Bereitstellung auf Azure App Service

Ein Power Portals Pro Portal ist eine Single ASP.NET Core-Anwendung, egal welchen Stack Sie wählen, daher ist die Bereitstellung auf einen gewöhnlichen App-Service eine normale dotnet publish Option. Diese Seite behandelt die zu erstellenden Ressourcen, die vom Portal geliehenen Einstellungen, die wir als Standardeinstellungen vorschlagen und die wenigen Schritte, die speziell für Power Portals Pro und nicht für ASP.NET Core gelten.

Was Sie einsetzen

Beide Vorlagen erzeugen eine Webanwendung und eine Veröffentlichungsausgabe. Es gibt keinen separaten Frontend-Host, keine statische Site-Ressource und keinen zweiten App Service:

Anmerkung

Da der React Publish an npm ausliefert, muss Node auf dem laufenden Rechner installiert werden – auf deinem Laptop dotnet publish oder dem Build-Agenten. Der Client der Vorlage fragt nach Node ^20.19.0 || >=22.12.0. App Service selbst benötigt Node nie; er sieht immer nur die erstellte Ausgabe.

Vorgeschlagene Standardeinstellungen

Ausgangspunkte, keine Regeln – aber das sind das, was wir für ein neues Produktionsportal wählen würden.

1. Erstellen Sie den App-Dienst

Drei Befehle. Ersetze deine eigenen Namen – myportal wird auf dieser Seite verwendet.

Der Name der Webanwendung wird https://myportal.azurewebsites.net und muss global eindeutig sein. Wählen Sie ihn bewusst: Wenn Sie keine benutzerdefinierte Domain vorne setzen, ist es die URL, an die Ihr Lizenzschlüssel gebunden wird.

2. Setzen Sie die Plattformoptionen ein

Das sind die, deren Standardwerte für ein Portal falsch sind.

3. Konfiguration

App-Service-Anwendungseinstellungen erscheinen als Umgebungsvariablen und überschreiben appsettings.json, was genau das ist, was du willst: Lass die Datei in Ruhe und setze hier die Werte pro Umgebung.

Wichtig

Benutzergeheimnisse werden nicht übertragen. Alles, was dotnet user-secrets du während der Entwicklung gespeichert hast, lebt nur auf deinem Rechner. Jeder dieser Schlüssel muss als Anwendungseinstellung – oder als Key Vault-Referenz – neu erstellt werden, sonst startet die bereitgestellte App nicht.

Verwenden Sie einen doppelten Unterstrich für den Abschnittstrenner: D365:ClientId wird zu D365__ClientId. Die Doppelpunktform funktioniert unter Windows App Service, aber nicht unter Linux, ebenso __ wie das Formular, das überall verwendet werden kann.

Immer notwendig

Erforderlich, wenn du diesen Anmeldeanbieter aktiviert hast

Optional

Anmerkung

Die erforderlichen Schlüssel werden mit GetRequiredValuegelesen, sodass ein fehlender Schlüssel beim Start ausgelöst wird, anstatt später beim ersten Dataverse-Aufruf fehlzuschlagen. Im App Service erscheint das als eine Seite, die nie auftaucht – lies den Logstream, und die Ausnahme nennt den Schlüssel.

4. Geben Sie dem Portal eine Adresse an, von der es senden kann

D365__EmailSenderEmailAddress ist der Grund, woher Kontobestätigung und Passwort-Reset-Mail stammen, und das Framework löst das, indem es nach einem Dataverse-Nutzer mit dieser Adresse, dann einer Warteschlange und schließlich einem Team sucht. Verwenden Sie eine Warteschlange. Es ist die einzige Option, die in Exchange überhaupt nicht bearbeitet werden muss: Das von Dataverse erstellte Postfach für eine Warteschlange zeigt auf das bestehende Exchange Online-Profil der Organisation, sodass es kein Postfach zum Bereitstellen und keine Lizenz zum Kauf für die Adresse gibt. Die Einstellung auf eine reale Person zu richten, kostet Sie stattdessen drei Dinge:

Drei Schritte, alle innerhalb von Dataverse. Der MCP-Server führt die ersten beiden Schritte in einem Aufruf durch create_email_queue:

  1. Erstelle eine private Warteschlange mit der Adresse (z. B. noreply@contoso.com), eingehende Lieferung Keine und ausgehende Zustellung Server-Side Synchronization. Der Name der Warteschlange ist das, was die Empfänger als Absender sehen, daher benennen sie sie nach dem Portal und nicht nach einer Person.
  2. Genehmigen Sie die Adresse. Zwei Flags müssen übereinstimmen und liegen auf unterschiedlichen Datensätzen: der eigenen E-Mail-Adressgenehmigung der Warteschlange und der vom O365-Administrator genehmigte Postfach. Es wird auf beiden Seiten eine Warteschlange erstellt, die aussteht.
  3. Teste und aktiviere das Postfach im Power Platform Verwaltungszentrum → Einstellungen → E-Mail-Konfiguration → Mailboxen. Dies ist der eine Schritt, der von Hand erledigt werden muss, und es ist ein einzelner Knopf.

Wichtig

Ein nicht genehmigtes oder nicht getestetes Postfach scheitert stillschweigend. Dataverse akzeptiert die E-Mail, zeichnet sie auf und liefert sie nie – was aus Portalsicht nicht von einer erfolgreichen Sendung zu unterscheiden ist. Nichts wird angezeigt, nichts wird als Fehler protokolliert, und das erste Anzeichen von Problemen ist, dass ein Nutzer sagt, er habe seinen Bestätigungslink nie erhalten. Wenn Registrierungs-E-Mails nicht eintreffen, überprüfen Sie zuerst den Ausgangsstatus des Postfachs: Nicht ausführen bedeutet, dass dieser Schritt übersehen wurde.

5. Bewahren Sie die Geheimnisse im Key Vault auf

Gib der App eine verwaltete Identität, gewähre ihr Lesezugriff auf einen Tresor und gib die URI jedes Geheimnisses in die App-Einstellung ein, anstatt das Geheimnis selbst. App Service löst die Referenz für dich auf, und der Wert erscheint weder im Konfigurationsblade, in einem Skript noch in einem Deployment-Log.

Wenn ein Client-Geheimnis abläuft – Entra steht standardmäßig auf ein Jahr – fügen Sie dem Tresor eine neue Version hinzu und starten Sie die App neu. Die App-Einstellung selbst ändert sich nicht.

Der MCP-Server führt diese ganze Sequenz durch: create_managed_identity erstellt eine vom Nutzer zugewiesene Identität, enable_managed_identity hängt sie der App zu, create_key_vault erstellt den Tresor und gewährt dieser Identität Lesezugriff, und die geheimen Tools akzeptieren destination: "key-vault" dann – was ein frisch erstelltes Client-Geheimnis von Entra direkt in den Tresor sendet und nur die Referenz in den App-Einstellungen lässt. Der Wert wird nie zu einer wörtlichen Einstellung und geht nie durch die Hände von jemandem.

Wichtig

Der Name eines Key Vaults ist 90 Tage nach der Löschung reserviert. Soft Delete ist standardmäßig aktiviert und kann nicht deaktiviert werden, sodass das Löschen eines Tresors seinen Namen nicht freigibt – das Wiederherstellen eines Vaults mit demselben Namen innerhalb dieses Fensters erfordert eine explizite Löschung, die wiederum eine Berechtigung erfordert und irreversibel ist. Es ist die einzige Ressource hier, die nicht billig unmöglich ist, also wählen Sie den Namen genauso bewusst wie den des App Service.

Anmerkung

Noch besser: Lassen Sie das Dataverse-Client-Geheimnis ganz fallen. Setzen D365__ManagedIdentityId Sie auf die Client-ID einer verwalteten Identität und das Portal authentifiziert sich als diese Identität bei Dataverse, ohne Geheimnis und daher ohne Ablauf. Es gibt keine Umgebungsprüfung und keinen Build-Switch: Die Einstellung gehört in die Konfiguration des App Services und appsettings.jsonnicht in , daher fehlt sie lokal und ist bei der Bereitstellung vorhanden, und ein Build verhält sich in beiden korrekt korrekt. Verwenden Sie eine vom Benutzer zugewiesene Identität – eine systemzugewiesene wird mit der App erstellt und vernichtet und unterscheidet sich je nach Deployment-Slot, sodass beim Neuaufbau der App eine neue Identität entsteht und der Dataverse-Anwendungsbenutzer auf der alten basiert. Die Identität benötigt weiterhin diesen Anwendungsbenutzer, erstellt aus seiner Anwendungs-ID und nicht aus der Haupt-ID, die das Azure-Portal zuerst anzeigt.

6. Veröffentlichen

Framework-abhängig veröffentlichen, die Ausgabe zippen, die Zip pushen. Auf einem React-Portal baut dasselbe dotnet publish auch das SPA und stadelt es in wwwroot.

Zippen Sie den Inhalt des Publishing-Ordners, nicht des Ordners selbst – App Service entpackt das Archiv direkt in die Wurzel der Website, sodass ein verschachteltes Top-Level-Verzeichnis eine Seite erzeugt, die nichts bedient.

Der Publishing-Dialog von Visual Studio macht das Gleiche interaktiv, und ein GitHub Actions oder Azure Pipelines-Workflow macht das auf Push. Der einzige zusätzliche Schritt für ein React-Portal ist ein Node-Setup-Schritt vor dem Build, da dotnet publish es an NPM auslagert.

7. Die Lizenz auf die bereitgestellte URL zeigen

Die Website-Lizenz ist an eine URL gebunden. In der modellgetriebenen App Power Portals Pro öffnen (oder erstellen) Sie den Portal-Website-Eintrag mit Ihrem Lizenzschlüssel und setzen die URL auf die Produktions-URL des gerade installierten Portals – https://myportal.azurewebsites.netoder auf Ihre eigene Domain, falls eine davon vorankommt.

Registrieren Sie nur die Produktions-URL . Die Validierung akzeptiert -devauch , -test, -uat und -stage Suffix-Hosts sowie dieselben vier als führende Subdomains, sodass niedrigere Umgebungen keinen separaten Datensatz benötigen. Die Lizenzierungsseite enthält die vollständige Liste.

Wichtig

Mach das, bevor du den Datenverkehr sendest. Jeder datenbereitende Endpunkt überprüft die Lizenz, sodass das Portal angezeigt wird, bis der Datensatz existiert und mit dem Host übereinstimmt, aber jeder Datenaufruf kommt zurück 402.

8. Fügen Sie die Produktionsumleitung URI hinzu

Wenn das Portal eine Microsoft-Anmeldung anbietet, kennt die Registrierung der Anmelde-App immer noch nur deine localhost-Redirect-URI. Füge die bereitgestellte URI dazu hinzu – Entra akzeptiert mehrere, sodass die lokale weiterhin funktioniert:

Dasselbe Muster gilt für die anderen Anbieter auf ihren eigenen Callback-Pfaden (/signin-google, /signin-facebook). Fügen Sie pro Umgebung einen und einen pro benutzerdefinierten Domain hinzu.

Einsatzplätze

Ein Staging-Slot und ein Tausch geben dir eine aufgewärmte App und einen sofortigen Rollback. Sie sind das Einzige, wofür es sich wirklich lohnt, B1 zu verlassen – und der Grund, es zu verlassen, wenn du sie brauchst, statt im Voraus. Zwei Dinge brauchen Pflege.

Datenschutzschlüssel sind pro Slot. ASP.NET Core speichert den Schlüsselring unter %HOME%, von dem jeder Slot eine eigene Kopie hat, sodass ein Swap ihn ersetzt – und jedes Authentifizierungscookie, das vom vorherigen Slot ausgegeben wird, wird unentschlüsselbar. Alle sind ausgeloggt. Stellen Sie den Schlüsselring an einen Ort, an dem beide Slots gemeinsam sind, bevor Sie auf Swapping setzen:

Markiere die umgebungsspezifischen Einstellungen als Slot-Einstellungen , damit sie während eines Swaps zurückbleiben. Die URL der Dataverse-Umgebung ist diejenige, die ankommt: Ohne sie bringt das Tauschen eines Staging-Slots, der auf eine Sandbox zeigt, diese Sandbox-Verbindung in die Produktion.

Skalieren

Skalieren ist eine Entscheidung, die man trifft, wenn man den Bedarf dafür misst, nicht wenn man bereitstellt. Eine Instanz der Standardstufe führt überraschend viel Portal-Verkehr.

All das von einem KI-Agenten aus erledigt

Der Power Portals Pro MCP-Server kann jeden Schritt auf dieser Seite ausführen. Binden Sie den Ordner einmal an ein Abonnement, an einem Terminal – die Bindung gehört zu diesem Ordner, sodass mehrere Projekte gleichzeitig verschiedene Kunden ansprechen können und sich maschinell nichts ändert:

Anmerkung

Jedes Tool, das in Azure etwas ändert, bittet dich zuerst zu bestätigen und teilt dir vorher mit, was es kostet – die tatsächliche monatliche Summe für deine Region, mit dem Hinweis, dass die Einzelhandelsliste jede Enterprise Agreement oder Reservierung ignoriert, die du hältst. Tools, die nur lesen, werden nie prompt. Der Server verwendet nicht die Azure-CLI und liest oder ändert niemals seinen angemeldeten Zustand.

Fehlerbehebung