在前面的教程中，你已学习如何通过 SSH 连接到虚拟机 (VM) 并手动安装 NGINX。 若要以快速一致的方式创建 VM，通常需要某种形式的自动化。 在首次启动 VM 时实现自定义的常见方法是使用cloud-init。 本教程介绍如何执行下列操作：
创建 cloud-init 配置文件
创建使用 cloud-init 文件的 VM
在创建 VM 后，查看正在运行的 Node.js 应用
使用 Key Vault 安全地存储证书
使用 cloud-init 自动进行 NGINX 的安全部署
Note
在 Azure 中国区使用 Azure CLI 2.0 之前，请先运行az cloud set -n AzureChinaCloud来改变云环境。如果想切回国际版 Azure，请再次运行az cloud set -n AzureCloud。
如果选择在本地安装并使用 CLI，本教程要求运行 Azure CLI 2.0.4 或更高版本。 运行az --version即可查找版本。 如果需要进行安装或升级，请参阅安装 Azure CLI 2.0。
Cloud-init 概述
Cloud-init是一种广泛使用的方法，用于在首次启动 Linux VM 时对其进行自定义。 可使用 cloud-init 来安装程序包和写入文件，或者配置用户和安全性。 在初始启动期间运行 cloud-init 时，无需额外的步骤和代理即可应用配置。
Cloud-init 还支持不同的发行版。 例如，不需使用 apt-get install 或 yum install 来安装包， 而是可定义要安装的程序包的列表。 Cloud-init 将对所选发行版自动使用本机包管理工具。
我们正在与合作伙伴协作，将 cloud-init 纳入用户向 Azure 提供的映像中并使其在映像中正常运行。 下表概述了 cloud-init 当前在 Azure 平台映像上的可用性：
别名发布者产品SKUVersion
UbuntuLTSCanonicalUbuntuServer16.04-LTS最新
UbuntuLTSCanonicalUbuntuServer14.04.5-LTS最新
CoreOSCoreOSCoreOSStablelatest
创建 cloud-init 配置文件
若要运行 cloud-init，请创建一个 VM，以便安装 NGINX 并运行简单的“Hello World”Node.js 应用。 以下 cloud-init 配置会安装所需的程序包，创建 Node.js 应用，然后初始化并启动该应用。
在当前 shell 中，创建名为“cloud-init.txt”的文件并粘贴下面的配置。 可使用任何想要使用的编辑器。 请确保已正确复制整个 cloud-init 文件，尤其是第一行：
yaml复制
#cloud-configpackage_upgrade:truepackages:-nginx-nodejs-npmwrite_files:- owner:www-data:www-data- path:/etc/nginx/sites-available/defaultcontent:|
server {
listen 80;
location / {
proxy_pass http://localhost:3000;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection keep-alive;
proxy_set_header Host $host;
proxy_cache_bypass $http_upgrade;
}
}- owner:azureuser:azureuser- path:/home/azureuser/myapp/index.jscontent:|
var express = require('express')
var app = express()
var os = require('os');
app.get('/', function (req, res) {
res.send('Hello World from host ' + os.hostname() + '!')
})
app.listen(3000, function () {
console.log('Hello world app listening on port 3000!')
})runcmd:-servicenginxrestart-cd"/home/azureuser/myapp"-npminit-npminstallexpress-y-nodejsindex.js
有关 cloud-init 配置选项的详细信息，请参阅cloud-init 配置示例。
创建虚拟机
使用az group create创建资源组，然后才能创建 VM。 以下示例在“chinaeast”位置创建名为“myResourceGroupAutomate”的资源组：
Azure CLI复制
azgroupcreate--namemyResourceGroupAutomate--locationchinaeast
现在，请使用az vm create创建 VM。 使用--custom-data参数传入 cloud-init 配置文件。 如果未将 cloud-init.txt 配置文件保存在现有工作目录中，请提供该文件的完整路径。 以下示例创建名为“myAutomatedVM”的 VM：
Azure CLI复制
azvmcreate\--resource-groupmyResourceGroupAutomate \--namemyVM \--imageUbuntuLTS \--admin-usernameazureuser \--generate-ssh-keys\--custom-datacloud-init.txt
创建 VM、安装程序包和启动应用需耗时几分钟。 在 Azure CLI 返回提示之后，仍然存在继续运行的后台任务。 可能还需等待几分钟才能访问应用。 创建 VM 后，请记下 Azure CLI 显示的publicIpAddress。 此地址用于通过 Web 浏览器访问 Node.js 应用。
若要使 VM 能使用 Web 流量，请通过az vm open-port从 Internet 打开端口 80：
Azure CLI复制
azvmopen-port--port80--resource-groupmyResourceGroupAutomate--namemyVM
测试 Web 应用
现在可以打开 Web 浏览器，在地址栏中输入“http://”。 在 VM 创建过程中提供自己的公共 IP 地址。 Node.js 应用如下例所示：
注入 Key Vault 中的证书
此可选部分展示了如何在 Azure Key Vault 中安全存储证书，并在 VM 部署期间将其注入。 此过程可确保首次启动时将最新的证书注入到 VM 中，不必使用包含内嵌证书的自定义映像。 在该过程中，证书永远不会离开 Azure 平台，也不会在脚本、命令行历史记录或模板中公开。
Azure Key Vault 保护加密密钥和机密，例如证书或密码。 Key Vault 有助于简化密钥管理过程，让你能够持续掌控用于数据访问和加密的密钥。 此方案介绍了一些用于证书创建和使用的 Key Vault 概念，但未详述如何使用 Key Vault。
以下步骤演示如何：
创建 Azure Key Vault
生成证书或将其上传到 Key Vault
利用要注入到 VM 的证书创建密钥
创建 VM 并注入证书
创建 Azure Key Vault
首先，使用az keyvault create创建 Key Vault，并在部署 VM 时启用该 Key Vault。 每个 Key Vault 均需具备唯一名称且全部小写。 将下例中的 mykeyvault 替换为自己唯一的 Key Vault 名称：
Azure CLI复制
keyvault_name=mykeyvaultazkeyvaultcreate\--resource-groupmyResourceGroupAutomate \--name$keyvault_name\--enabled-for-deployment
生成证书并将其存储在 Key Vault 中
为供生产使用，应通过az keyvault certificate import导入由受信任的提供程序签名的有效证书。 在本教程中，以下示例显示了如何使用az keyvault certificate create生成使用默认证书策略的自签名证书：
Azure CLI复制
azkeyvaultcertificatecreate\--vault-name$keyvault_name\--namemycert \--policy"$(az keyvault certificate get-default-policy)"
准备用于 VM 的证书
若要在 VM 创建过程中使用该证书，请使用az keyvault secret list-versions获取证书的 ID。 VM 需要特定格式的证书才能在启动时将其注入，因此请使用az vm format-secret转换该证书。 以下示例将这些命令的输出分配给变量，以便在后续步骤中使用：
Azure CLI复制
secret=$(azkeyvaultsecretlist-versions\--vault-name$keyvault_name\--namemycert \--query"[?attributes.enabled].id"--outputtsv)vm_secret=$(azvmformat-secret--secret"$secret")
创建 cloud-init 配置以保护 NGINX
创建 VM 时，证书和密钥都将存储在受保护的 /var/lib/waagent/ 目录中。 要将证书自动添加到 VM 并配置 NGINX，可使用上一示例中已更新的 cloud-init 配置。
创建名为“cloud-init-secured.txt”的文件并粘贴下面的配置。 同样，请确保已正确复制整个 cloud-init 文件，尤其是第一行：
yaml复制
#cloud-configpackage_upgrade:truepackages:-nginx-nodejs-npmwrite_files:- owner:www-data:www-data- path:/etc/nginx/sites-available/defaultcontent:|
server {
listen 80;
listen 443 ssl;
ssl_certificate /etc/nginx/ssl/mycert.cert;
ssl_certificate_key /etc/nginx/ssl/mycert.prv;
location / {
proxy_pass http://localhost:3000;
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
proxy_set_header Connection keep-alive;
proxy_set_header Host $host;
proxy_cache_bypass $http_upgrade;
}
}- owner:azureuser:azureuser- path:/home/azureuser/myapp/index.jscontent:|
var express = require('express')
var app = express()
var os = require('os');
app.get('/', function (req, res) {
res.send('Hello World from host ' + os.hostname() + '!')
})
app.listen(3000, function () {
console.log('Hello world app listening on port 3000!')
})runcmd:-secretsname=$(find/var/lib/waagent/-name"*.prv"| cut -c -57)
- mkdir /etc/nginx/ssl
- cp $secretsname.crt /etc/nginx/ssl/mycert.cert
- cp $secretsname.prv /etc/nginx/ssl/mycert.prv
- service nginx restart
- cd "/home/azureuser/myapp"
- npm init
- npm install express -y
- nodejs index.js
创建安全的 VM
现在，请使用az vm create创建 VM。 使用--secrets参数注入 Key Vault 中的证书数据。 与上个示例一样，使用--custom-data参数传入 cloud-init 配置：
Azure CLI复制
azvmcreate\--resource-groupmyResourceGroupAutomate \--namemyVMSecured \--imageUbuntuLTS \--admin-usernameazureuser \--generate-ssh-keys\--custom-datacloud-init-secured.txt \--secrets"$vm_secret"
创建 VM、安装程序包和启动应用需耗时几分钟。 在 Azure CLI 返回提示之后，仍然存在继续运行的后台任务。 可能还需等待几分钟才能访问应用。 创建 VM 后，请记下 Azure CLI 显示的publicIpAddress。 此地址用于通过 Web 浏览器访问 Node.js 应用。
若要使 VM 能使用安全的 Web 流量，请通过az vm open-port从 Internet 打开端口 443：
Azure CLI复制
azvmopen-port \--resource-groupmyResourceGroupAutomate \--namemyVMSecured \--port443
测试 Web 应用是否安全
现在可以打开 Web 浏览器，在地址栏中输入“https://”。 在 VM 创建过程中提供自己的公共 IP 地址。 若使用自签名的证书，请接受安全警告：
随即显示受保护的 NGINX 站点和 Node.js 应用，如下例所示：
后续步骤
在本教程中，你使用 cloud-init 在首次启动时配置了 VM。 你已了解如何：
创建 cloud-init 配置文件
创建使用 cloud-init 文件的 VM
在创建 VM 后，查看正在运行的 Node.js 应用
使用 Key Vault 安全地存储证书
使用 cloud-init 自动进行 NGINX 的安全部署
转到下一教程，了解如何创建自定义 VM 映像。
创建自定义 VM 映像
立即访问http://market.azure.cn