El punto "crear y configurar Azure App Service" del temario de AZ-104 tiene ocho entradas: aprovisionar un plan de App Service, configurar el escalado del plan, crear una aplicación de App Service, configurar certificados y TLS, asignar un nombre DNS personalizado existente, configurar copias de seguridad, configurar la red y configurar las ranuras de implementación. Los planes y las ranuras se explicaron en un artículo anterior, pero el escalado, los certificados, los dominios personalizados y las copias de seguridad apenas se tocaron. Al examen le gusta especialmente preguntar "¿Cuál es el nivel mínimo para usar esta función?".
Este artículo cubre las tareas que aparecen al operar App Service: las funciones que desbloquea cada nivel del plan, escalar verticalmente y horizontalmente (autoescalado y escalado automático), los registros DNS de los dominios personalizados, cómo elegir un certificado TLS, las copias de seguridad automáticas y personalizadas, y la configuración de red para el tráfico de entrada y de salida. Lo básico de los planes de App Service y las ranuras de implementación está en Domina los Contenedores de Azure y App Service.
---
El Nivel del Plan Decide qué Funciones Tienes
Mejorar una tarifa de móvil no solo añade datos; también desbloquea funciones como compartir conexión o la itinerancia internacional. Los planes de App Service funcionan igual: el nivel (plan de tarifa) cambia no solo el rendimiento, sino también las funciones disponibles. Free y Shared comparten VM con aplicaciones de otros clientes, desde Basic se ejecutan en VM dedicadas, e Isolated v2 aísla además la red virtual.
!Funciones que se desbloquean al subir de nivel el plan de App Service
| Nivel | Instancias máximas | Funciones clave que aparecen en este nivel | |------|------|------| | Free · Shared | 1 compartida (sin escalado horizontal) | Para desarrollo y pruebas; Free no admite dominios personalizados | | Basic | 3 dedicadas | TLS para dominios personalizados, copias de seguridad, integración con VNet, puntos de conexión privados | | Standard | 10 dedicadas | Autoescalado, 5 ranuras de implementación | | Premium (v2, v3, v4) | 30 dedicadas | 20 ranuras de implementación, escalado automático (según tráfico HTTP), instancias más grandes | | Isolated v2 | 100 dedicadas | App Service Environment, aislamiento de red |
Las aplicaciones de un mismo plan comparten las mismas instancias de VM, así que escalar el plan o agregar instancias afecta a todas las aplicaciones de ese plan.
Consejo para el examen: "La aplicación está en un plan Basic y necesita ranuras de implementación" significa escalar verticalmente a Standard o superior. "Agregar instancias automáticamente según el uso de CPU" también requiere Standard o superior.
---
Escalar Verticalmente y Horizontalmente
Cuando un restaurante se llena, trasladar la cocina a un local más grande y contratar más cocineros son soluciones distintas. En App Service, lo primero es escalar verticalmente (scale up) y lo segundo, escalar horizontalmente (scale out).
| Método | Qué hace | Qué recordar | |------|------|------| | Escalado vertical | Cambia el nivel o el tamaño del plan (CPU, memoria, disco, funciones extra) | Si falta una función, escala verticalmente | | Escalado horizontal manual | Fija directamente el número de instancias | Basic y superior | | Autoescalado (Azure autoscale) | Ajusta el número de instancias con reglas basadas en métricas (CPU, memoria, solicitudes) o en horarios | Standard y superior; definir instancias mínimas, máximas y predeterminadas, y reglas de escalado horizontal y reducción | | Escalado automático (automatic scaling) | La plataforma ajusta según el tráfico HTTP, sin reglas | Premium v2–v4, ráfaga máxima de hasta 30, no se admite para el tráfico de ranuras |
Las reglas de autoescalado deben ir en pareja: una para aumentar y otra para reducir. Con solo una regla de aumento, las instancias nunca bajan cuando cae la carga y el costo sigue corriendo.
Consejo para el examen: "Subir a 5 instancias cada lunes a las 9 y bajar a 2 a las 18" es autoescalado por horario. "Agregar una instancia cuando la CPU supere el 70 %" es una regla por métrica, y necesita una regla de reducción a juego (por ejemplo, por debajo del 30 %).
---
Asignar un Dominio Personalizado
Una aplicación de App Service recibe de forma predeterminada la dirección nombreapp.azurewebsites.net. Para usar el dominio de la empresa (www.contoso.com), crea registros en la zona DNS pública del dominio y agrega el dominio en App Service. El nivel Free no admite dominios personalizados, y no se admiten zonas DNS privadas.
| Nombre que se asigna | Registro que se crea | Valor | |------|------|------| | Subdominio (www.contoso.com) | CNAME | nombreapp.azurewebsites.net | | Verificación de propiedad del subdominio | TXT (asuid.www) | El id. de verificación de dominio de la aplicación | | Dominio raíz (contoso.com) | A | La dirección IP de la aplicación (no se usa CNAME en la raíz) | | Verificación de propiedad del dominio raíz | TXT (asuid) | El id. de verificación de dominio de la aplicación |
El id. de verificación de dominio del registro TXT evita la apropiación de subdominios, es decir, que otra persona asigne el mismo subdominio a su propia aplicación de App Service. Se puede usar un registro A para un subdominio, pero la IP de la aplicación puede cambiar, por eso se recomienda CNAME.
Consejo para el examen: "Asignar el dominio raíz contoso.com" significa un registro A más un registro TXT asuid; "www.contoso.com" significa un CNAME más un registro TXT asuid.www. Una opción que crea un CNAME en el dominio raíz es incorrecta.
---
Certificados TLS y HTTPS
Para servir HTTPS en un dominio personalizado hay que enlazar un certificado a la aplicación, lo que requiere Basic o superior. Hay cuatro formas de obtener un certificado.
| Método | Costo | Características | |------|------|------| | Certificado administrado de App Service | Gratis | Se renueva solo; sin comodín, no se puede exportar, no se admite en App Service Environment | | Certificado de App Service | De pago | Lo administra Azure, admite comodín, se puede renovar y exportar | | Importar desde Key Vault | Según el certificado | Cuando administras los certificados de forma centralizada en Key Vault | | Cargar un certificado privado | Según el certificado | Un archivo PFX comprado a otra entidad de certificación |
Elige el tipo de enlace: SSL de SNI (Basic y superior, ilimitado) o SSL de IP (uno incluido desde Standard) Activar Solo HTTPS redirige las solicitudes HTTP a HTTPS Fija una versión mínima de TLS para rechazar conexiones con versiones antiguas Un certificado administrado para un dominio raíz requiere que la aplicación sea accesible desde internet al crearlo y renovarlo, así que las restricciones de IP pueden hacerlo fallar
Consejo para el examen: "Un certificado comodín *.contoso.com gratuito" es un requisito imposible. El certificado administrado gratuito no admite comodines, así que hay que comprar un certificado de App Service o importarlo desde Key Vault.
---
Copias de Seguridad y Restauración
Las copias de seguridad de App Service se admiten en los niveles Basic, Standard, Premium e Isolated, y son de dos tipos.
| Elemento | Copia de seguridad automática | Copia de seguridad personalizada | |------|------|------| | Configuración | No hace falta; se ejecuta cada hora sola | Se configura con una cuenta de almacenamiento | | Tamaño | 30 GB | 10 GB (hasta 4 GB pueden ser una base de datos vinculada) | | Base de datos vinculada | No se copia | Algunas bases de datos admitidas (el soporte termina el 31 de marzo de 2028) | | Frecuencia | Cada hora, no configurable | Programada (hasta cada hora en Premium) o manual | | Retención | 30 días, no configurable | 0–30 días o indefinida | | Descarga | No es posible | Se descarga como blobs |
Puedes restaurar una copia sobrescribiendo una aplicación existente o restaurándola en una aplicación o ranura nueva. En el nivel Basic solo se puede hacer copia y restauración de la ranura de producción.
Consejo para el examen: "Descargar los archivos de copia de seguridad y conservarlos 90 días" significa copias de seguridad personalizadas. Las automáticas no permiten cambiar la retención ni descargarse.
---
Red: el Camino de Entrada y el de Salida
La red de App Service se entiende mucho mejor cuando separas las direcciones. Las funciones que controlan el tráfico que entra en la aplicación son distintas de las que sirven para el tráfico que la aplicación envía hacia fuera.
| Dirección | Función | Qué hace | |------|------|------| | Entrada | Restricciones de acceso | Reglas de permitir o denegar por dirección IP, punto de conexión de servicio o etiqueta de servicio (hasta 512 por aplicación) | | Entrada | Punto de conexión privado | Llegar a la aplicación por una IP privada de la VNet; Basic y superior | | Salida | Integración con red virtual | Permite a la aplicación llegar a recursos dentro de la VNet (VM, puntos de conexión privados, etc.); Basic y superior; necesita una subred dedicada y delegada | | Salida | Conexiones híbridas | Llega a un host y puerto locales concretos a través de un relé |
La integración con red virtual es solo de salida, así que por sí sola no da acceso privado desde la VNet hacia la aplicación. Puedes asociar un NSG y una UDR a la subred de integración para controlar el tráfico de salida de la aplicación.
Consejo para el examen: "La aplicación debe llegar a una VM con SQL Server de la VNet por su IP privada" significa integración con red virtual; "ocultar la aplicación de internet y permitir el acceso solo desde la VNet" significa un punto de conexión privado (y bloquear el acceso público). Funcionan en direcciones opuestas y no se sustituyen entre sí.
---
Referencia Rápida del Examen
Puntos clave para revisar por última vez antes del examen.
| Tema | Qué recordar | |------|-----