Public Cloud für Anwendungen nutzen

Als Entwickler:in willst du dich um deinen Code kümmern, nicht um Betriebssystem-Updates. In diesem Modul bringst du eine bestehende Anwendung auf eine PaaS-Plattform, bindest eine verwaltete Datenbank und einen Objektspeicher an und holst Passwörter sicher aus einem Key Vault statt aus dem Code. Du schreibst eine kleine serverlose Funktion für Hintergrundaufgaben und automatisierst das Deployment mit einer Pipeline. Dabei behältst du Region, Skalierung und Kosten im Blick.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Eine Webanwendung auf einer PaaS-Plattform bereitstellen

   Kompetenz A

   Du wählst zwischen Code-Deployment (z.B. App Service) und Container-Deployment (z.B. Container Apps), konfigurierst Laufzeit, Port und Umgebungsvariablen und machst die App über HTTPS erreichbar. Logs und Fehlerseiten der Plattform kannst du lesen.

   Situation

   Ein Velokurier in Basel hat eine Spring-Boot-API für Auftragsannahme, die bisher auf einem Laptop im Büro läuft.

   Deine Aufgabe

   Bringe die API in Azure, Region Switzerland North, online.

   Gutes Ergebnis

   Das Container-Image wird in Azure Container Apps mit min. 0 und max. 3 Replikas betrieben. Die API antwortet unter einer HTTPS-URL, die Konfiguration kommt aus Umgebungsvariablen, und der Log Stream zeigt die Anfragen live. Kosten bei 5000 Anfragen pro Tag: wenige Franken pro Monat.

   App ServiceContainer AppsLaufzeit-StackUmgebungsvariableLog Stream
2. 2

   Eine verwaltete Datenbank anbinden und Schemaänderungen ausrollen

   Kompetenz B

   Statt selbst einen Datenbankserver zu betreiben, nutzt du einen verwalteten Dienst mit automatischen Backups und Updates. Du verbindest die App sicher mit TLS und spielst Schemaänderungen mit einem Migrationstool ein.

   Situation

   Die Kurier-API soll Aufträge dauerhaft speichern, und das Schema ändert sich fast jede Woche.

   Deine Aufgabe

   Lege eine PostgreSQL Flexible Server-Instanz an und führe Migrationen automatisiert aus.

   Gutes Ergebnis

   Stufe Burstable B1ms mit 32 GB für rund CHF 15 pro Monat, nur aus dem VNet erreichbar. Flyway-Migrationen laufen beim App-Start, Point-in-Time-Restore ist für 7 Tage aktiv.

   DBaaSConnection StringTLS-VerbindungMigration (Flyway / EF Core / Prisma)Point-in-Time-Restore
3. 3

   Dateien über das SDK in einem Objektspeicher ablegen und bereitstellen

   Kompetenz C

   Hochgeladene Dateien gehören nicht auf das Dateisystem der App, weil es bei Neustarts oder Skalierung verloren geht. Du speicherst sie in Blob Storage oder S3 und gibst sie über zeitlich begrenzte Links frei.

   Situation

   Kuriere fotografieren bei der Übergabe die Unterschrift. Die Fotos liegen bisher im Ordner /uploads der App.

   Deine Aufgabe

   Speichere die Fotos über das Azure-SDK in einem privaten Container und gib sie nur kurzzeitig frei.

   Gutes Ergebnis

   Upload über BlobServiceClient in den Container 'quittungen', kein öffentlicher Zugriff. Die API erzeugt bei Bedarf einen SAS-Link, der 10 Minuten gültig ist. Eine Lifecycle-Regel verschiebt Fotos nach 90 Tagen in die günstigere Cool-Stufe.

   ObjektspeicherBlob / BucketSDKSAS-Token / Presigned URLLifecycle-Regel
4. 4

   Secrets mit Key Vault und Managed Identity verwalten statt im Code

   Kompetenz D

   Passwörter und API-Schlüssel stehen nicht im Code und nicht in der Pipeline im Klartext. Die App erhält eine eigene Identität in der Cloud und darf damit gezielt Secrets lesen oder auf Dienste zugreifen.

   Situation

   Im Git-Repo der Kurier-API wurde ein Storage-Key in der application.properties gefunden.

   Deine Aufgabe

   Entferne alle Secrets aus dem Code und stelle auf Managed Identity um.

   Gutes Ergebnis

   Der Key wird rotiert. Die Container App bekommt eine System-Managed-Identity mit der Rolle 'Storage Blob Data Contributor' auf dem Storage-Konto und 'Key Vault Secrets User' für den Vault. Im Code wird nur noch DefaultAzureCredential verwendet, im Repo gibt es keine Schlüssel mehr.

   Key Vault / Secrets ManagerManaged Identity / IAM-RolleDefaultAzureCredentialSecret-Rotation
5. 5

   Eine serverlose Funktion für eine Hintergrundaufgabe schreiben

   Kompetenz E

   Manche Aufgaben laufen nur gelegentlich oder werden durch ein Ereignis ausgelöst. Dafür schreibst du eine Funktion, die nur bei Bedarf startet und pro Ausführung abgerechnet wird.

   Situation

   Jeden Abend soll der Disponent eine PDF-Übersicht aller erledigten Aufträge per Mail erhalten.

   Deine Aufgabe

   Setze den Bericht als zeitgesteuerte Funktion um.

   Gutes Ergebnis

   Eine Azure Function mit Timer-Trigger um 18:30 Uhr liest die Aufträge über die API, erstellt das PDF und versendet es über Azure Communication Services. Mit dem Consumption-Plan liegen die Kosten unter CHF 1 pro Monat.

   ServerlessTrigger (Timer, HTTP, Queue)Consumption-PlanCold StartAusführungslimit
6. 6

   Deployments automatisieren und Test- und Produktionsumgebung trennen

   Kompetenz F

   Jeder Merge soll automatisch getestet und in eine Testumgebung ausgeliefert werden. In die Produktion geht es erst nach Freigabe. Die Pipeline meldet sich ohne gespeichertes Passwort bei der Cloud an.

   Situation

   Bisher deployt eine Person per Rechtsklick aus der IDE, und niemand weiss genau, welche Version produktiv läuft.

   Deine Aufgabe

   Erstelle eine GitHub-Actions-Pipeline mit Test- und Produktionsumgebung.

   Gutes Ergebnis

   Bei Merge auf main: Tests, Image-Build mit Commit-SHA als Tag, Deployment nach 'test'. Für 'prod' braucht es die Freigabe des Berufsbildners in einer GitHub Environment. Die Anmeldung bei Azure läuft über OpenID Connect ohne gespeichertes Secret.

   CI/CD-PipelineUmgebung (Environment)Freigabe (Approval)OIDC / Workload IdentityDeployment-Slot

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Sara ist im 2. Lehrjahr als Informatikerin Applikationsentwicklung bei der Rheintal Apps GmbH in Buchs SG, einer Softwarefirma mit 20 Mitarbeitenden. Für ein Cateringunternehmen, das drei Firmenkantinen betreibt, hat das Team eine Bestell-App für Mittagsmenüs entwickelt, die bisher auf einem einzelnen Server im Büro läuft. Sara soll die Anwendung nach Azure umziehen und so aufsetzen, dass neue Versionen ohne Handarbeit live gehen.

1. Kapitel 1

   Fehler 503 beim ersten Start

   Sara erstellt mit der Azure CLI einen App Service Plan in der Region Switzerland North und deployt die Node.js-App. Die Seite zeigt zuerst nur einen Fehler 503, weil die App fest auf Port 3000 hört statt auf dem Port, den App Service vorgibt. Im Log-Stream findet sie den Hinweis und liest den Port neu aus der Umgebungsvariable. Danach aktiviert sie einen Health Check auf die Route /health.

   Ziel 1

2. Kapitel 2

   Bestellungen und Menüfotos

   Die Bestellungen ziehen in eine verwaltete PostgreSQL-Datenbank um, das Schema spielt Sara mit Migrationsskripten ein. Die Menüfotos lagen bisher in einem Ordner auf dem Server und werden nun über das SDK in Blob Storage hochgeladen. Für die Anzeige in der App erzeugt sie SAS-Links, die eine Stunde gültig sind, statt den Container öffentlich zu machen.

   Ziel 2Ziel 3

3. Kapitel 3

   Das Passwort im Repository

   Bei einem Code-Review findet ein Kollege das Datenbankpasswort in einer .env-Datei, die versehentlich im Git-Repository gelandet ist. Sara ändert das Passwort sofort, entfernt die Datei aus der Historie und legt alle Secrets in Key Vault ab. Die App greift neu über eine Managed Identity zu, sodass im Code und in den Einstellungen kein einziges Passwort mehr steht.

   Ziel 4

4. Kapitel 4

   Die Liste für die Küche

   Jeden Morgen um 9.30 Uhr soll jede Kantine eine Übersicht der bestellten Menüs per Mail erhalten. Sara schreibt dafür eine Azure Function mit Timer-Trigger, die die Bestellungen abfragt und ein PDF erstellt. Beim ersten Lauf kommt die Mail erst um 11.30 Uhr an, weil der Zeitplan in UTC läuft. Sie korrigiert den Zeitplan und ergänzt einen Alarm, falls die Funktion fehlschlägt.

   Ziel 5

5. Kapitel 5

   Push und fertig

   Zum Schluss baut Sara einen GitHub-Actions-Workflow, der bei jedem Push testet und in einen Staging-Slot deployt. Nach der Freigabe durch den Teamleiter bringt ein Slot-Swap die neue Version in die Produktion. Als eine Version einen Fehler im Bestellformular hat, macht Sara den Swap in zwei Minuten rückgängig, ohne dass die Kantinen etwas merken.

   Ziel 6Ziel 1

1. 1

   Erste App in die Cloud

   ca. 4 Std.

   Du startest mit dem einfachsten Weg und bringst eine bestehende App auf eine PaaS-Plattform. Azure for Students liefert dafür Guthaben ohne Kreditkarte.

   • Azure for Students aktivieren und einen Budget-Alarm bei CHF 20 setzen
   • Eine kleine API aus dem Modul 295 auf App Service oder Container Apps deployen
   • Konfiguration über App-Einstellungen setzen und Logs im Log Stream lesen

   Trainiert Kompetenz A1A2

   Lernziel1

2. 2

   Daten in verwaltete Dienste auslagern

   ca. 5 Std.

   Du bindest eine verwaltete Datenbank und einen Objektspeicher an und lernst, warum das lokale Dateisystem der App tabu ist.

   • PostgreSQL Flexible Server anlegen, Firewall schliessen und Migrationen ausführen
   • Einen Datei-Upload so umbauen, dass er Blob Storage oder S3 verwendet
   • Einen Download über einen zeitlich begrenzten Link umsetzen

   Trainiert Kompetenz B1B2C1C2

   Lernziel23

3. 3

   Secrets aus dem Code entfernen

   ca. 4 Std.

   Du stellst die App auf Managed Identity um und prüfst dein Repo auf vergessene Schlüssel.

   • Mit gitleaks oder dem GitHub Secret Scanning das Repo durchsuchen
   • Einen Key Vault anlegen und Secrets per Referenz in die App-Einstellungen holen
   • Den Storage-Zugriff auf Managed Identity und RBAC umstellen

   Trainiert Kompetenz D1D2

   Lernziel4

4. 4

   Ereignisgesteuert mit Serverless

   ca. 3 Std.

   Du schreibst eine Funktion, die durch Zeit, HTTP oder eine Warteschlange ausgelöst wird, und testest sie lokal.

   • Mit den Azure Functions Core Tools eine Funktion lokal erstellen und testen
   • Einen Timer- und einen Queue-Trigger ausprobieren
   • Kosten von Consumption-Plan und dauerhaft laufendem Container vergleichen

   Trainiert Kompetenz E1E2

   Lernziel5

5. 5

   Deployment automatisieren

   ca. 5 Std.

   Du baust eine Pipeline, die testet, baut und in zwei Umgebungen ausliefert, und führst das ganze Projekt zusammen.

   • OIDC-Anmeldung von GitHub Actions bei Azure einrichten
   • Workflow mit Test-Job, Build-Job und zwei Deploy-Jobs schreiben
   • Ein absichtlich fehlerhaftes Deployment zurückrollen und dokumentieren
   • Alle Lernressourcen am Ende löschen oder stoppen

   Trainiert Kompetenz F1F2A3

   Lernziel61

PaaS

Plattform, auf der du Code oder Container betreibst, ohne Server und Betriebssystem selbst zu verwalten.

Serverless

Ausführungsmodell, bei dem Code nur bei Bedarf läuft und nach Ausführungen und tatsächlich genutzter Rechenzeit abgerechnet wird, nicht nach bereitgestellter Laufzeit.

Blob Storage

Objektspeicher von Azure für unstrukturierte Daten wie Bilder, PDFs oder Backups.

Key Vault

Verwalteter Tresor für Passwörter, Schlüssel und Zertifikate.

Managed Identity

Identität einer Cloud-Ressource, mit der sie ohne gespeicherte Zugangsdaten auf andere Dienste zugreift.

SAS-Token

Signierter, zeitlich begrenzter Zugriffsschlüssel auf einzelne Speicherressourcen.

Scale-to-zero

Fähigkeit eines Dienstes, ohne Last auf null Instanzen herunterzufahren und dann nichts zu kosten.

Deployment-Slot

Zusätzliche Instanz einer App für Tests, die per Swap ohne Ausfall in die Produktion getauscht werden kann.

Passende Module