Kubernetes-providerreferens för Azure App Configuration

Följande referens beskriver de egenskaper som stöds av Kubernetes-providern v2.3.0 för Azure App Configuration eller senare. Mer information om ändringen finns i viktig information .

Egenskaper

En AzureAppConfigurationProvider resurs har följande underordnade egenskaper på den översta nivån under spec. Antingen endpoint eller connectionStringReference måste anges.

Egenskapen spec.target har följande underordnade egenskap.

Om egenskapen spec.target.configMapData inte har angetts fylls den genererade ConfigMap i med listan över nyckelvärden som hämtats från Azure App Configuration, vilket gör att ConfigMap kan användas som miljövariabler. Uppdatera den här egenskapen om du vill använda ConfigMap som en monterad fil. Den här egenskapen har följande underordnade egenskaper.

Egenskapen spec.auth krävs inte om anslutningssträng i appkonfigurationsarkivet tillhandahålls genom att ange egenskapenspec.connectionStringReference. Annars används en av identiteterna, tjänstens huvudnamn, arbetsbelastningsidentitet eller hanterad identitet för autentisering. Har spec.auth följande underordnade egenskaper. Endast en av dem ska anges. Om ingen av dem anges används den systemtilldelade hanterade identiteten för vm-skalningsuppsättningen.

Egenskapen spec.auth.workloadIdentity har följande underordnade egenskap.

Har spec.configuration följande underordnade egenskaper.

Om egenskapen spec.configuration.selectors inte har angetts laddas alla nyckelvärden utan etikett ned. Den innehåller en matris med väljareobjekt som har följande underordnade egenskaper. Observera att nyckelvärdena för den senaste väljaren har företräde och åsidosätter eventuella överlappande nycklar från föregående väljare.

Egenskapen spec.configuration.refresh har följande underordnade egenskaper.

spec.configuration.refresh.monitoring.keyValues är en matris med objekt som har följande underordnade egenskaper.

Egenskapen spec.secret har följande underordnade egenskaper. Det krävs om några Key Vault-referenser förväntas laddas ned. Mer information om stöd för inbyggda Kubernetes-typer av hemligheter finns i Typer av hemlighet.

Egenskapen spec.secret.target har följande underordnade egenskap.

Om egenskapen spec.secret.target.secretData inte har angetts fylls den genererade hemligheten i med listan över nyckelvärden som hämtats från Key Vaults, vilket gör att hemligheten kan användas som miljövariabler. Uppdatera den här egenskapen om du vill använda hemligheten som en monterad fil. Den här egenskapen har följande underordnade egenskaper.

Om egenskapen spec.secret.auth inte har angetts används den systemtilldelade hanterade identiteten. Den har följande underordnade egenskaper.

Autentiseringsmetoden för varje Key Vault kan anges med följande egenskaper. En av managedIdentityClientId, servicePrincipalReference eller workloadIdentity måste anges.

Egenskapen spec.secret.refresh har följande underordnade egenskaper.

Egenskapen spec.featureFlag har följande underordnade egenskaper. Det krävs om några funktionsflaggor förväntas laddas ned.

Om egenskapen spec.featureFlag.selectors inte har angetts laddas inte funktionsflaggor ned. Den innehåller en matris med väljareobjekt som har följande underordnade egenskaper. Observera att funktionsflaggor för den senaste väljaren har företräde och åsidosätter eventuella överlappande nycklar från föregående väljare.

Egenskapen spec.featureFlag.refresh har följande underordnade egenskaper.

Installation

Använd följande helm install kommando för att installera Kubernetes-providern för Azure App Configuration. Se helm-values.yaml för den fullständiga listan över parametrar och deras standardvärden. Du kan åsidosätta standardvärdena genom att skicka --set flaggan till kommandot .

helm install azureappconfiguration.kubernetesprovider \
    oci://mcr.microsoft.com/azure-app-configuration/helmchart/kubernetes-provider \
    --namespace azappconfig-system \
    --create-namespace

Automatisk skalning

Som standard inaktiveras automatisk skalning. Men om du har flera AzureAppConfigurationProvider resurser för att skapa flera ConfigMaps/Secrets kan du aktivera horisontell automatisk skalning av poddar genom att ange autoscaling.enabled till true.

helm install azureappconfiguration.kubernetesprovider \
    oci://mcr.microsoft.com/azure-app-configuration/helmchart/kubernetes-provider \
    --namespace azappconfig-system \
    --create-namespace
    --set autoscaling.enabled=true

Datainsamling

Programvaran kan samla in information om dig och din användning av programvaran och skicka den till Microsoft. Microsoft kan använda denna information för att tillhandahålla tjänster och förbättra våra produkter och tjänster. Du kan inaktivera telemetrin genom att ange requestTracing.enabled=false när du installerar Kubernetes-providern för Azure App Configuration. Det finns också vissa funktioner i programvaran som kan göra det möjligt för dig och Microsoft att samla in data från användare av dina program. Om du använder dessa funktioner måste du följa tillämplig lag, inklusive att tillhandahålla lämpliga meddelanden till användare av dina program tillsammans med en kopia av Microsofts sekretesspolicy. Vår sekretesspolicy finns på https://go.microsoft.com/fwlink/?LinkID=824704. Du kan lära dig mer om datainsamling och användning i hjälpdokumentationen och vår sekretesspolicy. Genom att använda programvaran samtycker du till dessa rutiner.

Exempel

Autentisering

Använda systemtilldelad hanterad identitet för VM-skalningsuppsättning

1. Aktivera den systemtilldelade hanterade identiteten i vm-skalningsuppsättningen som används av AKS-klustret (Azure Kubernetes Service).

2. Bevilja rollen systemtilldelad hanterad identitetsappkonfigurationsdataläsare i Azure App Configuration.

3. Distribuera följande exempelresurs AzureAppConfigurationProvider till AKS-klustret.

   apiVersion: azconfig.io/v1
   kind: AzureAppConfigurationProvider
   metadata:
     name: appconfigurationprovider-sample
   spec:
     endpoint: <your-app-configuration-store-endpoint>
     target:
       configMapName: configmap-created-by-appconfig-provider
   

Använda användartilldelad hanterad identitet för VM-skalningsuppsättning

1. Skapa en användartilldelad hanterad identitet och anteckna dess klient-ID när du har skapat den.

2. Tilldela den användartilldelade hanterade identiteten till vm-skalningsuppsättningen som används av AKS-klustret (Azure Kubernetes Service).

3. Bevilja rollen användartilldelad hanterad identitet appkonfigurationsdataläsare i Azure App Configuration.

4. spec.auth.managedIdentityClientId Ange egenskapen till klient-ID för den användartilldelade hanterade identiteten i följande exempelresurs AzureAppConfigurationProvider och distribuera den till AKS-klustret.

   apiVersion: azconfig.io/v1
   kind: AzureAppConfigurationProvider
   metadata:
     name: appconfigurationprovider-sample
   spec:
     endpoint: <your-app-configuration-store-endpoint>
     target:
       configMapName: configmap-created-by-appconfig-provider
     auth:
       managedIdentityClientId: <your-managed-identity-client-id>
   

Använda tjänstens huvudnamn

1. Skapa ett tjänsthuvudkonto

2. Ge tjänstens huvudnamn rollen App Configuration Data Reader i Azure App Configuration.

3. Skapa en Kubernetes-hemlighet i samma namnområde som resursen AzureAppConfigurationProvider och lägg till azure_client_id, azure_client_secret och azure_tenant_id av tjänstens huvudnamn i hemligheten.

4. spec.auth.servicePrincipalReference Ange egenskapen till namnet på hemligheten i följande exempelresurs AzureAppConfigurationProvider och distribuera den till Kubernetes-klustret.

   apiVersion: azconfig.io/v1
   kind: AzureAppConfigurationProvider
   metadata:
     name: appconfigurationprovider-sample
   spec:
     endpoint: <your-app-configuration-store-endpoint>
     target:
       configMapName: configmap-created-by-appconfig-provider
     auth:
       servicePrincipalReference: <your-service-principal-secret-name>
   

Använda arbetsbelastningsidentitet

1. Aktivera arbetsbelastningsidentitet i AKS-klustret (Azure Kubernetes Service).

2. Hämta URL:en för OIDC-utfärdaren för AKS-klustret.

3. Skapa en användartilldelad hanterad identitet och anteckna dess klient-ID, klient-ID, namn och resursgrupp.

4. Bevilja rollen användartilldelad hanterad identitet appkonfigurationsdataläsare i Azure App Configuration.

5. Skapa ett tjänstkonto genom att lägga till en YAML-fil (t.ex. serviceAccount.yaml) med följande innehåll i katalogen som innehåller dina AKS-distributionsfiler. Tjänstkontot skapas när du tillämpar alla distributionsändringar på ditt AKS-kluster (t.ex. med ).kubectl apply Ersätt <your-managed-identity-client-id> med klient-ID:t och <your-managed-identity-tenant-id> med klient-ID:t för den användartilldelade hanterade identiteten som just har skapats. Ersätt <your-service-account-name> med önskat namn.

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: <your-service-account-name>
     annotations:
       azure.workload.identity/client-id: <your-managed-identity-client-id>
       azure.workload.identity/tenant-id: <your-managed-identity-tenant-id>
   

6. Skapa en federerad identitetsautentiseringsuppgift för den användartilldelade hanterade identiteten med hjälp av Azure CLI. Ersätt <user-assigned-identity-name> med namnet och <resource-group> med resursgruppen för den nyligen skapade användartilldelade hanterade identiteten. Ersätt <aks-oidc-issuer> med OIDC-utfärdarens URL för AKS-klustret. Ersätt <your-service-account-name> med namnet på det nyligen skapade tjänstkontot. Ersätt <federated-identity-credential-name> med önskat namn för den federerade identitetsautentiseringsuppgiften.

   az identity federated-credential create --name "<federated-identity-credential-name>" --identity-name "<user-assigned-identity-name>" --resource-group "<resource-group>" --issuer "<aks-oidc-issuer>" --subject system:serviceaccount:default:<your-service-account-name> --audience api://AzureADTokenExchange
   

   Observera att ämnet för den federerade identitetsautentiseringsuppgiften bör följa det här formatet: system:serviceaccount:<service-account-namespace>:<service-account-name>.

7. spec.auth.workloadIdentity.serviceAccountName Ange egenskapen till namnet på tjänstkontot i följande exempelresursAzureAppConfigurationProvider. Se till att resursen AzureAppConfigurationProvider och tjänstkontot finns i samma namnområde.

   apiVersion: azconfig.io/v1
   kind: AzureAppConfigurationProvider
   metadata:
     name: appconfigurationprovider-sample
   spec:
     endpoint: <your-app-configuration-store-endpoint>
     target:
       configMapName: configmap-created-by-appconfig-provider
     auth:
       workloadIdentity:
         serviceAccountName: <your-service-account-name>
   

Använda anslutningssträng

1. Skapa en Kubernetes-hemlighet i samma namnområde som resursen AzureAppConfigurationProvider och lägg till Azure App Configuration anslutningssträng med nyckeln azure_app_configuration_connection_string i hemligheten.

2. spec.connectionStringReference Ange egenskapen till namnet på hemligheten i följande exempelresurs AzureAppConfigurationProvider och distribuera den till Kubernetes-klustret.

   apiVersion: azconfig.io/v1
   kind: AzureAppConfigurationProvider
   metadata:
     name: appconfigurationprovider-sample
   spec:
     connectionStringReference: <your-connection-string-secret-name>
     target:
       configMapName: configmap-created-by-appconfig-provider
   

Val av nyckelvärde

Använd egenskapen selectors för att filtrera de nyckelvärden som ska laddas ned från Azure App Configuration.

Följande exempel laddar ned alla nyckelvärden utan etikett.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider

I följande exempel används två väljare för att hämta två uppsättningar nyckelvärden, var och en med unika etiketter. Observera att värdena för den senaste väljaren har företräde och åsidosätter eventuella överlappande nycklar från föregående väljare.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
        labelFilter: common
      - keyFilter: app1*
        labelFilter: development

En ögonblicksbild kan användas ensam eller tillsammans med andra nyckel/värde-väljare. I följande exempel läser du in nyckelvärden för gemensam konfiguration från en ögonblicksbild och åsidosätter sedan några av dem med nyckelvärden för utveckling.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - snapshotName: app1_common_configuration
      - keyFilter: app1*
        labelFilter: development

Trimning av nyckelprefix

I följande exempel används trimKeyPrefixes egenskapen för att trimma två prefix från nyckelnamn innan du lägger till dem i den genererade ConfigMap.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    trimKeyPrefixes: [prefix1, prefix2]

Konfigurationsuppdatering

När du gör ändringar i dina data i Azure App Configuration kanske du vill att ändringarna ska uppdateras automatiskt i Kubernetes-klustret. I följande exempel kontrollerar Kubernetes-providern Azure App Configuration efter uppdateringar varje minut. Den associerade ConfigMap och hemligheten återskapas endast när ändringar identifieras. Mer information om hur du övervakar konfigurationsändringar finns i Metodtips för konfigurationsuppdatering.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
        labelFilter: common
    refresh:
      enabled: true
      interval: 1m

Key Vault-referenser

Autentisering

I följande exempel autentiseras ett Key Vault med tjänstens huvudnamn, medan alla andra Nyckelvalv autentiseras med en användartilldelad hanterad identitet.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
  secret:
    target:
      secretName: secret-created-by-appconfig-provider
    auth:
      managedIdentityClientId: <your-user-assigned-managed-identity-client-id>
      keyVaults:
        - uri: <your-key-vault-uri>
          servicePrincipalReference: <name-of-secret-containing-service-principal-credentials>

Typer av hemlighet

Två inbyggda Kubernetes-typer av hemligheter, Opaque och TLS, stöds för närvarande. Hemligheter som matchas från Key Vault-referenser sparas som ogenomskinlig hemlighetstyp som standard. Om du har en Key Vault-referens till ett certifikat och vill spara det som TLS-hemlighetstyp kan du lägga till en tagg med följande namn och värde i Key Vault-referensen i Azure App Configuration. På så sätt genereras en hemlighet med kubernetes.io/tls typen och namnges efter nyckeln i Key Vault-referensen.

I följande exempel visas hur data fylls i i de genererade hemligheterna med olika typer.

Förutsatt att ett App Configuration Store har följande Key Vault-referenser:

Följande exempel genererar hemligheter för både Ogenomskinliga och TLS-typer.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
  secret:
    target:
      secretName: secret-created-by-appconfig-provider
    auth:
      managedIdentityClientId: <your-user-assigned-managed-identity-client-id>

De genererade hemligheterna fylls i med följande data:

name: secret-created-by-appconfig-provider
type: Opaque
data:
  app1-secret1: <secret value retrieved from Key Vault>
  app1-secret2: <secret value retrieved from Key Vault>

name: app1-certificate
type: kubernetes.io/tls
data:
  tls.crt: |
    <certificate data retrieved from Key Vault>
  tls.key: |
    <certificate key retrieved from Key Vault>

Uppdatering av hemligheter från Key Vault

Uppdatering av hemligheter från Key Vaults kräver vanligtvis att motsvarande Key Vault-referenser läses in igen från Azure App Configuration. Med egenskapen spec.secret.refresh kan du dock uppdatera hemligheterna från Key Vault oberoende av varandra. Detta är särskilt användbart för att säkerställa att din arbetsbelastning automatiskt hämtar uppdaterade hemligheter från Key Vault under hemlig rotation. Observera att key vault-referensen inte får vara en versionshemlighet om du vill läsa in den senaste versionen av en hemlighet.

Följande exempel uppdaterar alla icke-versioner av hemligheter från Key Vault varje timme.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
        labelFilter: common
  secret:
    target:
      secretName: secret-created-by-appconfig-provider
    auth:
      managedIdentityClientId: <your-user-assigned-managed-identity-client-id>
    refresh:
      enabled: true
      interval: 1h

Funktionsflaggor

I följande exempel laddas funktionsflaggor med nycklar som börjar med app1 och etiketter som motsvarar common ned och uppdateras var 10:e minut. Observera att om du vill fylla i funktionsflaggor i den genererade ConfigMap configMapData.type måste egenskapen vara json eller yaml.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
    configMapData:
      type: json
      key: appSettings.json
  featureFlag:
    selectors:
      - keyFilter: app1*
        labelFilter: common
    refresh:
      enabled: true
      interval: 10m

Uppdatering på begäran

Du kan konfigurera automatisk datauppdatering, men det finns tillfällen då du kanske vill utlösa en uppdatering på begäran för att hämta de senaste data från App Configuration och Key Vault. Detta kan göras genom att lägga till eller uppdatera eventuella anteckningar i metadata.annotations avsnittet i AzureAppConfigurationProvider. Kubernetes-providern kommer sedan att stämma av och uppdatera ConfigMap och Secret med de senaste data från ditt App Configuration Store och Key Vault.

I följande exempel uppdateras med AzureAppConfigurationProvider en ny anteckning. Efter ändringen tillämpar du ändringarna med för kubectl apply att utlösa en uppdatering på begäran.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
  annotations:
    key1: value1
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
        labelFilter: common
  secret:
    target:
      secretName: secret-created-by-appconfig-provider
    auth:
      managedIdentityClientId: <your-user-assigned-managed-identity-client-id>

ConfigMap-förbrukning

Program som körs i Kubernetes använder vanligtvis ConfigMap antingen som miljövariabler eller som konfigurationsfiler. Om egenskapen configMapData.type saknas eller är inställd på standard fylls ConfigMap i med den specificerade listan över data som hämtats från Azure App Configuration, som enkelt kan användas som miljövariabler. Om egenskapen configMapData.type är inställd på json, yaml eller egenskaper grupperas data som hämtats från Azure App Configuration i ett objekt med nyckelnamnet som anges av configMapData.key egenskapen i den genererade ConfigMap, som kan användas som en monterad fil.

Följande exempel visar hur data fylls i i den genererade ConfigMap med olika inställningar för configMapData.type egenskapen.

Förutsatt att ett App Configuration Store har följande nyckelvärden:

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider

data:
  key1: value1
  key2: value2
  key3: value3

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
    configMapData:
      type: json
      key: appSettings.json

data:
  appSettings.json: >-
    {"key1":"value1","key2":"value2","key3":"value3"}

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
    configMapData:
      type: yaml
      key: appSettings.yaml

data:
  appSettings.yaml: >-
    key1: value1
    key2: value2
    key3: value3

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
    configMapData:
      type: properties
      key: app.properties

data:
  app.properties: >-
    key1=value1
    key2=value2
    key3=value3