Azure Web App部署槽交换后IaC与Azure状态不一致的解决方案咨询

问题场景 #

我们计划为Azure Web/Function Apps使用部署槽，操作流程如下：

1. 通过IaC部署Web App，定义了两个槽的应用设置（未启用「部署槽设置」，确保交换时设置随目标槽迁移），初始IaC配置：
   • slot1（生产环境）：key1: value1、key2: value2
   • slot2（预发布环境）：key1: value3、key2: value4
2. 向slot2部署代码并完成测试后，执行slot2与slot1的交换操作，交换后Azure实际状态为：
   • slot1：key1: value3、key2: value4
   • slot2：key1: value1、key2: value2
     该结果符合业务预期，但IaC仍保留交换前的配置，与Azure实际状态产生不一致，且CI/CD流水线中不希望每次部署都手动修改IaC，需要解决此冲突。

可行解决方案 #

方案1：剥离IaC中的应用设置，用流水线脚本单独管理 #

将槽的应用设置从基础设施代码（如ARM模板、Terraform）中移除，改用Azure CLI或Az PowerShell在CI/CD流水线中动态配置：

• 调整后的流程：
  1. 用IaC仅部署Web App及槽的基础结构（不含应用设置）
  2. 部署代码到slot2前，用脚本设置slot2的目标应用设置
  3. 测试通过后执行槽交换
  4. 交换完成后，用脚本将slot2的应用设置重置为初始值，为下一次部署做准备
• 优点：IaC专注于静态基础设施管理，应用设置的动态变化由流水线脚本处理，彻底避免IaC与实际状态的冲突
• Azure CLI示例脚本：

  # 配置slot2的应用设置
  az webapp config appsettings set --name <webapp名称> --resource-group <资源组名称> --slot slot2 --settings key1=value3 key2=value4
  
  # 执行槽交换
  az webapp deployment slot swap --name <webapp名称> --resource-group <资源组名称> --slot slot2 --target-slot slot1
  
  # 重置slot2的应用设置
  az webapp config appsettings set --name <webapp名称> --resource-group <资源组名称> --slot slot2 --settings key1=value1 key2=value2
  

方案2：配置IaC忽略应用设置的变更 #

针对不同IaC工具，设置忽略应用设置的实际变更，仅在首次部署时应用初始配置：

• Terraform：在应用服务槽的资源块中添加生命周期配置，忽略应用设置的变更：

  resource "azurerm_app_service_slot" "slot1" {
    # 其他基础配置
    app_settings = {
      key1 = "value1"
      key2 = "value2"
    }
  
    lifecycle {
      ignore_changes = [app_settings]
    }
  }
  
  resource "azurerm_app_service_slot" "slot2" {
    # 其他基础配置
    app_settings = {
      key1 = "value3"
      key2 = "value4"
    }
  
    lifecycle {
      ignore_changes = [app_settings]
    }
  }
  

• ARM模板：部署时使用Incremental模式，避免覆盖已变更的应用设置；或在模板中对应用设置资源添加condition，仅在资源不存在时创建
• 注意：此方案适用于不需要IaC维护应用设置的场景，一旦设置忽略，后续IaC更新不会覆盖实际环境的应用设置

方案3：以「槽角色」而非「槽名称」定义IaC配置 #

不在IaC中硬编码slot1、slot2的具体设置，而是基于「生产角色」「预发布角色」来定义配置：

• 在IaC中使用变量映射角色与对应的应用设置，示例（Terraform）：

  variable "slot_role_settings" {
    type = map(object({
      key1 = string
      key2 = string
    }))
    default = {
      production = { key1 = "value1", key2 = "value2" }
      staging = { key1 = "value3", key2 = "value4" }
    }
  }
  
  resource "azurerm_app_service_slot" "production_slot" {
    name = "slot1"
    # 其他基础配置
    app_settings = var.slot_role_settings["production"]
  }
  
  resource "azurerm_app_service_slot" "staging_slot" {
    name = "slot2"
    # 其他基础配置
    app_settings = var.slot_role_settings["staging"]
  }
  

• 交换槽后，流水线可通过变量替换临时调整角色与槽名称的映射，或在下次部署前重置角色对应的槽，确保IaC逻辑与实际角色匹配

方案4：启用交换后重置预发布槽功能 #

执行槽交换时，启用「交换后重置预发布槽」选项，让slot2在交换完成后自动回到交换前slot1的状态（包括代码和应用设置）：

• 此操作可通过Azure Portal勾选对应选项，或使用Azure CLI添加--reset-slot参数实现：

  az webapp deployment slot swap --name <webapp名称> --resource-group <资源组名称> --slot slot2 --target-slot slot1 --reset-slot
  

• 优点：交换后slot2的状态与IaC初始配置一致，无需额外修改IaC或脚本
• 注意：重置后slot2的代码会回到交换前的版本，下次部署需重新向slot2推送代码

内容的提问来源于stack exchange，提问作者legan