Azure Marketplace环境下Linux平台.NET+SQLite应用打包为systemd服务的技术解决方案咨询

你遇到的问题确实是Azure Marketplace镜像合规性和Linux服务运行权限的典型冲突——既不能创建自定义用户，又需要持久化SQLite数据库和解决ASP.NET密钥存储警告。结合你的需求，使用系统内置的非root用户（比如daemon）是最佳方案，下面是具体的实现步骤和原因：

为什么选择daemon用户？ #

• 它是Linux发行版默认自带的非特权系统用户，不属于"自定义用户"范畴，Azure Marketplace的镜像验证不会因为它的存在而失败
• 权限范围合理，既拥有运行后台服务的必要权限，又避免了root权限的安全风险
• 完全满足你对数据库持久化路径的需求，客户可以直接将已有数据库复制到指定目录使用

具体配置步骤 #

1. 提前准备目录与权限（镜像制作阶段） #

在执行waagent -deprovision+user命令之前，先创建应用和数据库目录，并将权限授予daemon用户：

# 创建应用发布目录和数据库状态目录
sudo mkdir -p /opt/myserver/publish
sudo mkdir -p /var/lib/myserverstate

# 给daemon用户赋予目录的所有权和读写权限
sudo chown -R daemon:daemon /opt/myserver /var/lib/myserverstate
sudo chmod -R 750 /opt/myserver /var/lib/myserverstate

这一步确保daemon用户能正常读取应用程序文件，同时对SQLite数据库目录有写入权限，满足持久化需求。

2. 修改systemd服务配置 #

移除DynamicUser=yes（它带来的路径隔离问题不符合你的需求），直接指定daemon作为运行用户，同时去掉StateDirectory配置（我们已经手动创建并配置了权限）：

[Unit]
Description=My Server
After=network.target

[Service]
# 指定运行用户和组为daemon
User=daemon
Group=daemon
WorkingDirectory=/opt/myserver/publish
# 执行命令保持你的原有配置
ExecStart=/usr/bin/dotnet /opt/myserver/publish/myserver.dll --dbtype:sqlite --conn:"Data Source=/var/lib/myserverstate/Local.db"
# 可选：添加重启策略提升服务可用性
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

3. 解决ASP.NET密钥存储警告 #

daemon用户的默认主目录通常不可写（比如Ubuntu中是/usr/sbin），所以ASP.NET无法默认持久化密钥。我们可以通过指定密钥存储路径来解决：

方式一：通过应用配置文件（appsettings.json）

在配置文件中添加密钥存储路径的配置：

{
  "Logging": { /* 原有日志配置 */ },
  "Cryptography": {
    "KeyRing": {
      "RepositoryPath": "/var/lib/myserverstate/keys"
    }
  }
}

然后在镜像制作阶段创建这个目录并授权：

sudo mkdir -p /var/lib/myserverstate/keys
sudo chown daemon:daemon /var/lib/myserverstate/keys

方式二：通过systemd环境变量

在服务文件的[Service]段添加环境变量，直接指定密钥存储路径：

Environment="ASPNETCORE_DATA_PROTECTION_KEY_STORAGE_PATH=/var/lib/myserverstate/keys"

同样需要提前创建上述目录并设置权限。

两种方式都能让ASP.NET将密钥持久化到指定目录，消除日志中的警告信息。

镜像合规性验证 #

最后执行Azure要求的去配置命令时：

sudo waagent -force -deprovision+user

这个命令只会删除当前登录的自定义用户，不会影响系统内置的daemon用户，完全符合Azure Marketplace的镜像要求。

为什么不推荐继续使用DynamicUser？ #

• DynamicUser的StateDirectory会创建在/var/lib/private路径下，这个路径是服务专属的隔离目录，客户无法直接将已有数据库复制到该目录使用，不符合你的需求
• DynamicUser的权限模型更严格，对于需要共享或外部访问持久化数据的场景，灵活性不足

内容的提问来源于stack exchange，提问作者Sten Petrov