Preparación para producción

Azure App Services

Florin Angelescu

Azure Cloud Architect

Arquitectura de la aplicación

 

Variables de entorno para configuración

 

 

 

• Incrustar ajustes en el código es peligroso y rígido
• Actualiza solo la variable de entorno
• La app no necesita reimplantación
• No expones datos sensibles en el código

Usar Key Vault para secretos

 

• Almacén central y seguro para información sensible
• Podemos referenciar secretos de Key Vault por nombre
• Azure recupera e inyecta el secreto en el entorno de la Function

Conceder acceso a la Function

 

• La Function necesita permiso para obtener el secreto de Key Vault
• Una identidad administrada de la Function App puede autorizarse para acceder a otros servicios

¹ RBAC, claves SAS y otros temas se tratan en nuestro curso «Implement Azure Security for Developers».

Conceder acceso a la Function

• Podemos conceder acceso mediante:
  • RBAC (Role-Based Access Control)
    • Asignar a la identidad de la Function un rol como Key Vault Secrets User
  • Directivas de acceso
    • Permitimos explícitamente que la identidad lea ciertos secretos

¹ RBAC, claves SAS y otros temas se tratan en nuestro curso «Implement Azure Security for Developers».

Conectar la cuenta de almacenamiento

• RBAC con identidad administrada
  • La forma recomendada
  • A la identidad de la Function se le asigna el rol Storage Blob Data Contributor
• Claves SAS
  • Tokens temporales con acceso acotado
  • Se pueden rotar y guardar también en Key Vault

Conectar la cuenta de almacenamiento

• Las claves SAS pueden generarse a nivel de blobs individuales o contenedores
• Alinea la seguridad con las necesidades del negocio
  • RBAC para simplicidad y gobierno
  • Claves SAS para control detallado o acceso entre inquilinos

Conectar todas las piezas

 

¡Vamos a practicar!

Azure App Services