为Azure App Service配置自定义容器

了解关键概念并获取有关App Service中 Windows 应用的容器化的说明。 新用户应首先遵循 自定义容器快速入门 和 教程。

了解关键概念，并获取有关 App Service 中 Linux 应用的容器化的说明。 新用户应首先遵循 自定义容器快速入门 和 教程。

支持的父映像

为自定义 Windows 映像选择适合您所需框架的正确父映像（基础映像）：

• 若要部署 .NET Framework 应用，请使用基于 Windows Server 2019 Core 长期服务渠道版本的基础镜像。
• 若要部署 .NET Core 应用，请使用基于 Windows Server 2019 Nano Annual Channel 版本的父映像。

在应用启动期间，下载父映像需要一些时间。 可以使用已在Azure App Service中缓存的以下父映像之一来缩短启动时间：

• mcr.microsoft.com/windows/servercore:ltsc2022
• mcr.microsoft.com/windows/servercore:ltsc2019
• mcr.microsoft.com/dotnet/framework/aspnet： 4.8-windowsservercore-ltsc2022
• mcr.microsoft.com/dotnet/framework/aspnet： 4.8-windowsservercore-ltsc2019
• mcr.microsoft.com/dotnet/runtime： 6.0-nanoserver-ltsc2022
• mcr.microsoft.com/dotnet/runtime： 6.0-nanoserver-1809
• mcr.microsoft.com/dotnet/aspnet： 6.0-nanoserver-ltsc2022
• mcr.microsoft.com/dotnet/aspnet： 6.0-nanoserver-1809

对于 Internet Information Services（IIS）或 .NET Framework（4.0 或更高版本）容器，凭据通过 App Service 自动注入到 System.ConfigurationManager ，作为 .NET 应用程序设置和连接字符串的一部分。 对于所有其他语言或框架，它们作为进程的环境变量提供，其中包含以下前缀之一：

• APPSETTING_
• SQLCONTR_
• MYSQLCONTR_
• SQLAZURECOSTR_
• POSTGRESQLCONTR_
• CUSTOMCONNSTR_

可以将此方法用于单一容器或多重容器应用，其中环境变量在 docker-compose.yml 文件中指定。

可以使用 C:\home 自定义容器文件系统中的目录跨重启保留文件，并在实例之间共享这些文件。 使用 C:\home 目录时，自定义容器可以访问永久性存储。

禁用永久性storage时，不会在应用重启或多个实例之间持久写入 C:\home 目录。 启用持久性storage后，对 C:\home 目录的所有写入都会保留。 横向扩展应用的所有实例都可以访问它们。 容器启动时，如果永久性storage上存在任何文件，则会覆盖容器的 C:\home 目录中的任何内容。

唯一的例外是 C:\home\LogFiles 目录。 此目录存储容器和应用程序日志。 如果启用了带有文件系统选项的应用日志记录，则无论是否启用持久性存储，文件夹在应用重启时始终保留。 换句话说，启用或禁用永久性storage时，它不会影响应用程序日志记录行为。

默认情况下，Windows 自定义容器上已启用持久存储。 若要禁用它，请使用 Cloud Shell 应用设置值设置为 >。 在 Bash 中，使用以下命令：

az webapp config appsettings set --resource-group <group-name> --name <app-name> --settings WEBSITES_ENABLE_APP_SERVICE_STORAGE=false

在 PowerShell 中，使用以下命令：

Set-AzWebApp -ResourceGroupName <group-name> -Name <app-name> -AppSettings @{"WEBSITES_ENABLE_APP_SERVICE_STORAGE"=false}

可以使用 /home 自定义容器文件系统中的目录跨重启保留文件，并在实例之间共享这些文件。 使用 C:\home 目录时，自定义容器可以访问持久化存储。 请记住，您在 /home 中保存的数据会计入您 App Service 计划中包含的存储空间配额。

禁用永久性storage时，不会在应用重启或多个实例之间持久写入 C:\home 目录。 启用持久性storage后，对 C:\home 目录的所有写入都会保留。 扩展应用程序的所有实例都可以访问它们。 容器启动时，如果永久性storage上存在任何文件，则会覆盖容器的 C:\home 目录中的任何内容。

唯一的例外是 C:\home\LogFiles 目录。 此目录存储容器和应用程序日志。 如果启用应用日志记录并使用File System选项，则文件夹在应用重启时始终保留，无论是否启用持久性存储。 换句话说，启用或禁用永久性storage时，它不会影响应用程序日志记录行为。

建议将数据写入 /home 或 装载的 Azure 存储路径。 在重启期间，在这些路径之外写入的数据不会持久。 数据将保存到平台托管的主机磁盘空间，该空间独立于 App Service 计划文件存储配额。

默认情况下，Linux 自定义容器上的持久性存储为禁用。 若要启用它，请使用以下命令，使用 bash 中的Azure Cli将 WEBSITES_ENABLE_APP_SERVICE_STORAGE 应用设置值设置为 true：

az webapp config appsettings set --resource-group <group-name> --name <app-name> --settings WEBSITES_ENABLE_APP_SERVICE_STORAGE=true

在 PowerShell 中，使用以下命令：

Set-AzWebApp -ResourceGroupName <group-name> -Name <app-name> -AppSettings @{"WEBSITES_ENABLE_APP_SERVICE_STORAGE"=true}

自定义 ASP.NET 计算机密钥注入

在容器启动期间，会自动生成密钥并将其注入到容器中，作为 ASP.NET 加密例程的计算机密钥。 可以通过查找以下环境变量，在容器中找到这些密钥：MACHINEKEY_Decryption、MACHINEKEY_DecryptionKey和MACHINEKEY_ValidationKeyMACHINEKEY_Validation。

每次重启时的新密钥都可能会重置 ASP.NET表单身份验证和查看状态（如果应用依赖于它们）。 若要防止自动重新生成密钥，手动将其设置为App Service应用设置。

连接到容器

若要直接连接到 Windows 容器以执行诊断任务，请转到 https://<app-name>.scm.chinacloudsites.cn/ 并选择 SSH 选项。 此选项建立一个直接 SSH 会话，可在其中运行容器内的命令。

• 它与上面的图形浏览器分开运行，后者仅显示您共享存储中的文件。
• 在横向扩展的应用程序中，SSH 会话连接到其中一个容器实例。 可以从顶部 Kudu 菜单中的 “实例 ”下拉列表中选择不同的实例。
• 共享存储的更改除外，在应用重启时，从 SSH 会话中对容器所做的任何更改不会保留。 这些更改不是 Docker 映像的一部分。 若要保留注册表设置和软件安装等更改，请将它们纳入 Dockerfile。

访问诊断日志

应用服务记录 Docker 主机的操作和容器内的活动。 默认情况下会启用 Docker 主机（平台日志）中的日志。 需要从容器中手动启用应用程序日志或 Web 服务器日志。 有关详细信息，请参阅启用应用程序日志记录和启用 Web 服务器日志记录。

可以通过多种方式访问 Docker 日志：

• Azure portal
• Kudu
• Kudu API
• Azure Monitor

Azure portal

Docker 日志在 Azure 门户的应用Container Settings 窗格中显示。 日志将被截断。 若要下载所有日志，请选择“ 下载”。

Kudu

若要查看单个日志文件，请转到 https://<app-name>.scm.chinacloudsites.cn/DebugConsole 并选择 LogFiles 该文件夹。 若要下载整个 LogFiles 目录，请选择目录名称左侧的 “下载 ”图标。 还可以使用 FTP 客户端access此文件夹。

默认情况下，您无法访问 SSH 终端中的C:\home\LogFiles文件夹，因为未启用持久性共享存储。 若要在控制台终端中启用此行为，启用持久性共享存储。

如果尝试使用 FTP 客户端下载当前正在使用的 Docker 日志，可能会因文件锁定而收到错误。

Kudu API

直接转到 https://<app-name>.scm.chinacloudsites.cn/api/logs/docker 查看 Docker 日志的元数据。 可能会列出多个日志文件。 可以使用该 href 属性直接下载日志文件。

要将所有日志下载为一个 ZIP 文件，请访问https://<app-name>.scm.chinacloudsites.cn/api/logs/docker/zip。

自定义容器内存

默认情况下，Azure App Service中部署的所有 Windows 容器都配置了内存限制。 下表列出了每个App Service计划 SKU 的默认设置。

可以使用Azure CLI或Azure PowerShell提供 WEBSITE_MEMORY_LIMIT_MB 应用设置来更改此值。 在 Bash 中：

az webapp config appsettings set --resource-group <group-name> --name <app-name> --settings WEBSITE_MEMORY_LIMIT_MB=2000

在 PowerShell 中，使用以下命令：

Set-AzWebApp -ResourceGroupName <group-name> -Name <app-name> -AppSettings @{"WEBSITE_MEMORY_LIMIT_MB"=2000}

该值以兆字节（MB）定义，必须小于等于主机的总物理内存。 例如，在 RAM 为 8 GB 的 App Service 计划中，所有应用的 WEBSITE_MEMORY_LIMIT_MB 累积总和不能超过 8 GB。 有关可用内存量的详细信息，请参阅 App Service 定价中的 Premium v3 服务计划。

自定义计算核心数

默认情况下，Windows 容器使用定价层的所有可用核心运行。 你可能想要减少过渡槽使用的核心数。 若要减少容器使用的核心数，请将 WEBSITE_CPU_CORES_LIMIT 应用设置设置为首选核心数。 可以使用Azure CLI对其进行设置。 在 Bash 中：

az webapp config appsettings set --resource-group <group-name> --name <app-name> --slot staging --settings WEBSITE_CPU_CORES_LIMIT=1

在 PowerShell 中，使用以下命令：

Set-AzWebApp -ResourceGroupName <group-name> -Name <app-name> -AppSettings @{"WEBSITE_CPU_CORES_LIMIT"=1}

若要验证调整后的号码，请使用 Azure portal 或 Kudu 门户（https://<app-name>.scm.chinacloudsites.cn/webssh/host）打开 SSH 会话。 使用 PowerShell 输入以下命令。 每个命令返回一个数字。

Get-ComputerInfo | ft CsNumberOfLogicalProcessors # Total number of enabled logical processors. Disabled processors are excluded.
Get-ComputerInfo | ft CsNumberOfProcessors # Number of physical processors.

处理器可能是多核处理器或超线程处理器。 若要了解可用的核心数，请参阅 App Service 定价中的 Premium v3 服务计划。

自定义运行状况 ping 行为

App Service认为容器在启动并响应 HTTP ping 时成功启动容器。 运行状况 ping 请求包含标头 User-Agent= "App Service Hyper-V Container Availability Check"。 如果容器在某个时间后启动但不响应 ping，App Service在 Docker 日志中记录事件。

如果你的应用程序占用大量资源，则容器可能无法及时响应 HTTP ping。 若要控制 HTTP ping 失败时会发生什么，请设置 CONTAINER_AVAILABILITY_CHECK_MODE 应用设置。 可以使用Azure CLI对其进行设置。 在 Bash 中：

az webapp config appsettings set --resource-group <group-name> --name <app-name> --settings CONTAINER_AVAILABILITY_CHECK_MODE="ReportOnly"

在 PowerShell 中，使用以下命令：

Set-AzWebApp -ResourceGroupName <group-name> -Name <app-name> -AppSettings @{"CONTAINER_AVAILABILITY_CHECK_MODE"="ReportOnly"}

下表列出了可能的值：

支持组托管服务帐户

App Service中的 Windows 容器不支持组托管服务帐户。

启用 SSH

可以使用安全外壳（SSH）从命令行终端远程运行管理命令。 若要使用自定义容器启用 Azure portal SSH 控制台功能，请执行以下步骤：

1. 使用以下示例内容创建标准 sshd_config 文件，并将其放置在应用程序project根目录上：

   Port 			2222
   ListenAddress 		0.0.0.0
   LoginGraceTime 		180
   X11Forwarding 		yes
   Ciphers aes128-cbc,3des-cbc,aes256-cbc,aes128-ctr,aes192-ctr,aes256-ctr
   MACs hmac-sha1,hmac-sha1-96
   StrictModes 		yes
   SyslogFacility 		DAEMON
   PasswordAuthentication 	yes
   PermitEmptyPasswords 	no
   PermitRootLogin 	yes
   Subsystem sftp internal-sftp
   

   注意

   此文件配置 OpenSSH，必须包含以下项才能符合 Azure portal SSH 功能：

   • 该值 Port 必须设置为 2222。
   • 这些Ciphers值必须包含此列表中的至少一项：aes128-cbc、或3des-cbcaes256-cbc。
   • 这些 MACs 值必须在此列表中至少包含一项： hmac-sha1 或 hmac-sha1-96。

2. 创建一个名为 entrypoint.sh 的入口点脚本，或者更改任何现有的入口点文件。 添加命令以启动 SSH 服务，以及应用程序启动命令。 以下示例演示如何启动 Python 应用程序。 根据project语言或堆栈替换最后一个命令：

   • Debian
   • 高山

   #!/bin/sh
   set -e
   service ssh start
   exec gunicorn -w 4 -b 0.0.0.0:8000 app:app
   

3. 请根据基础镜像的发行版将以下说明添加到 Dockerfile。 这些说明复制新文件、安装 OpenSSH 服务器、设置适当的权限并配置自定义入口点，并分别公开应用程序和 SSH 服务器所需的端口：

   • Debian
   • 高山

   COPY entrypoint.sh ./
   
   # Start and enable SSH
   RUN apt-get update \
       && apt-get install -y --no-install-recommends dialog \
       && apt-get install -y --no-install-recommends openssh-server \
       && echo "root:Docker!" | chpasswd \
       && chmod u+x ./entrypoint.sh
   COPY sshd_config /etc/ssh/
   
   EXPOSE 8000 2222
   
   ENTRYPOINT [ "./entrypoint.sh" ] 
   

   注意

   根密码必须完全是Docker!，因为 App Service 使用它来授予你对容器 SSH 会话的访问权限。 此配置不允许从外部建立到容器的连接。 容器的端口2222只能在专用虚拟网络的网桥网络中访问。 互联网中的攻击者无法访问它。

4. 重新生成 Docker 映像并将其推送到注册表，然后在Azure portal中测试 Web App SSH 功能。

有关故障排除的详细信息，请参阅Azure App Service博客：适用于容器的 Linux Web 应用上启用 SSH。

访问诊断日志

可以访问在容器内部生成的控制台日志。

若要打开容器日志记录，请运行以下命令：

az webapp log config --name <app-name> --resource-group <resource-group-name> --docker-container-logging filesystem

将 <app-name> 和 <resource-group-name> 值替换为适用于 Web 应用的名称。

启用容器日志记录后，运行以下命令以查看日志流：

az webapp log tail --name <app-name> --resource-group <resource-group-name>

如果未立即显示控制台日志，请在 30 秒内再次检查。

若要随时停止日志流式处理，请使用键盘快捷方式 Ctrl+C。

配置多容器应用

• 在 Docker Compose 中使用持久性存储
• 预览版限制
• Docker Compose 选项

在 Docker Compose 中使用持久性存储

WordPress 等多容器应用需要持久storage才能正常运行。 若要启用持久存储，Docker Compose 配置必须指向容器外部存储位置。 应用程序容器中的存储位置在应用程序重启后不会保留更改。

若要启用持久性存储，请设置 WEBSITES_ENABLE_APP_SERVICE_STORAGE 应用设置。 在 Azure CLI 中使用 az webapp config appsettings set 命令。

az webapp config appsettings set --resource-group <group-name> --name <app-name> --settings WEBSITES_ENABLE_APP_SERVICE_STORAGE=TRUE

在你的docker-compose.yml文件中，将volumes选项映射到${WEBAPP_STORAGE_HOME}。

WEBAPP_STORAGE_HOME 是 App Service 中用于映射到应用持久性存储的环境变量。 例如：

wordpress:
  image: <image name:tag>
  volumes:
  - "${WEBAPP_STORAGE_HOME}/site/wwwroot:/var/www/html"
  - "${WEBAPP_STORAGE_HOME}/phpmyadmin:/var/www/phpmyadmin"
  - "${WEBAPP_STORAGE_HOME}/LogFiles:/var/log"

预览限制

多容器功能目前处于预览状态。 不支持以下App Service平台功能：

• 身份验证或授权。
• 托管标识。
• 跨域资源共享 （CORS）。
• 虚拟网络与 Docker Compose 场景的集成。

Azure App Service上的 Docker Compose 当前限制为 4,000 个字符。

Docker Compose 选项

以下部分显示了受支持的和不支持的 Docker Compose 配置选项。

支持的选项

• command
• entrypoint
• environment
• image
• ports
• restart
• services
• volumes（映射到 Azure Storage 不受支持）

不支持的选项

• build （不允许）
• depends_on （已忽略）
• networks （已忽略）
• secrets （已忽略）
• 80 和 8080 以外的端口（8080 已忽略）
• 默认环境变量，如 $variable 和 ${variable}（与 Docker 中不同）

语法限制

• 文件中的第一个 YAML 语句始终需要 version x.x。
• 端口部分必须使用带引号的数字。
• 该 image > volume 节必须带引号，并且不能具有权限定义。
• 卷部分不能在卷名称后面包含空大括号。

忽略日志中的 robots933456 消息

容器日志中可能会显示以下消息：

2019-04-08T14:07:56.641002476Z "-" - - [08/Apr/2019:14:07:56 +0000] "GET /robots933456.txt HTTP/1.1" 404 415 "-" "-"

可以放心忽略此消息。 /robots933456.txt 是虚拟 URL 路径。 App Service使用它来检查容器是否能够处理请求。 “404”错误响应指示路径不存在，并指示App Service容器正常且已准备好响应请求。