在Azure 容器应用上存储用于Azure Functions的应用程序级别的机密

应用级机密是函数代码和绑定在运行时使用的配置值。与保护 HTTP 终结点的 Functions 访问密钥不同，应用级机密是应用程序连接到其他服务所需的凭据。

常见示例包括：

基础设施连接 - AzureWebJobsStorage连接字符串、事件中心、服务总线、Cosmos DB 和 SQL 的触发器与绑定连接。
业务凭据 - 第三方 API 密钥、数据库密码、SaaS 平台令牌。
自定义配置 - 代码从环境变量读取的任何敏感值。

选择存储选项

Azure 容器应用提供了两种方法来存储应用级机密：

Option	最适用于	集中管理	自动旋转	审计日志
容器应用机密	开发/测试、简单的单应用工作负载	否 - 范围限定为一个应用	否	仅活动日志
密钥保管库引用	生产、多应用、合规性	是 - 在所有应用中	是（无版本 URI）	完整密钥保管库诊断

小窍门

请从容器应用的密钥开始，以简化流程。当您需要集中管理、自动密钥轮换或合规审计时，请使用密钥保管库引用。

先决条件

拥有有效订阅的 Azure 帐户。免费创建帐户。
Azure CLI 2.40.0 或更高版本。
在容器应用中现有的Azure Functions 应用或创建此类应用的权限。

使用“容器应用”机密

容器应用将机密存储在应用的 configuration.secrets 数组中，并加密静态值。可以在环境变量、扩展规则、卷挂载和 Dapr 组件中引用机密。

在 Azure 门户中转到 Functions 容器应用。
在 “设置”下，选择 “机密”。

选择 “添加” 并输入以下值：

资产	价值
Name	机密名称，例如 `database-password`。仅使用小写字母、数字和连字符。
Type	容器应用机密
值	您的机密值。

选择 并添加。

创建 Functions 容器应用时添加机密：

az containerapp create \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --environment "<ENVIRONMENT_NAME>" \
  --image "<CONTAINER_IMAGE>" \
  --kind functionapp \
  --secrets "database-password=<YOUR_SECRET_VALUE>"

或向现有应用添加机密：

az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "database-password=<YOUR_SECRET_VALUE>"

引用环境变量中的机密

存储机密后，将其引用在环境变量中，以便函数代码可以读取它。

Portal
Azure CLI

在 Functions 容器应用中的 “应用程序”下，选择 “修订”和“副本”。
选择“创建新修订版”。
在“ 容器 ”选项卡中，选择容器，然后选择“ 编辑”。
选择“ 环境变量 ”选项卡，然后选择“ 添加”。
输入以下值：

资产价值

Name DATABASE_PASSWORD

Source 引用一个密钥

值 database-password
选择“ 保存”，然后选择“ 创建 ”以部署新修订。

资产	价值
Name	`DATABASE_PASSWORD`
Source	引用一个密钥
值	`database-password`

az containerapp update \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --set-env-vars "DATABASE_PASSWORD=secretref:database-password"

验证密钥

通过调用函数并确认其正常运行且没有与缺少配置相关的错误，以此确认您的函数可以读取机密值。

curl "https://<FUNCTIONS_APP_URL>/api/<FUNCTION_NAME>"

Important

容器应用在运行时将机密值注入到环境变量中。代码读取环境变量，并且不直接访问机密存储。

Limitations

容器应用机密具有以下限制：

无集中化 - 每个容器应用单独存储其自己的机密。
无自动轮换 - 必须手动更新机密值。
无过期 - 机密不会自动过期。
受限审核 - 仅限基本活动日志;没有详细的机密访问审核。
无版本控制 - 无内置机密版本历史记录。
更新行为 - 更改机密不会触发新修订。必须创建新的修订，或重新启动现有修订才能应用更改。

使用密钥保管库的引用

密钥保管库引用允许容器应用使用托管标识直接从Azure 密钥保管库拉取机密。此方法提供集中式管理、自动轮换和符合合规标准的审核。

步骤 1：设置托管标识

容器应用需要托管标识才能在没有凭据的情况下向密钥保管库进行身份验证。

Portal
Azure CLI

在 Azure 门户中转到 Functions 容器应用。
在设置下，选择身份。
在 “系统分配 ”选项卡中，将 “状态 ”设置为 “打开”。
选择“ 保存”，然后选择“ 是 ”以确认。

az containerapp identity assign \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --system-assigned

步骤 2：授予密钥保管库访问权限

将 密钥保管库机密用户角色分配给托管标识，以便它可以读取机密。

Portal
Azure CLI

在 Azure 门户中转到密钥保管库。
在“设置”中选择“访问控制 (IAM)”。
选择“添加”>“添加角色分配”。
在Role选项卡上，选择“密钥保管库 Secrets User”。
选择“下一步”。
在“成员”选项卡上，选择“托管身份”，然后选择“选择成员”。
在选择托管标识窗格中，选择订阅，将托管标识类型选择为容器应用，选择Functions容器应用，然后选择选择。
选择审核 + 分配。

PRINCIPAL_ID=$(az containerapp show \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --query identity.principalId \
  --output tsv)

KEYVAULT_ID=$(az keyvault show \
  --name "<KEYVAULT_NAME>" \
  --query id \
  --output tsv)

az role assignment create \
  --role "Key Vault Secrets User" \
  --assignee "$PRINCIPAL_ID" \
  --scope "$KEYVAULT_ID"

步骤 3：将机密存储在密钥保管库

Portal
Azure CLI

在密钥保管库的 Objects 下，选择 Secrets。
选择生成/导入。
输入以下值：

资产价值

上传选项 手动

Name 机密名称，例如DatabasePassword。

值您的机密值。
选择“创建”。
选择新创建的机密，然后选择当前版本。
复制 机密标识符 URI。使用无版本 URI（不含尾随版本段）启用自动轮换。

资产	价值
上传选项	手动
Name	机密名称，例如`DatabasePassword`。
值	您的机密值。

az keyvault secret set \
  --vault-name "<KEYVAULT_NAME>" \
  --name "DatabasePassword" \
  --value "<YOUR_SECRET_VALUE>"

SECRET_URI=$(az keyvault secret show \
  --vault-name "<KEYVAULT_NAME>" \
  --name "DatabasePassword" \
  --query id \
  --output tsv)

echo $SECRET_URI

步骤 4：引用容器应用中的密钥保管库机密信息

创建引用密钥保管库机密的容器应用机密，然后将其绑定到环境变量。

Portal
Azure CLI

转到 Functions 容器应用。在 “设置”下，选择 “机密”。
选择 并添加。

在 “添加机密”中，输入以下值：

资产	价值
Name	`database-password`
Type	密钥保管库引用
密钥保管库密钥 URL	您复制的机密标识符 URI。
身份	系统分配的标识（或用户分配的标识）。

选择 并添加。
在 “应用程序”下，选择“ 修订”和“副本”。使用DATABASE_PASSWORD环境变量引用database-password机密，创建新的修订。

对于系统分配的标识：

az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "database-password=keyvaultref:<SECRET_URI>,identityref:system"

对于用户分配的标识：

az containerapp secret set \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --secrets "database-password=keyvaultref:<SECRET_URI>,identityref:<IDENTITY_RESOURCE_ID>"

然后引用环境变量中的机密：

az containerapp update \
  --resource-group "<RESOURCE_GROUP>" \
  --name "<FUNCTIONS_APP_NAME>" \
  --set-env-vars "DATABASE_PASSWORD=secretref:database-password"

步骤 5：验证密钥保管库引用

调用函数并确认其无误运行，不会出现与配置缺失相关的错误。

curl "https://<FUNCTIONS_APP_URL>/api/<FUNCTION_NAME>"

自动密钥轮换

使用无版本 URI 引用密钥保管库机密时，容器应用会自动检索最新版本：

无版本 URI： https://myvault.vault.azure.cn/secrets/mysecret - 始终使用最新版本。
版本控制 URI： https://myvault.vault.azure.cn/secrets/mysecret/ec96f020... - 固定到特定版本。

使用无版本 URI 时，容器应用会在 30 分钟内检查新版本，并自动重启活动修订以选取新值。

上次更新时间为 2026-09-11