Azure功能-保护对存储帐户的访问

Question

在我的Azure函数中，我使用IBinder将文件写入blob存储。我在 AzureWebJobsStorage 中有包含帐户名和密钥的连接字符串。我计划将此函数更改为使用托管标识，并使用它来访问存储帐户。但似乎 Azure 使用此连接字符串来存储一些函数数据，我无法更改或删除它。那么，即使我仍然必须保留此连接字符串，将托管标识分配给此函数是否有意义？

public async Task<IActionResult> ReceiveEmail([HttpTrigger(AuthorizationLevel.Function, "post")]
     HttpRequestMessage req,
     IBinder binder,
     [ServiceBus("%responseQueueName%", Connection = "SbConnString")] ICollector<Message> outMessages)
     {
        ...
        using (var outputStream = await binder.BindAsync<Stream>(new BlobAttribute(emailFileLocation, FileAccess.Write)))
        {
            await inputStream.CopyToAsync(outputStream);
        }

Answer 1

更新:

using (var outputStream = await binder.BindAsync<Stream>(new BlobAttribute("test/20201023.txt", FileAccess.Write) { Connection="str"}))
{
      await req.Body.CopyToAsync(outputStream);
}
return new OkObjectResult("This is a test.");

str 需要在环境变量中设置。

在local上，您需要在local.settings.json的< code>Values部分设置它:

{
    "IsEncrypted": false,
  "Values": {
    "AzureWebJobsStorage": "UseDevelopmentStorage=true",
    "FUNCTIONS_WORKER_RUNTIME": "dotnet",
    "str": "DefaultEndpointsProtocol=https;AccountName=0730bowmanwindow;AccountKey=xxxxxx;EndpointSuffix=core.windows.net"
  }
}
            

在azure上，它需要设置配置设置。

原始答案：

是的，AzureWebJobStorage是azure函数的内置必需值。它用于运行的一些触发器。当您将函数应用部署到azure时，它还用于存储函数应用的数据。

您必须保留此值，否则函数应用程序将损坏。（您需要它来存储函数应用程序文件、日志和许多其他内容。）

那么，即使我仍然必须保留这个连接字符串，将托管身份分配给这个函数还有意义吗？

使用托管身份仍然有意义。因为要处理的存储和存储函数日志和文件的存储不一定每次都相同。

当我们想要处理存储时，我们总是需要告诉Azure我们可以访问某个资源。该函数一般通过基本验证，即提供连接字符串。此方法不安全，因为连接字符串将在代码或配置中公开。微星是个好办法。当不使用基本身份验证时，我们可以使用MSI来避免在代码或配置中显式存储连接字符串，以确保安全性。

AzureWebJobsStorage 是设计过程中的内置值，必须提供。这是函数应用所必需的。AzureWebJobsStorage 与您使用 MSI 无关。在正常情况下，我们可能不会访问同一存储。MSI 允许我们通过服务主体和 RBAC 角色获取对相应存储的各种权限。