的形式用作应用的 DNS 名称的一部分。
• 用于在世界上实际运行应用的区域。 它还用作应用的 DNS 名称的一部分。
• 应用的运行时堆栈。 在此处选择要用于应用的 PHP 版本。
• 应用程序的托管计划。 定价层为您的应用提供了一组功能和可扩展的容量。
• 应用程序的资源组。 使用资源组可将应用程序所需的所有 Azure 资源分组到一个逻辑容器中。

登录到 Azure 门户并按照以下步骤创建 Azure 应用服务资源。

创建向导已经为你生成了连接变量作为应用设置。 但是，安全最佳做法是将机密完全排除在应用服务之外。 你将把机密移动到密钥保管库，并借助服务连接器将应用程序设置更改为密钥保管库引用。

总之，保护连接机密的过程包括：

• 从应用服务应用的环境变量中检索连接机密。
• 创建密钥保管库。
• 使用系统分配的托管标识创建 Key Vault 连接。
• 更新服务连接器以将机密存储在密钥保管库中。

遇到问题？ 检查故障排除部分。

在此步骤中，使用 GitHub Actions 配置 GitHub 部署。 这只是部署到应用服务的许多方法之一，也是一种在部署过程中持续集成的好方法。 默认情况下，进入 GitHub 存储库的每个 git push 都会启动生成和部署操作。

遇到问题？ 检查故障排除部分。

创建向导将 MySQL 数据库服务器置于专用终结点后面，因此只能从虚拟网络中进行访问。 由于应用服务应用已与虚拟网络集成，因此使用数据库运行数据库迁移的最简单方法是直接从应用服务容器中运行。

Laravel 应用程序生命周期在 /public 目录中开始。 应用服务的默认 PHP 容器使用 Nginx，这将在应用程序的根目录中开始。 若要更改站点根路径，需要在 PHP 容器中更改 Nginx 配置文件 (/etc/nginx/sites-available/default)。 为方便起见，示例存储库包含一个名为 default 的自定义配置文件。 如前所述，你不希望通过 SSH 终端替换此文件，因为更改发生在 /home 之外，并且将在应用程序重启后丢失。

Azure 应用服务捕获已记录到控制台的所有消息，以帮助你诊断应用程序的问题。 示例应用在其每个终结点中输出控制台日志消息，以演示此功能。 默认情况下，Laravel 的日志记录功能（例如 Log::info()）会输出到本地文件。 之前的 LOG_CHANNEL 应用设置使日志条目可从应用服务日志流访问。

完成后，可以通过删除资源组从 Azure 订阅中删除所有资源。

在此步骤中，将创建 Azure 资源并将示例应用部署到 Linux 上的应用服务。 本教程中使用的步骤创建一组默认安全的资源，其中包括应用服务和 Azure Database for MySQL。

GitHub codespace 已具有 Azure 开发人员 CLI （AZD）。

1. 使用 php artisan key:generate --show： 生成 Laravel 加密密钥：

   php artisan key:generate --show
   

2. 通过运行 azd auth login 命令并按照提示登录到 Azure：

   azd auth login
   

3. 使用 azd up 命令创建必要的 Azure 资源并部署应用代码。 按照提示为 Azure 资源选择所需的订阅和位置。

   azd up
   

4. 出现提示时，请提供以下答案：

   Expandir tabla

   问题	答案
   输入新环境名称	键入唯一名称。 AZD 模板将此名称用作 Azure 中 Web 应用的 DNS 名称的一部分 (<app-name>-<hash>.chinacloudsites.cn)。 允许使用字母数字字符和下划线。
   选择要使用的 Azure 订阅	选择订阅。
   选择要使用的 Azure 位置	选择一个位置。
   输入“appKey”基础结构安全参数的值	在此处使用 php artisan key:generate --show 的输出。 AZD 模板会为此创建一个可在应用中使用的 Key Vault 密钥。
   输入“databasePassword”基础结构安全参数的值	MySQL 的数据库密码。 它长度必须至少为 8 个字符，并且包含大写字母、小写字母、数字和特殊字符。

   azd up 命令需要大约 15 分钟来完成（Redis 缓存需要的时间最长）。 它还会编译和部署应用程序代码，但你稍后将修改代码以使用应用服务。 在运行时，该命令会提供有关预配和部署过程的消息，包括指向 Azure 中部署的链接。 完成后，命令还会显示指向部署应用程序的链接。

   此 AZD 模板包含使用以下 Azure 资源生成安全默认体系结构的文件（azure.yaml 和 infra 目录）：

   • 资源组：所有已创建资源的容器。
   • 应用服务计划：为应用服务定义计算资源。 在 B1 层中创建了一个 Linux 计划。
   • 应用服务：表示应用并在应用服务计划中运行。
   • 虚拟网络：与应用服务应用集成，并隔离后端网络流量。
   • Azure Database for MySQL 灵活服务器：只能通过 DNS 区域集成从虚拟网络访问。 将在服务器上为你创建数据库。
   • Azure Cache for Redis：只能从虚拟网络中访问。
   • 专用终结点：虚拟网络中密钥保管库和 Redis 缓存的访问终结点。
   • 专用 DNS 区域：启用虚拟网络中的密钥保管库、数据库服务器和 Redis 缓存的 DNS 解析。
   • Log Analytics 工作区：充当应用日志传送的目标容器，还可以在其中查询日志。
   • 密钥保管库：使用 AZD 重新部署时，用于保留数据库密码。

遇到问题？ 检查故障排除部分。

你使用的 AZD 模板已为你生成了连接变量作为应用设置，并将它们输出到终端，以方便你使用。 使用应用设置可以将连接机密保留在代码存储库之外。

1. 在 AZD 输出中，找到以 AZURE_MYSQL_ 和 AZURE_REDIS_. 开头的应用设置。 仅显示设置名称。 它们在 AZD 的输出中呈现如下：

    App Service app has the following app settings:
            - AZURE_KEYVAULT_RESOURCEENDPOINT
            - AZURE_KEYVAULT_SCOPE
            - AZURE_MYSQL_DBNAME
            - AZURE_MYSQL_FLAG
            - AZURE_MYSQL_HOST
            - AZURE_MYSQL_PASSWORD
            - AZURE_MYSQL_PORT
            - AZURE_MYSQL_USERNAME
            - AZURE_REDIS_DATABASE
            - AZURE_REDIS_HOST
            - AZURE_REDIS_PASSWORD
            - AZURE_REDIS_PORT
            - AZURE_REDIS_SSL
    

   开头 AZURE_MYSQL_ 的设置是 MySQL 数据库的连接变量，开头 AZURE_REDIS_ 的设置是 Redis 缓存的设置。 稍后需要在代码中使用它们。 为方便起见，AZD 模板会显示 Azure 门户中应用的应用设置页的直接链接。

2. 从资源管理器中，打开 config/database.php。 这是数据库和 Redis 缓存连接的配置文件。

3. 找到定义mysql连接（第46至64行）的部分，并将DB_HOST、DB_PORT、DB_DATABASE、DB_USERNAME和DB_PASSWORD替换为来自AZD输出的AZURE_MYSQL_应用设置。 连接 mysql 应类似于以下代码。

   'mysql' => [
       'driver' => 'mysql',
       'url' => env('DATABASE_URL'),
       'host' => env('AZURE_MYSQL_HOST', '127.0.0.1'),
       'port' => env('AZURE_MYSQL_PORT', '3306'),
       'database' => env('AZURE_MYSQL_DBNAME', 'forge'),
       'username' => env('AZURE_MYSQL_USERNAME', 'forge'),
       'password' => env('AZURE_MYSQL_PASSWORD', ''),
       'unix_socket' => env('DB_SOCKET', ''),
       'charset' => 'utf8mb4',
       'collation' => 'utf8mb4_unicode_ci',
       'prefix' => '',
       'prefix_indexes' => true,
       'strict' => true,
       'engine' => null,
       'options' => extension_loaded('pdo_mysql') ? array_filter([
           PDO::MYSQL_ATTR_SSL_CA => env('MYSQL_ATTR_SSL_CA'),
       ]) : [],
   ],
   

   有关 Laravel 中的数据库配置的详细信息，请参阅 Laravel 文档。

4. 找到定义 Redis 缓存连接（第 140-147 行）的部分，并用 AZD 输出中的 REDIS_HOST 应用设置替换 REDIS_PASSWORD、REDIS_PORT、REDIS_CACHE_DB 和 Azure_REDIS_。 此外，请将'scheme' => 'tls',添加到连接中。 缓存连接应类似于以下代码：

   'cache' => [
       'scheme' => 'tls',
       'url' => env('REDIS_URL'),
       'host' => env('AZURE_REDIS_HOST', '127.0.0.1'),
       'username' => env('REDIS_USERNAME'),
       'password' => env('AZURE_REDIS_PASSWORD'),
       'port' => env('AZURE_REDIS_PORT', '6379'),
       'database' => env('AZURE_REDIS_DATABASE', '1'),
   ],
   

   有关 Laravel 中的 Redis 缓存配置的详细信息，请参阅 Laravel 文档。

   Nota

   请记住，你的更改尚未部署。 在下一步结束时，将部署更改。

1. 在资源管理器中打开 infra/resources.bicep。 这是定义创建的 Azure 资源的 Bicep 文件。

2. 找到定义应用设置的部分（第 510 到 514 行），然后取消注释。 这些应用设置包括：

   Expandir tabla

   设置	DESCRIPTION
   CACHE_DRIVER	告知 Laravel 使用 Redis 作为其缓存（请参阅 Laravel 文档）。
   MYSQL_ATTR_SSL_CA	需要在 Azure 中打开与 MySQL 的 TLS 连接。 为了方便起见，证书文件包含在示例存储库中。 此变量由 config/database.php 中的 mysql 连接使用
   LOG_CHANNEL	告知 Laravel 通过管道将日志传递给 stderr，这使它可用于应用服务日志（请参阅 Laravel 文档）。
   APP_DEBUG	在 Laravel 中启用调试模式页面（请参阅 Laravel 文档）。
   APP_KEY	Laravel 加密变量。 AZD 模板已经创建了 Key Vault 密钥（第 212-217 行），因此可以通过 Key Vault 引用来访问它。

3. 在 infra/resources.bicep 中，查找应用服务应用的资源定义并取消注释第 315 行：

   appCommandLine: 'cp /home/site/wwwroot/default /etc/nginx/sites-available/default && service nginx reload'
   

   Laravel 应用程序生命周期 从 /public 目录中开始，而不是应用程序根目录。 应用服务的默认 PHP 容器使用 Nginx，该容器在应用程序根目录中启动。 若要更改站点根路径，需要在 PHP 容器中更改 Nginx 配置文件 (/etc/nginx/sites-available/default)。 为方便起见，示例存储库包含名为 default 的替换配置文件，它告知 Nginx 在 /public 目录中查找。 每次应用启动时，appCommandLine 中的此自定义命令都会运行，以便在从干净状态重新加载 Linux 容器时应用文件替换。

4. 返回 codespace 终端，再次运行 azd up 。

   azd up
   

遇到问题？ 检查故障排除部分。

使用受虚拟网络保护的 MySQL 数据库，运行 Laravel 数据库迁移的最简单方法是在应用服务中与 Linux 容器建立 SSH 会话。

1. 在 AZD 输出中，找到 SSH 会话的 URL，并在浏览器中导航到该 URL。 它在输出中看起来像这样：

    Open SSH session to App Service container at: https://<app-name>-<hash>.scm.chinacloudsites.cn/webssh/host
    

2. 在 SSH 会话中，从 /home/site/wwwroot 目录运行数据库迁移：

   cd /home/site/wwwroot
   php artisan migrate --force
   

   如果该命令成功，则应用服务会成功连接到数据库。

遇到问题？ 检查故障排除部分。

1. 在 AZD 输出中，找到应用的 URL 并在浏览器中导航到该 URL。 该 URL 在 AZD 输出中如下所示：

    Deploying services (azd deploy)
   
      (✓) Done: Deploying service web
      - Endpoint: https://<app-name>-<hash>.chinacloudsites.cn/
    

2. 将一些任务添加到列表。

   

   恭喜，你已在 Azure 应用服务中运行了一个 Web 应用，并安全连接到了 Azure Database for MySQL。

遇到问题？ 检查故障排除部分。

Azure 应用服务捕获已记录到控制台的所有消息，以帮助你诊断应用程序的问题。 为方便起见，AZD 模板已启用对本地文件系统的日志记录以及将日志传送到 Log Analytics 工作区。

示例应用在其每个终结点中输出控制台日志消息，以演示此功能。 默认情况下，Laravel 的日志记录功能（例如 Log::info()）会输出到本地文件。 之前的 LOG_CHANNEL 应用设置使日志条目可从应用服务日志流访问。

Route::get('/', function () {
    Log::info("Get /");
    $startTime = microtime(true);
    // Simple cache-aside logic
    if (Cache::has('tasks')) {
        $data = Cache::get('tasks');
    } else {
        $data = Task::orderBy('created_at', 'asc')->get();
        Cache::add('tasks', $data);
    }
    return view('tasks', ['tasks' => $data, 'elapsed' => microtime(true) - $startTime]);
});

在 AZD 输出中，找到流式传输应用服务日志的链接，并在浏览器中导航到该链接。 该链接在 AZD 输出中如下所示：

Stream App Service logs at: https://portal.azure.cn/#@/resource/subscriptions/<subscription-guid>/resourceGroups/<group-name>/providers/Microsoft.Web/sites/<app-name>/logStream

遇到问题？ 检查故障排除部分。

若要删除当前部署环境中的所有 Azure 资源，请运行 azd down 并按照提示进行操作。

azd down

• 此设置花费有多大？
• 如何使用其他工具连接到位于虚拟网络后面受保护的 MySQL 数据库？
• 如何将APP_KEY应用设置更改为 Key Vault 引用？
• 本地应用开发如何处理 GitHub Actions？
• 为什么 GitHub Actions 部署速度这么慢？
• 我无权创建用户分配的标识
• 我可以在我的代码空间中使用 GitHub Copilot 做些什么？

在门户中的步骤4 - 配置 Laravel 变量中，可以通过在 GitHub 代码开发空间中运行以下 Azure CLI 命令，将APP_KEY更改为 Key Vault 引用：

# Change the following variables to match your environment
SUBSCRIPTION_ID=<subscription-id>
RESOURCE_GROUP=<resource-group-name>
KEY_VAULT_NAME=<key-vault-name>
APP_SERVICE_NAME=<app-name>
SECRET_NAME=laravelAppKey

# Set the subscription ID
az account set --subscription $SUBSCRIPTION_ID

# Assign 'Key Vault Secrets Officer' role to your user at the scope of the key vault
az role assignment create \
  --assignee $(az ad signed-in-user show --query id -o tsv) \
  --role $(az role definition list --name "Key Vault Secrets Officer" --query "[].id" -o tsv) \
  --scope $(az keyvault show --name $KEY_VAULT_NAME --resource-group $RESOURCE_GROUP --query id --output tsv)

# Add the secret to the key vault
az keyvault secret set \
  --vault-name $KEY_VAULT_NAME \
  --name $SECRET_NAME \
  --value $(php artisan key:generate --show)

# Add Key Vault reference to the App Service configuration
az webapp config appsettings set \
  --resource-group $RESOURCE_GROUP \
  --name $APP_SERVICE_NAME \
  --settings "APP_KEY=@Microsoft.KeyVault(SecretUri=https://$KEY_VAULT_NAME.vault.azure.cn/secrets/$SECRET_NAME)"

还可以在门户中执行相同的操作。 有关详细信息，请参见:

1. 密钥保管库作用域角色分配
2. 向 Key Vault 添加机密
3. 从 Key Vault 检索机密
4. 配置应用设置