Azure VM Scale Set：是否可以传递引导脚本/设置而无需从URL下载它们？

Question

我可以看到，通过自定义脚本扩展，可以引导新VM（在Scale Set中）。要访问脚本，需要azure存储URI和凭据。这种方法对我不起作用，因为（内部策略）不允许传递存储凭据。

我的VMSS已分配服务标识，后者已在KeyVault中注册。因此，直接在盒子上获取凭据非常简单。但为此我至少需要一个小的bootstrap脚本=）

我发现了一种如何通过自定义脚本扩展实现此目的的hacky方式：

$bootstrapScriptPath = Join-Path -Path $PSScriptRoot -ChildPath "bootstrap.ps1"
$bootstrapScriptBlock = get-command $bootstrapScriptPath | Select -ExpandProperty ScriptBlock
$installScriptBase64 = [System.Convert]::ToBase64String([System.Text.Encoding]::Unicode.GetBytes($bootstrapScriptBlock.ToString()))

"commandToExecute": "[concat('powershell -ExecutionPolicy Unrestricted -EncodedCommand ', parameters('installScriptBase64'))]"

但我想知道是否有更好的解决方案。

基本上我需要Cloud Service提供的东西 - 上传有效负载和配置设置的能力。

解

（注意，这适用于Windows VM。对于Linux VM，有一种更简单的方法 - 感谢@sendmarsh）

请参阅下面的实际实施（注意，我标记为答案来自@ 4c74356b41的帖子，他提出了这个想法）。

Answer 1

首先，我真的没有看到任何hacky，它是一种有效的方法。

另一种传递数据的方法 - 使用custom data属性。它将作为vm中的文件提供，我不记得它的base64编码，但你可以在配置后快速计算它。

另一种方法是使用Managed Service Identity作为VM。这样你只需分配VM适当的权限，它可以从存储中下载脚本，而无需你明确地传递它们。

无论哪种方式，您都需要将脚本传递给vm并使用脚本扩展来调用它。您可以在其中使用包含脚本的自定义图像。或者您可以将脚本放在公开可用的URL中，这样vm就可以随时拉出并执行它（在这种情况下，您需要MSI为您处理身份验证）。

您可以做的另一件事是在VM期间直接在VM内部使用pull certificates from KV。配置。

Answer 2

您可以避免使用自定义数据和cloud-init的脚本扩展 - 如果它是Linux VM。不使用脚本扩展也会为您节省几分钟的部署时间。

这里有一个VM示例：https://msftstack.wordpress.com/2018/11/26/speeding-up-azure-resource-manager-templates-using-cloud-init/ - 您可以按照相同的方法进行比例集。

Answer 3

这是我结束的地方：

1. 将Bootstrap.ps1作为自定义数据传递
2. 通过自定义脚本扩展运行一个复杂的命令 - 它解码CustomData.bin，复制为Bootstrap.ps1并使用参数调用它
3. 没有下载外部文件
4. Bootstrap.ps1注册任务调度程序以重新运行，从元数据服务获取用于用户分配的托管身份的令牌，转到密钥保管库以获取凭据以下载主要负载，下载，解压缩等。

以下是关于如何使＃1和＃2工作的片段。

示例Bootstrap.ps1：

param(
 [Parameter(Mandatory=$True)]
 [string]
 $param1,

 [Parameter(Mandatory=$True)]
 [string]
 $param2
)

$ErrorActionPreference = "Stop"

Write-Output("Running Bootstrap.ps1 with the following parameters:");
Write-Output("`$param1 = `"$param1`";");
Write-Output("`$param2 = `"$param2`";");

将其作为CustomData传递：

# Encoding bootstrap script
$bootstrapScriptPath = (Join-Path -Path "." -ChildPath "Node/Bootstrap.ps1");
$bootstrapScriptBlock = get-command $bootstrapScriptPath | Select -ExpandProperty ScriptBlock;
$encodedScript = [System.Convert]::ToBase64String([System.Text.Encoding]::Unicode.GetBytes($bootstrapScriptBlock.ToString()));
...
| Set-AzVMOperatingSystem -CustomData $encodedScript

命令行：

$commandLine = "powershell -ExecutionPolicy Unrestricted -Command `"" ` + # Running powershell in cmd
                    "`$ErrorActionPreference = 'Stop';" ` + # Upon any error fail the provisioning of the extension
                    "`$content = [IO.File]::ReadAllText('C:\AzureData\CustomData.bin');" + ` # Read Base64-encoded file
                    "`$bytes = [System.Convert]::FromBase64String(`$content);" + ` # Convert to bytes
                    "`$script = [System.Text.Encoding]::Unicode.GetString(`$bytes);" + ` # Decode to string
                    "[IO.File]::WriteAllText('C:\AzureData\Bootstrap.ps1', `$script);" + ` # Save as Bootstrap.ps1
                    "C:\AzureData\Bootstrap.ps1 " + ` # Run a script
                    "-param1 'test' -param2 'test' " + ` # Pass needed parameters
                    " | Out-File -PSPath 'C:\AzureData\output.log';" ` +
                "`"";

自定义脚本扩展：

$extensionSettings = @{ "fileUris" = ""; "commandToExecute" = ""};
$extensionProtectedSettings = @{ "commandToExecute" = "$commandLine" };
$result = Set-AzVMExtension -VMName "$($vm.Name)" -Location $resourceGroupLocation -Publisher "Microsoft.Compute" -Type "CustomScriptExtension" `
                            -TypeHandlerVersion "1.9" -Settings $extensionSettings -ProtectedSettings $extensionProtectedSettings `
                            -Name "Bootstrap" -ResourceGroupName $resourceGroup.ResourceGroupName;