由 servicebus 触发的 Azure Functions 抱怨连接字符串“AzureWebJobsServiceBus”丢失或为空

Question

当我在 local.settings.json 中有一个有效的 AzureWebJobsServiceBus 时，我有一个 .netcore Azure Functions 项目在 Visual Studio 2019 中运行良好，但如果它缺失或为空，则无法编译。我正在使用 AD 向服务总线验证我的功能，而不是通过连接字符串。 AzureWebJobsServiceBus 在我的项目中的任何地方都没有使用。 这是我的 project.cs

我使用 Azure.Identity 包并按照this post 使用我的凭据登录到 Azure，这是我正在运行的函数：

    [FunctionName("ProcessNewMessage")]
    public async Task ProcessPaymentMessage([ServiceBusTrigger("topic", "subscription")] Message message, ILogger log) {
        var tokenProvider = TokenProvider.CreateManagedIdentityTokenProvider();
        QueueClient queueClient = new QueueClient($"sb://{Environment.GetEnvironmentVariable("ServiceBusEndPoint")}", Environment.GetEnvironmentVariable("GenericAuditQueueName"), tokenProvider);

        await queueClient.SendAsync(message);
    }

在使用 AD 进行身份验证之前，我使用的是连接字符串，这也可以，但建议使用 AD。

总而言之，当提供了连接字符串但我的代码未使用时，我的 Azure 函数可与服务总线触发器一起使用。如何在没有连接字符串的情况下使我的函数与 AD 一起工作？

非常感谢

Answer 1

您无法从 Azure 函数应用服务总线触发器中删除服务总线连接字符串，因为内部 SDK 使用它来建立连接。

使用 key Vault 在 Function App 中保存 Service bus 的连接字符串： Key Vault 引用功能使您的应用程序可以像使用应用程序设置一样工作，这意味着不需要更改代码。您可以从我们的Key Vault reference documentation 获得所有详细信息，但我将在此处概述基础知识。

此功能需要为您的应用提供system-assigned managed identity。在这篇文章的后面，我将讨论用户分配的身份，但我们暂时将这些预览分开。

然后，您需要在 Key Vault 上配置访问策略，为您的应用程序授予对机密的 GET 权限。了解如何configure an access policy。

最后，将任何应用程序设置的值设置为以下格式的引用：

@Microsoft.KeyVault(SecretUri=secret_uri_with_version)

其中 secret_uri_with_version 是 Key Vault 中机密的完整 URI。例如，这将类似于：https://myvault.vault.azure.net/secrets/azurewebjobsservicebussecret/ec96f02080254f109c51a1f14cdb1931

您可以将 MSI 用于 Azure Function App 和服务总线：

函数应用的 MSI： https://docs.microsoft.com/en-us/azure/app-service/overview-managed-identity?tabs=dotnet#add-a-system-assigned-identity

服务总线的 MSI： https://docs.microsoft.com/en-us/azure/service-bus-messaging/service-bus-managed-service-identity#use-service-bus-with-managed-identities-for-azure-resources

Answer 2

如果要在 Azure 函数中使用 Azure AD auth 配置 Azure 服务总线触发器，请将服务总线连接字符串设置为Endpoint=sb://<service-bus-resource>.servicebus.windows.net;Authentication=Managed Identity;。更多详情请参考here。

例如

1. Enable MSI fro Azure function

2. Assign Azure RABC role (Azure Service Bus Data Owner) for the MSI

az role assignment create \
    --role $service_bus_role \
    --assignee $assignee_id \
    --scope /subscriptions/$subscription_id/resourceGroups/$resource_group/providers/Microsoft.ServiceBus/namespaces/$service_bus_namespace

4. 在 Azure 函数应用程序设置中添加服务总线连接字符串。

5. 代码

 public static void Run([ServiceBusTrigger("test", "test", Connection = "myQueueConn")]string mySbMsg, ILogger log)
        {
            log.LogInformation($"C# ServiceBus topic trigger function processed message: {mySbMsg}");
        }