在 Azure 中部署使用 PostgreSQL 的 Python Django Web 应用

• 拥有有效订阅的 Azure 帐户。 如果没有 Azure 帐户， 可以创建一个帐户。
• GitHub 帐户。 还可以 获取一个帐户。
• 具备 Python 和 Django 开发的知识。
• （可选） 要尝试 GitHub Copilot，需要一个 GitHub Copilot 帐户。 提供 30 天试用期。

• 拥有有效订阅的 Azure 帐户。 如果没有 Azure 帐户，可以免费创建一个。
• 已安装 Azure 开发人员 CLI。
• 具备 Python 和 Django 开发的知识。
• （可选） 要尝试 GitHub Copilot，需要一个 GitHub Copilot 帐户。 提供 30 天试用期。

2.创建应用服务、数据库和缓存

此步骤创建 Azure 资源。 本教程中使用的步骤可创建一组默认安全的资源，其中包括应用服务、Azure Database for PostgreSQL 和 Azure Cache。 对于创建过程，需要指定：

• Web 应用程序的名称。 它用作应用的 DNS 名称的一部分。
• 用于在世界上实际运行应用的区域。 它还用作应用的 DNS 名称的一部分。
• 应用的运行时堆栈。 在此处选择要用于应用的 Python 版本。
• 应用程序的托管计划。 定价层为您的应用提供了一组功能和可扩展的容量。
• 应用程序的资源组。 使用资源组可将应用程序所需的所有 Azure 资源分组到一个逻辑容器中。

登录到 Azure 门户并按照以下步骤创建 Azure 应用服务资源。

3.保护连接机密并添加 SECRET_KEY

创建向导已经为你生成了连接变量作为应用设置。 但是，安全最佳做法是将机密完全排除在应用服务之外。 你将把机密移动到密钥保管库，并借助服务连接器将应用程序设置更改为密钥保管库引用。

总之，保护连接机密的过程包括：

• 从应用服务应用的环境变量中检索连接机密。
• 创建密钥保管库。
• 使用系统分配的托管标识创建 Key Vault 连接。
• 更新服务连接器以将机密存储在密钥保管库中。

遇到问题？ 检查 “故障排除”部分。

4.部署示例代码

在此步骤中，使用 GitHub Actions 配置 GitHub 部署。 这只是部署到应用服务的许多方法之一，也是一种在部署过程中持续集成的好方法。 默认情况下，进入 GitHub 存储库的每个 git push 都会启动生成和部署操作。

遇到问题？ 查看故障排除指南。

5.生成数据库架构

在 PostgreSQL 数据库受虚拟网络保护的情况下，运行 Django 数据库迁移的最简单方法是使用应用服务中的 Linux 容器在 SSH 会话中运行。

遇到问题？ 检查 “故障排除”部分。

6.打开应用程序

7. 实时传输诊断日志

Azure 应用服务会捕获所有控制台日志，以帮助你诊断应用程序的问题。 示例应用包含了 print() 语句用于演示此功能，如下所示。

def index(request):
    print('Request for index page received')
    restaurants = Restaurant.objects.annotate(avg_rating=Avg('review__rating')).annotate(review_count=Count('review'))
    lastViewedRestaurant = request.session.get("lastViewedRestaurant", False)

了解有关在 Python 应用程序中进行日志记录的更多信息，请查看有关为 Python 应用程序设置 Azure Monitor的系列文章。

8.清理资源

完成后，可以通过删除资源组从 Azure 订阅中删除所有资源。

2.创建 Azure 资源并部署示例应用

在此步骤中，将创建 Azure 资源并将示例应用部署到 Linux 上的应用服务。 本教程中使用的步骤可创建一组默认安全的资源，其中包括应用服务、Azure Database for PostgreSQL 和 Azure Cache for Redis。

开发容器已具有 Azure Developer CLI (AZD)。

1. 从存储库根路径，运行 azd init。

   azd init --template python-app-service-postgresql-infra
   

2. 出现提示时，请提供以下答案：

   问题	答案
   当前目录不为空。 是否要在此处初始化“<your-directory>”中的项目？	Y
   你希望对这些文件执行哪些操作？	使现有文件保持不变
   输入新环境名称	键入唯一名称。 AZD 模板将此名称用作 Azure 中 Web 应用的 DNS 名称的一部分 (<app-name>-<hash>.chinacloudsites.cn)。 允许使用字母数字字符和下划线。

3. 通过运行 azd auth login 命令并按照提示登录到 Azure：

   azd auth login
   

4. 使用 azd provision 命令创建必要的 Azure 资源。 按照提示为 Azure 资源选择所需的订阅和位置。

   azd provision
   

   azd provision 命令需要大约 15 分钟来完成（Redis 缓存需要的时间最长）。 稍后，你将修改代码以使用应用服务并使用 azd deploy 部署更改。 在运行时，该命令会提供有关预配和部署过程的消息，包括指向 Azure 中部署的链接。

   此 AZD 模板包含使用以下 Azure 资源生成安全默认体系结构的文件（azure.yaml 和 infra 目录）：

   • 资源组：所有已创建资源的容器。
   • 应用服务计划：为应用服务定义计算资源。 创建了一个属于Basic层的 Linux 计划。
   • 应用服务：表示应用并在应用服务计划中运行。
   • 虚拟网络：与应用服务应用集成，并隔离后端网络流量。
   • 专用终结点：虚拟网络中密钥保管库和 Redis 缓存的访问终结点。
   • 网络接口：表示专用 IP 地址，每个专用终结点各一个。
   • Azure Database for PostgreSQL 灵活服务器：只能从虚拟网络内部访问。 你的数据库和用户创建于此服务器上。
   • 专用 DNS 区域：在虚拟网络中启用 PostgreSQL 服务器的 DNS 解析。
   • Log Analytics 工作区：充当应用交付日志的目标容器，还可以在其中查询日志。
   • Azure Redis 缓存：只能从其专用终结点后面访问。
   • 密钥保管库：只能通过其专用私有端点进行访问。 用于管理应用服务应用的机密。

   一旦命令完成创建资源和首次部署应用程序代码的操作，已部署的示例应用就无法运行，因为你必须进行微小的更改才能使其连接到 Azure 中的数据库。

遇到问题？ 检查 “故障排除”部分。

3.使用数据库连接字符串

你使用的 AZD 模板已为你生成了连接变量作为应用设置，并将它们输出到终端，以方便你使用。 使用应用设置可以将连接机密保留在代码存储库之外。

1. 在 AZD 输出中，找到设置 AZURE_POSTGRESQL_USER、AZURE_POSTGRESQL_PASSWORD、AZURE_POSTGRESQL_HOST、AZURE_POSTGRESQL_NAME 和 AZURE_REDIS_CONNECTIONSTRING。 若要保护机密安全，请仅显示设置名称。 在 AZD 输出中，它们看起来是这样的：

    App Service app has the following connection settings:
            - AZURE_POSTGRESQL_NAME
            - AZURE_POSTGRESQL_HOST
            - AZURE_POSTGRESQL_USER
            - AZURE_POSTGRESQL_PASSWORD
            - AZURE_REDIS_CONNECTIONSTRING
            - AZURE_KEYVAULT_RESOURCEENDPOINT
            - AZURE_KEYVAULT_SCOPE
    

2. 为方便起见，AZD 模板会显示应用的应用设置页的直接链接。 找到该链接并在新的浏览器选项卡中打开它。

遇到问题？ 检查 “故障排除”部分。

4.修改示例代码并重新部署

遇到问题？ 检查 “故障排除”部分。

5.生成数据库架构

在 PostgreSQL 数据库受虚拟网络保护的情况下，运行 Django 数据库迁移的最简单方法是使用应用服务中的 Linux 容器在 SSH 会话中运行。

1. 在 AZD 输出中，找到 SSH 会话的 URL，并在浏览器中导航到该 URL。 输出结果如下：

    Open SSH session to App Service container at: <URL>
    

2. 在 SSH 会话中，运行 python manage.py migrate。 如果该命令成功，则应用服务会成功连接到数据库。

   

   注释

   只有对 /home 中文件的更改才能在应用重启之后持久保存。 不会保留 /home 外部的更改。

遇到问题？ 检查 “故障排除”部分。

6.打开应用程序

1. 在 AZD 输出中，找到应用的 URL 并在浏览器中导航到该 URL。 该 URL 在 AZD 输出中如下所示：

    Deploying services (azd deploy)
   
      (✓) Done: Deploying service web
      - Endpoint: <URL>
    

2. 在列表中添加几家餐厅。

   

   恭喜，你已在 Azure 应用服务中运行了一个 Web 应用，并安全连接到了 Azure Database for PostgreSQL。

遇到问题？ 检查 “故障排除”部分。

7. 实时传输诊断日志

Azure 应用服务可以捕获控制台日志，以帮助你诊断应用程序的问题。 为方便起见，AZD 模板已启用对本地文件系统的日志记录，并且正在将日志发送到 Log Analytics 工作区。

示例应用程序包含了 print() 语句用于演示此功能，如以下代码片段所示。

def index(request):
    print('Request for index page received')
    restaurants = Restaurant.objects.annotate(avg_rating=Avg('review__rating')).annotate(review_count=Count('review'))
    lastViewedRestaurant = request.session.get("lastViewedRestaurant", False)

在 AZD 输出中，找到流式传输应用服务日志的链接，并在浏览器中导航到该链接。

Stream App Service logs at: <URL>

了解有关在 Python 应用程序中进行日志记录的更多信息，请查看有关为 Python 应用程序设置 Azure Monitor的系列文章。

遇到问题？ 检查 “故障排除”部分。

8.清理资源

若要删除当前部署环境中的所有 Azure 资源，请运行 azd down 并按照提示进行操作。

azd down

• 此设置的成本是多少？
• 如何使用其他工具连接到在虚拟网络后面受保护的 PostgreSQL 服务器？
• 本地应用开发如何与 GitHub Actions 协作？
• 如何将 Django 示例配置为在 Azure 应用服务上运行？
• 如何将 SECRET_KEY 应用设置更改为 Key Vault 引用？
• 如何解决 GitHub Actions 部署期间的错误？
• 我无权创建用户分配的标识
• 我可以在我的代码空间中使用 GitHub Copilot 做些什么？

• 此设置的成本是多少？
• 如何使用其他工具连接到在虚拟网络后面受保护的 PostgreSQL 服务器？
• 本地应用开发如何与 GitHub Actions 协作？
• 如何将 Django 示例配置为在 Azure 应用服务上运行？
• 如何解决 GitHub Actions 部署期间的错误？
• 我无权创建用户分配的标识
• 我可以在我的代码空间中使用 GitHub Copilot 做些什么？

如何将 SECRET_KEY 应用设置更改为 Key Vault 引用？

通过上述门户步骤，可以运行以下 Azure CLI 命令将 SECRET_KEY 更改为 Key Vault 引用：

# Change the following variables to match your environment
SUBSCRIPTION_ID=<subscription-id>
RESOURCE_GROUP=<resource-group-name>
KEY_VAULT_NAME=<key-vault-name>
APP_SERVICE_NAME=<app-name>
SECRET_NAME=djangoSecretKey

# Set the subscription ID
az account set --subscription $SUBSCRIPTION_ID

# Assign 'Key Vault Secrets Officer' role to your user at the scope of the key vault
az role assignment create \
  --assignee $(az ad signed-in-user show --query id -o tsv) \
  --role $(az role definition list --name "Key Vault Secrets Officer" --query "[].id" -o tsv) \
  --scope $(az keyvault show --name $KEY_VAULT_NAME --resource-group $RESOURCE_GROUP --query id --output tsv)

# Add the secret to the key vault
az keyvault secret set \
  --vault-name $KEY_VAULT_NAME \
  --name $SECRET_NAME \
  --value $(python -c 'import secrets; print(secrets.token_hex())')

# Add Key Vault reference to the App Service configuration
az webapp config appsettings set \
  --resource-group $RESOURCE_GROUP \
  --name $APP_SERVICE_NAME \
  --settings "SECRET_KEY=@Microsoft.KeyVault(SecretUri=https://$KEY_VAULT_NAME.vault.azure.cn/secrets/$SECRET_NAME)"

还可以在门户中执行相同的操作。 有关详细信息，请参见:

1. 密钥保管库作用域角色分配
2. 向 Key Vault 添加机密
3. 从 Key Vault 检索机密
4. 配置应用设置