在 Azure 中部署使用 PostgreSQL 的 Python Django Web 应用

• 具有活动订阅的 Azure 帐户。 如果没有 Azure 帐户， 可以免费创建一个帐户。
• 一个 GitHub 帐户。 也可以 免费获取一个。
• 具备 Python 和 Django 开发的知识。
• （可选） 要尝试 GitHub Copilot，需要一个 GitHub Copilot 帐户。 有 30 天免费试用版可用。

• 具有活动订阅的 Azure 帐户。 如果没有 Azure 帐户， 可以免费创建一个帐户。
• 已安装 Azure 开发人员 CLI。 可以使用 Azure Cloud Shell 执行这些步骤，因为它已安装 Azure 开发人员 CLI。
• 具备 Python 与 Django 开发的知识。
• （可选） 要试用 GitHub Copilot，您需要一个 GitHub Copilot 帐户。 有 30 天免费试用版可用。

2.创建应用服务、数据库和缓存

此步骤创建 Azure 资源。 本教程中使用的步骤可创建一组默认安全的资源，其中包括应用服务、Azure Database for PostgreSQL 和 Azure Cache。 对于创建过程，需要指定：

• Web 应用的“名称”。 它以 https://<app-name>-<hash>.<region>.azurewebsites.net 的形式用作应用的 DNS 名称的一部分。
• “地区”，即应用在真实世界运行的地区。 它还用作应用的 DNS 名称的一部分。
• 应用的运行时堆栈。 在此处选择要用于应用的 Python 版本。
• 应用的托管计划。 这是一个定价等级，包括应用的功能集和扩展能力。
• 应用的资源组。 使用资源组可将应用程序所需的所有 Azure 资源分组到一个逻辑容器中。

登录到 Azure 门户 ，并按照以下步骤创建 Azure 应用服务资源。

3.保护连接机密并添加 SECRET_KEY

创建向导已为您生成了作为应用设置的连接变量。 但是，安全最佳做法是将机密完全排除在应用服务之外。 你将把机密移动到密钥保管库，并借助服务连接器将应用程序设置更改为密钥保管库引用。

总之，保护连接机密的过程包括：

• 从应用服务应用的环境变量中检索连接机密。
• 创建密钥保管库。
• 使用系统分配的托管标识创建 Key Vault 连接。
• 更新服务连接器以将机密存储在 Key Vault 中。

遇到问题？ 检查 “故障排除”部分。

4.部署示例代码

在此步骤中，使用 GitHub Actions 配置 GitHub 部署。 这只是部署到应用服务的许多方法之一，也是一种在部署过程中持续集成的好方法。 默认情况下，进入 GitHub 存储库的每个 git push 都会启动生成和部署操作。

遇到问题？ 查看 故障排除指南。

5.生成数据库架构

使用受虚拟网络保护的 PostgreSQL 数据库，运行 Django 数据库迁移 的最简单方法是在应用服务中与 Linux 容器建立 SSH 会话。

遇到问题？ 检查 “故障排除”部分。

6.浏览到应用

7.流式传输诊断日志

Azure 应用服务会捕获所有控制台日志，以帮助你诊断应用程序的问题。 示例应用包含了 print() 语句用于演示此功能，如下所示。

def index(request):
    print('Request for index page received')
    restaurants = Restaurant.objects.annotate(avg_rating=Avg('review__rating')).annotate(review_count=Count('review'))
    lastViewedRestaurant = request.session.get("lastViewedRestaurant", False)

了解有关在 Python 应用程序中进行日志记录的更多信息，请查看有关为 Python 应用程序设置 Azure Monitor的系列文章。

8.清理资源

完成后，可以通过删除资源组从 Azure 订阅中删除所有资源。

2.创建 Azure 资源并部署示例应用

在此步骤中，将创建 Azure 资源并将示例应用部署到 Linux 上的应用服务。 本教程中使用的步骤可创建一组默认安全的资源，其中包括应用服务、Azure Database for PostgreSQL 和 Azure Cache for Redis。

开发容器已具有 Azure 开发人员 CLI （AZD）。

1. 从存储库根路径，运行 azd init。

   azd init --template python-app-service-postgresql-infra
   

2. 出现提示时，请提供以下答案：

   问题	答案
   当前目录不为空。 是否要在此处初始化“<your-directory>”中的项目？	Y
   你希望对这些文件执行哪些操作？	使现有文件保持不变
   输入新环境名称	键入唯一名称。 AZD 模板将此名称用作 Azure 中 Web 应用的 DNS 名称的一部分 (<app-name>-<hash>.azurewebsites.net)。 允许使用字母数字字符和下划线。

3. 通过运行 azd auth login 命令并按照提示登录到 Azure：

   azd auth login
   

4. 使用 azd provision 命令创建必要的 Azure 资源。 按照提示为 Azure 资源选择所需的订阅和位置。

   azd provision
   

   azd provision 命令需要大约 15 分钟来完成（Redis 缓存需要的时间最长）。 稍后，你将修改代码以使用应用服务并使用 azd deploy 部署更改。 在运行时，该命令会提供有关预配和部署过程的消息，包括指向 Azure 中部署的链接。

   此 AZD 模板包含使用以下 Azure 资源生成安全默认体系结构的文件（azure.yaml 和 基础结构 目录）：

   • 资源组：所有已创建资源的容器。
   • 应用服务计划：定义应用服务的计算资源。 现在基本层中建立了 Linux 计划。
   • 应用服务：表示应用并在应用服务计划中运行。
   • 虚拟网络：与应用服务应用集成，并隔离后端网络流量。
   • 专用终结点：访问虚拟网络中密钥保管库和 Redis 缓存的终结点。
   • 网络接口：表示专用 IP 地址，每个专用终结点对应一个。
   • Azure Database for PostgreSQL 灵活服务器：只能从虚拟网络内部访问。 你的数据库和用户创建于此服务器上。
   • 专用 DNS 区域：在虚拟网络中启用 PostgreSQL 服务器的 DNS 解析。
   • Log Analytics 工作区：充当应用交付日志的目标容器，还可以在其中查询日志。
   • Azure Redis 缓存：只能从其专用终结点后面访问。
   • 密钥保管库：只能从其专用终结点后面访问。 用于管理应用服务应用的机密。

   一旦命令完成创建资源和首次部署应用程序代码的操作，已部署的示例应用就无法运行，因为你必须进行微小的更改才能使其连接到 Azure 中的数据库。

遇到问题？ 检查 “故障排除”部分。

3.使用数据库连接字符串

你使用的 AZD 模板已经生成了 应用设置 的连接变量，并将它们输出到终端，以便于你。 使用应用设置可以将连接机密保留在代码存储库之外。

1. 在 AZD 输出中，找到设置 AZURE_POSTGRESQL_USER、AZURE_POSTGRESQL_PASSWORD、AZURE_POSTGRESQL_HOST、AZURE_POSTGRESQL_NAME 和 AZURE_REDIS_CONNECTIONSTRING。 若要保护机密安全，请仅显示设置名称。 如 AZD 输出中所示：

    App Service app has the following connection settings:
            - AZURE_POSTGRESQL_NAME
            - AZURE_POSTGRESQL_HOST
            - AZURE_POSTGRESQL_USER
            - AZURE_POSTGRESQL_PASSWORD
            - AZURE_REDIS_CONNECTIONSTRING
            - AZURE_KEYVAULT_RESOURCEENDPOINT
            - AZURE_KEYVAULT_SCOPE
    

2. 为方便起见，AZD 模板会显示应用的应用设置页的直接链接。 找到该链接并在新的浏览器选项卡中打开它。

遇到问题？ 检查 “故障排除”部分。

4.修改示例代码并重新部署

遇到问题？ 检查 “故障排除”部分。

5.生成数据库架构

在 PostgreSQL 数据库受虚拟网络保护的情况下，运行 Django 数据库迁移的最简单方法是使用应用服务中的 Linux 容器在 SSH 会话中运行。

1. 在 AZD 输出中，找到 SSH 会话的 URL，并在浏览器中导航到该 URL。 它在输出中如下所示：

    Open SSH session to App Service container at: https://<app-name>.scm.azurewebsites.net/webssh/host
    

2. 在 SSH 会话中，运行 python manage.py migrate。 如果成功，应用服务将 成功连接到数据库。

   

   注意

   只有对 /home 中文件的更改才能在应用重启之后持久保存。 不会保留 /home 外部的更改。

遇到问题？ 检查 “故障排除”部分。

6.浏览到应用

1. 在 AZD 输出中，找到应用的 URL 并在浏览器中导航到该 URL。 该 URL 在 AZD 输出中如下所示：

    Deploying services (azd deploy)
   
      (✓) Done: Deploying service web
      - Endpoint: https://<app-name>.azurewebsites.net/
    

2. 在列表中添加几家餐厅。

   

   恭喜，你已在 Azure 应用服务中运行了一个 Web 应用，并安全连接到了 Azure Database for PostgreSQL。

遇到问题？ 检查 “故障排除”部分。

7.流式传输诊断日志

Azure 应用服务可以捕获控制台日志，以帮助你诊断应用程序的问题。 为方便起见，AZD 模板已 启用对本地文件系统的日志记录 ，并将 日志传送到 Log Analytics 工作区。

示例应用程序包含了 print() 语句用于演示此功能，如以下代码片段所示。

def index(request):
    print('Request for index page received')
    restaurants = Restaurant.objects.annotate(avg_rating=Avg('review__rating')).annotate(review_count=Count('review'))
    lastViewedRestaurant = request.session.get("lastViewedRestaurant", False)

在 AZD 输出中，找到流式传输应用服务日志的链接，并在浏览器中导航到该链接。 该链接在 AZD 输出中如下所示：

Stream App Service logs at: https://portal.azure.com/#@/resource/subscriptions/<subscription-guid>/resourceGroups/<group-name>/providers/Microsoft.Web/sites/<app-name>/logStream

了解更多关于在 Python 应用中进行日志记录的内容，该系列将指导您如何 为 Python 应用程序设置 Azure Monitor。

遇到问题？ 检查 “故障排除”部分。

8.清理资源

若要删除当前部署环境中的所有 Azure 资源，请运行 azd down 并按照提示进行操作。

azd down

• 此设置的成本是多少？
• 如何使用其他工具连接到在虚拟网络后面保护的 PostgreSQL 服务器？
• 本地应用开发如何与 GitHub Actions 协作运作？
• Django 示例如何配置为在 Azure 应用服务上运行？
• 如何将SECRET_KEY应用设置更改为 Key Vault 引用？
• 如何调试 GitHub Actions 部署期间出现的错误？
• 我无权创建用户分配的标识
• 如何在代码空间中使用 GitHub Copilot？

• 此设置的成本是多少？
• 如何使用其他工具连接到在虚拟网络后面保护的 PostgreSQL 服务器？
• 本地应用开发如何与 GitHub Actions 协作运作？
• Django 示例如何配置为在 Azure 应用服务上运行？
• 如何调试 GitHub Actions 部署期间出现的错误？
• 我无权创建用户分配的标识
• 如何在代码空间中使用 GitHub Copilot？

如何将 SECRET_KEY 应用设置更改为 Key Vault 引用？

在上面的门户步骤中，可以通过在 SECRET_KEY 中运行以下 Azure CLI 命令来将 更改为 Key Vault 引用：

# Change the following variables to match your environment
SUBSCRIPTION_ID=<subscription-id>
RESOURCE_GROUP=<resource-group-name>
KEY_VAULT_NAME=<key-vault-name>
APP_SERVICE_NAME=<app-name>
SECRET_NAME=djangoSecretKey

# Set the subscription ID
az account set --subscription $SUBSCRIPTION_ID

# Assign 'Key Vault Secrets Officer' role to your user at the scope of the key vault
az role assignment create \
  --assignee $(az ad signed-in-user show --query id -o tsv) \
  --role $(az role definition list --name "Key Vault Secrets Officer" --query "[].id" -o tsv) \
  --scope $(az keyvault show --name $KEY_VAULT_NAME --resource-group $RESOURCE_GROUP --query id --output tsv)

# Add the secret to the key vault
az keyvault secret set \
  --vault-name $KEY_VAULT_NAME \
  --name $SECRET_NAME \
  --value $(python -c 'import secrets; print(secrets.token_hex())')

# Add Key Vault reference to the App Service configuration
az webapp config appsettings set \
  --resource-group $RESOURCE_GROUP \
  --name $APP_SERVICE_NAME \
  --settings "SECRET_KEY=@Microsoft.KeyVault(SecretUri=https://$KEY_VAULT_NAME.vault.azure.net/secrets/$SECRET_NAME)"

还可以在门户中执行相同的操作。 有关详细信息，请参阅：

1. 密钥保管库作用域角色分配
2. 将机密添加到 Key Vault
3. 从 Key Vault 检索机密
4. 配置应用设置