Azure Functions 開發人員指南

在 Azure Functions 中，不論您慣用的語言或開發環境為何，所有函式都會共用一些核心技術概念和元件。 本文為語言特定。 在文章頂端選擇慣用語言。

本文假設您已閱讀過 Azure Functions 開發人員概觀。

程式碼專案

Azure Functions 的核心是語言特定的程式碼專案，可實作一或多個稱為函式的程式碼執行單位。 函式只是根據事件、回應 HTTP 要求或排程在 Azure 雲端中執行的方法。 將 Azure Functions 程式碼專案視為一種機制，在 Azure 中執行時，會組織、部署及共同管理專案中個別的函式。 如需詳細資訊，請參閱組織您的函式。

所有函式都必須有觸發程序，其會定義函式的啟動方式，並且可以提供函式的輸入。 您的函式可以選擇性地定義輸入和輸出繫結。 這些繫結可簡化與其他服務的連線，而無須使用用戶端 SDK。 如需詳細資訊，請參閱 Azure Functions 觸發程序和繫結概念。

Azure Functions 提供一組語言特定的專案和函式範本，可讓您輕鬆地建立新的程式碼專案，並將函式新增至您的專案。 您可以使用任何支援 Azure Functions 開發的工具，使用這些範本來產生新的應用程式和函式。

開發工具

下列工具會以慣用的語言來提供 Azure Functions 的整合開發和發佈體驗：

• Visual Studio Code

• Azure Functions Core Tools (命令提示字元)

這些工具與 Azure Functions Core Tools 整合，讓您可以使用 Functions 執行階段在本機電腦上執行及偵錯。 如需詳細資訊，請參閱如何在本機撰寫 Azure Functions 程式碼並進行測試。

部署

當您將程式碼專案發佈至 Azure 時，基本上會將專案部署到現有的函式應用程式資源。 函數應用程式在 Azure 中提供函式執行所在的執行內容。 這是部署及管理函式的單位。 從 Azure 資源的觀點來看，函數應用程式相當於 Azure App Service 中的網站資源 (Microsoft.Web/sites)，這相當於 Web 應用程式。

函數應用程式是由一或多個共同管理、部署和調整的個別函式所組成。 函數應用程式中的所有函式都會共用相同的定價方案、部署方法和執行階段版本。 如需詳細資訊，請參閱如何管理函數應用程式。

當 Azure 中還沒有函數應用程式和任何其他必要資源時，您必須先建立這些資源，才能部署專案檔。 您可以使用下列其中一種方式來建立這些資源：

• 使用 Visual Studio Code

• 以程式設計方式使用 Azure CLI、Azure PowerShell、ARM 範本 或 Bicep 範本

• 在 Azure 入口網站中

除了工具式發佈之外，Functions 還支援將原始程式碼部署到現有函數應用程式的其他技術。 如需詳細資訊，請參閱 Azure Functions 中的部署技術。

連線到伺服器

任何雲端式計算服務的主要需求是讀取資料，並將資料寫入其他雲端服務。 函式提供一組廣泛的繫結，可讓您更輕鬆地連線到服務，而無須使用用戶端 SDK。

不論您使用 Functions 所提供的繫結延伸模組，還是直接使用用戶端 SDK，都會安全地儲存連線資料，而且不會包含在程式碼中。 如需詳細資訊，請參閱連線。

繫結

Functions 提供許多 Azure 服務和少數第三方服務的繫結，這些服務會實作為延伸模組。 如需詳細資訊，請參閱支援繫結的完整清單。

繫結延伸模組可以同時支援輸入和輸出，且許多觸發程序也會做為輸入繫結。 繫結可讓您設定與服務的連線，讓 Functions 主機可以為您處理資料存取。 如需詳細資訊，請參閱 Azure Functions 觸發程序和繫結概念。

如果您在繫結發生錯誤時發生問題，請參閱 Azure Functions 繫結錯誤碼文件。

用戶端 SDK

雖然 Functions 提供繫結來簡化函式程式碼中的資料存取，但如果您偏好，仍可以在專案中使用用戶端 SDK 直接存取指定的服務。 如果函式需要繫結延伸模組所不支援的基礎 SDK 功能，您可能需要直接使用用戶端 SDK。

使用用戶端 SDK 時，您應該使用相同的程序來儲存及存取繫結延伸模組所使用的連接字串。

連線

做為安全性最佳做法，Azure Functions 會利用 Azure App Service 的應用程式設定功能，協助您更安全地儲存連線至其他服務所需的字串、金鑰和其他權杖。 Azure 中的應用程式設定會加密儲存，而且可在運行時間由您的應用程式存取為環境變數 namevalue 組。 針對需要連線屬性的觸發程序和繫結，您可以設定應用程式設定名稱，而不是實際的連接字串。 您無法直接使用連接字串或金鑰來設定繫結。

例如，請考慮具有 connection 屬性的觸發程序定義。 您並非設定連接字串，而是將 connection 設定為包含連接字串的環境變數名稱。 使用此秘密存取策略可讓應用程式更安全，並且讓您更輕鬆地變更環境之間的連線。 為了獲得更高的安全性，您可以使用身分識別型連線。

預設設定提供者會使用環境變數。 在 Azure 中執行時，這些變數是在應用程式設定中進行定義，而在本機開發時，這些變數則是在本機設定檔中進行定義。

連接值

連接名稱解析為單一確切值時，執行時間會將此值視為連接字串，這通常包含秘密。 連接字串的詳細資料取決於您連線的服務。

但連接名稱也可以參考多個設定項目，在設定識別型連線會很有用處。 您可以使用以雙底線 __ 結尾的共用前置詞，將環境變數當作集合。 接著，可以將連接名稱設定為這個前置詞來參考群組。

例如，Azure Blob 觸發程序定義的 connection 屬性可能為 Storage1。 只要沒有名為 Storage1 環境變數所設定的單一字串值，名為 Storage1__blobServiceUri 的環境變數就可用來通知連線的 blobServiceUri 屬性。 每個服務的連接屬性不同。 關於使用連線的元件，請參閱文件。

設定以身分識別為基礎的連接

Azure Functions 中的部分連接可設定為使用身分識別，而非秘密。 支援取決於使用連線的運行時間版本和擴充功能。 在某些情況下，即使您連線的服務支援以身分識別為基礎的連線，Functions 中仍可能需要連接字串。 如需使用受控識別設定函數應用程式的教學課程，請參閱使用身分識別型連線建立函數應用程式的教學課程。

只有 Functions 4.x 支援以身分識別為基礎的連線：如果您使用 1.x 版，您必須先 移轉至 4.x 版。

下列元件支援身分識別型連線：

主控於 Azure Functions 服務時，以身分識別為基礎的連接會使用受控識別。 雖然可以使用 credential 和 clientID 屬性指定使用者指派的身分識別，但預設會使用系統指派的身分識別。 請注意，不支援以資源識別碼來設定使用者指派的身分識別。 在本機開發等其他內容中執行時，雖然這可以自訂，但仍會改用您的開發人員身分識別。 請參閱使用身分識別型連線進行本機開發。

授與權限給身分識別

正在使用的任何身分識別，都必須具有執行預期動作的權限。 有關大多數 Azure 服務，意即您需要指派 Azure RBAC 的角色，利用提供這些權限的內建或自訂角色。

選擇下方其中一個索引標籤，以了解每個元件的權限：

身分識別型連線的通用屬性

Azure 服務的身分識別型連線接受下列通用屬性，其中 <CONNECTION_NAME_PREFIX> 是觸發程序或繫結定義中 connection 屬性的值：

指定連線類型可能支援其他選項。 關於執行連線的元件，請參閱文件。

Azure SDK 環境變數

您也可以設定與 Azure SDK EnvironmentCredential 相關聯的環境變數，但這些環境變數不會由 Functions 服務處理，以在取用方案中進行調整。 這些環境變數不是任何一個連線特有的，除非未為指定的連接設定對應的屬性，否則會套用為預設值。 例如，如果 AZURE_CLIENT_ID 已設定，則會使用此選項，就像 <CONNECTION_NAME_PREFIX>__clientId 已設定一樣。 明確設定 <CONNECTION_NAME_PREFIX>__clientId 會覆寫此預設值。

使用身分識別型連線進行區域開發

當您在本機執行函式專案時，上述設定會告知執行階段使用您的本機開發人員身分識別。 連線會依序嘗試從下列位置取得權杖：

• Microsoft 應用程式之間共用的本機快取
• Visual Studio 中的目前使用者內容
• Visual Studio Code 中的目前使用者內容
• Azure CLI 中的目前使用者內容

如果這些選項都沒有成功，就會發生錯誤。

您的身分識別可能已經針對用於開發的 Azure 資源進行一些角色指派，但那些角色可能無法提供必要的資料存取權。 擁有者之類的管理角色不足夠。 請仔細檢查每個元件連線所需的權限，並確定您已將元件指派給自己。

在某些情況下，您可能想要指定使用不同的身分識別。 您可以根據 Microsoft Entra 服務主體的用戶端識別碼與用戶端密碼，為指向替代身分識別的連線新增組態屬性。 裝載於 Azure Functions 服務時，不支援此組態選項。 若要在本機電腦上使用識別碼和密碼，請使用下列額外屬性定義連線：

以下是身分識別型 Azure Blob 連線所需的 local.settings.json 屬性範例：

{
  "IsEncrypted": false,
  "Values": {
    "<CONNECTION_NAME_PREFIX>__blobServiceUri": "<blobServiceUri>",
    "<CONNECTION_NAME_PREFIX>__queueServiceUri": "<queueServiceUri>",
    "<CONNECTION_NAME_PREFIX>__tenantId": "<tenantId>",
    "<CONNECTION_NAME_PREFIX>__clientId": "<clientId>",
    "<CONNECTION_NAME_PREFIX>__clientSecret": "<clientSecret>"
  }
}

使用身分識別連線到主機儲存體

Azure Functions 主機會使用 AzureWebJobsStorage 中設定的儲存體連線來啟用核心行為，例如協調計時器觸程序和預設應用程式金鑰儲存體的單一資料庫。 您也可以將此連線設定為使用身分識別。

若要針對 AzureWebJobsStorage 使用身分識別型連線，請進行下列應用程式設定：

身分識別型連線的通用屬性也能進行設定。

如果您要使用使用全域 Azure 的預設 DNS 尾碼和服務名稱的儲存體帳戶來設定 AzureWebJobsStorage，請遵循 https://<accountName>.[blob|queue|file|table].core.windows.net 格式，改為將 AzureWebJobsStorage__accountName 設定為儲存體帳戶的名稱。 系統會針對此帳戶推斷每個儲存體服務的端點。 當儲存體帳戶位於主權雲端或具有自訂 DNS 時，這會無法運作。

您必須建立角色指派，以在執行時間存取 "AzureWebJobsStorage" 的儲存體帳戶。 擁有者等的管理角色不足。 儲存體 Blob 資料擁有者角色涵蓋 Functions 主機儲存體的基本需求 - 執行時間需要 Blob 的讀取和寫入存取權，以及建立容器的能力。 數個延伸模組會使用此連線做為 Blob、佇列和資料表的預設位置，而這些延伸模組可能會新增下表中所述的需求。 如果您使用 "AzureWebJobsStorage" 做為任何其他用途，可能需要額外的權限。

回報問題

開放原始碼存放庫

Azure Functions 的程式碼是開放原始碼，您可以在這些 GitHub 存放庫中找到金鑰元件：

• Azure Functions

• Azure Functions 主機

• Azure Functions 入口網站

• Azure Functions 範本

• Azure WebJobs SDK

• Azure WebJobs SDK 延伸模組

下一步

如需詳細資訊，請參閱以下資源：

• Azure Functions 案例
• 撰寫 Azure Functions 並在本機進行測試
• Azure Functions 的最佳作法