LoginSignup
6
3

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?

More than 1 year has passed since last update.

@shingo_kawahara(Shingo Kawahara)in株式会社セゾンテクノロジー

Web App for Containers vNet統合経由でプライベートエンドポイント先のACRからイメージPullする

Last updated at Posted at 2022-08-25

Web App for Containersで、vNet(vNet統合)を経由したACRからのpullを試しました。
App Service Team Blog に手順が公開されていますが、Azure Portalからの実現方法やデプロイメントスロットを使った場合の注意点を残します。

構成

  • 以下のような構成で試しています。
    image.png

vNet作成

  • 以下のリソースを作成します。作成手順は割愛します。
    • vNet
      • vm-subnet
      • private-endpoint-subnet
      • vnet-integration-subnet

ACR作成

  • ACRへのアクセスはプライベートエンドポイント経由で行います。プライベートエンドポイントはSKU Premiumが必要なので、Premiumで作成します。
    image.png

  • ネットワーク設定は最初はパブリックアクセスで作成します。あとで変更します。
    image.png

  • 作成されたら管理者ユーザーを有効化しておきます。
    image.png

サンプルアプリケーション準備

VM作成

  • 検証用のVMを作成します。作成先Subnetはvm-subnetとし、OSはUbuntuとします。

サンプルイメージをACRにPush

  • 検証用VMにログインしサンプルアプリをACRにPushします。
# echo '<h1>ACR Test v1</h1>' > index.html
# echo 'FROM nginx:latest' > Dockerfile
# echo 'COPY index.html /usr/share/nginx/html' >> Dockerfile
# az login
# az account list --output table --all
# az account set --subscription [Subscrption ID]
# az acr build --registry [Container Registry Name] --image nginx-test:v1 .
  • Azure PortalからリポジトリにイメージがPushされていることを確認します。
    image.png

Web App for Containers作成

  • Linuxコンテナーを選択します。
    image.png

  • デプロイメントスロットを使いたいので P1v2 でいきます。
    image.png

  • コンテナー設定画面では事前に準備したACRのイメージを選択します。
    image.png

  • ネットワーク関連はあとで設定する為ここでは無効にしておきます。
    image.png

  • Application Insightsは必要に応じて設定します。
    image.png

  • 作成されたらWebブラウザからURLにアクセスします。以下の画面が表示されればOKです。
    image.png

Web App for Containers設定

PrivateEndpoint設定

  • 特定のvNetからしかアクセスできないよう設定します。

  • Web Appから[ネットワーク]→[プライベートエンドポイント]の順に選択します。
    image.png

  • [追加]を選択します。
    image.png

  • サブネットは事前に作成したプライベートエンドポイントのサブネットを指定します。vNet内からプライベートIPで名前解決させたいため、プライベートDNSゾーンと統合します。
    image.png

vNet統合

  • vNetを経由してACRからPullするために、vNet統合を設定します。

  • Web Appから[ネットワーク]→[VNET統合]の順に選択します。
    image.png

  • [vNetの追加]を選択します。
    image.png

  • 事前に作成したvNet統合用のサブネットを選択します。
    image.png

ManagedID設定

  • ACRへの権限をWeb Appに与える為マネージドIDを設定します。
  • Web Appから[ID]を選択し、システム割り当て済みマネージドIDを[オン]にします。
    image.png

アプリケーション設定

  • Web Appから[構成]→[新しいアプリケーション設定]の順に選択します。
    image.png

  • [WEBSITE_PULL_IMAGE_OVER_VNET]に[true]を設定して追加します。
    image.png

  • Azure CLIから以下コマンドを実行します。この設定を入れることでACRの管理者ユーザーを無効にすることができます。

az resource update --resource-group [Resource Group Name] --name [Web App Name]/config/web --set properties.acrUseManagedIdentityCreds=true --resource-type 'Microsoft.Web/sites/config'

ACR設定

Private Endpoint作成

  • 特定のvNetからしかアクセスできないよう設定します。

  • コンテナーレジストリーから[ネットワーク]→[プライベートアクセス]→[プライベートエンドポイント接続を作成します]の順に選択します。
    image.png

  • エンドポイント名等を入力します。
    image.png

  • 対象のサブリソースは[registry]を選択します。
    image.png

  • 事前に作成したプライベートエンドポイントサブネットを選択します。
    image.png

  • vNet内からプライベートIPで名前解決させたいため、プライベートDNSゾーンと統合します。
    image.png

  • ACRの[ネットワーク]→[パブリックアクセス]の順に選択し、パブリックアクセスを無効にします。
    image.png

    • 無効にするとPortalからリポジトリへのアクセスもできなくなってしまうので、自PCからのアクセスのみ有効にしておいたほうが使いやすいです。
      image.png

  • ACRの管理者ユーザーを無効にします。
    image.png

RBAC設定

  • コンテナーレジストリーから[IAM]→[ロールの割り当ての追加]の順に選択します。
    image.png

  • [AcrPull]を選択します。
    image.png

  • [マネージドID]→[メンバーを選択する]の順に選択します。
    image.png

  • マネージドIDで[App Service]を選択すると、先ほどマネージドID設定したApp Serviceが出てくるので選択します。
    image.png

検証

  • 検証用VMから再度ACRにpushします。
# echo '<h1>ACR Test v2</h1>' > index.html
# az acr build --registry [Container Registry Name] --image nginx-test:v1 .

  • App Serviceを再起動します。
    image.png

  • 検証用VMから確認し、v2に変わっていればOKです。（App Serviceをプライベートエンドポイント経由のみにしているため、vNet内からしかアクセスできなくなっています）

# curl https://[Web App Name].azurewebsites.net
<h1>ACR Test v2</h1>

デプロイメントスロット設定

  • デプロイメントスロットでは スワップされない設定 があります。
  • 以下設定をデプロイメントスロット側にも実施することで、デプロイメントスロットでACRからPullすることができます。
    • マネージドID
    • VNET統合
    • プライベートエンドポイント
    • アプリケーション設定
  • VNET統合サブネットはApp Serviceが分かれるとサブネットも分ける必要がありますが、デプロイメントスロットは同じApp Serviceなので、VNET統合サブネットは共存することが可能です。

以上

6
3
0

Register as a new user and use Qiita more conveniently

  1. You get articles that match your needs
  2. You can efficiently read back useful information
  3. You can use dark theme
What you can do with signing up
Sign upLogin
6
3

Delete article

Deleted articles cannot be recovered.

Draft of this article would be also deleted.

Are you sure you want to delete this article?