在严格网络限制的Azure环境中部署Azure-Search-OpenAI-Demo项目的实践指南

背景介绍

在企业级Azure环境中部署应用时，经常会遇到严格的网络安全策略限制，比如禁止创建具有公共网络访问权限的存储资源。本文将以Azure-Search-OpenAI-Demo项目为例，详细介绍如何在这样的限制环境下成功部署应用，并解决部署过程中遇到的各种技术挑战。

主要挑战

1. 存储账户网络限制：企业Azure环境禁止创建具有公共网络访问权限的存储资源
2. 现有数据保留：已有25GB文档数据存储在现有容器中，需要保留
3. 私有端点配置：需要确保所有资源都通过私有端点访问
4. 环境变量配置：确保应用能够正确识别和使用现有存储资源

解决方案

1. 手动创建存储资源

由于自动创建的存储账户会被企业策略阻止，我们需要手动在Azure门户中创建存储账户：

• 创建时确保关闭公共网络访问
• 预先配置好所有必要的私有端点
• 提前上传25GB文档数据到指定容器

2. 修改Bicep模板

修改项目中的main.bicep文件，注释掉自动创建存储资源的代码段，并添加以下参数配置：

param storageAccountName string = 'my_store_account'
param storageResourceGroupName string = 'my_resource_group'
param storageResourceGroupLocation string = 'westeurope'
param storageContainerName string = 'my_store_container'

3. 环境变量配置

通过azd命令行工具设置必要的环境变量：

azd env set AZURE_STORAGE_ACCOUNT my_store_account
azd env set AZURE_STORAGE_CONTAINER my_store_container
azd env set AZURE_STORAGE_RESOURCE_GROUP my_resource_group

同时修改main.parameters.json文件以使用这些环境变量：

"storageAccountName": {
  "value": "${AZURE_STORAGE_ACCOUNT}"
},
"storageResourceGroupName": {
  "value": "${AZURE_STORAGE_RESOURCE_GROUP}"
}

4. 应用设置验证

确保Web应用的应用程序设置中包含以下关键配置：

• AZURE_STORAGE_ACCOUNT：指向正确的存储账户名称
• AZURE_STORAGE_CONTAINER：指向正确的容器名称

这些设置可以通过Azure门户手动添加，也可以在Bicep模板中通过appSettings部分配置。

常见问题排查

1. 应用启动失败

如果应用启动时出现"ModuleNotFoundError: No module named 'main'"错误，通常是由于：

• 部署包不完整
• 启动命令配置不正确
• 虚拟环境未正确创建

解决方案：

• 检查部署包是否包含所有必要文件
• 确认启动命令正确指向应用入口文件
• 确保虚拟环境已正确设置

2. 环境变量未生效

如果日志中出现"'AZURE_STORAGE_ACCOUNT'"错误，说明环境变量未正确传递到应用运行时环境。需要：

• 检查Bicep模板中的appSettings配置
• 验证Azure门户中的应用设置
• 确保部署过程中没有覆盖这些设置

最佳实践建议

1. 基础设施即代码：尽管需要手动创建部分资源，但仍应尽量通过Bicep模板管理配置
2. 环境隔离：为不同环境(开发、测试、生产)创建独立的资源组和存储账户
3. 配置管理：使用azd环境变量集中管理敏感信息和环境特定配置
4. 监控设置：部署后立即配置Application Insights监控，便于快速发现问题
5. 备份策略：对重要数据实施定期备份，特别是手动配置的资源

总结

在严格限制的企业Azure环境中部署Azure-Search-OpenAI-Demo项目需要特别注意存储资源的网络配置和环境变量的传递。通过手动创建存储资源、精心配置Bicep模板和确保环境变量正确传递，可以成功绕过企业策略限制，同时保留现有数据。本文提供的解决方案不仅适用于这个特定项目，其思路和方法也可以应用于其他需要在受限Azure环境中部署的应用场景。