Freigeben über

Verwenden einer verwalteten Identität zum Ausführen eines fortlaufenden Exportauftrags

  • Artikel

Gilt für: ✅Azure Data Explorer

Ein fortlaufender Exportauftrag Exportiert Daten in eine externe Tabelle mit einer regelmäßig ausgeführten Abfrage.

Der fortlaufende Exportauftrag sollte in den folgenden Szenarien mit einer verwalteten Identität konfiguriert werden:

  • Wenn die externe Tabelle die Identitätswechselauthentifizierung verwendet
  • Wenn die Abfrage auf Tabellen in anderen Datenbanken verweist
  • Wenn die Abfrage tabellen mit einer aktivierten Sicherheitsrichtlinie auf Zeilenebene verweist

Ein fortlaufender Exportauftrag, der mit einer verwalteten Identität konfiguriert ist, wird im Auftrag der verwalteten Identität ausgeführt.

In diesem Artikel erfahren Sie, wie Sie eine vom System zugewiesene oder vom Benutzer zugewiesene verwaltete Identität konfigurieren und mithilfe dieser Identität einen fortlaufenden Exportauftrag erstellen.

Voraussetzungen

Konfigurieren einer verwalteten Identität

Es gibt zwei Arten von verwalteten Identitäten:

  • vom System zugewiesenen: Eine vom System zugewiesene Identität ist mit Ihrem Cluster verbunden und wird entfernt, wenn der Cluster entfernt wird. Pro Cluster ist nur eine vom System zugewiesene Identität zulässig.

  • vom Benutzer zugewiesene: Eine vom Benutzer zugewiesene verwaltete Identität ist eine eigenständige Azure-Ressource. Ihrem Cluster können mehrere vom Benutzer zugewiesene Identitäten zugewiesen werden.

Wählen Sie eine der folgenden Registerkarten aus, um Ihren bevorzugten verwalteten Identitätstyp einzurichten.

  1. Führen Sie die Schritte zum Hinzufügen einer vom Benutzer zugewiesenen Identitätaus.

  2. Wählen Sie im Azure-Portal im linken Menü Ihrer verwalteten Identitätsressource Eigenschaftenaus. Kopieren Und speichern Sie die Mandanten-ID und Prinzipal-ID für die Verwendung in den folgenden Schritten.

    Screenshot des Azure-Portalbereichs mit verwalteten Identitäts-IDs.

  3. Führen Sie die folgende .alter-merge-Richtlinie managed_identity Befehl aus, und ersetzen Sie <objectId> durch die ID des verwalteten Identitätsobjekts aus dem vorherigen Schritt. Mit diesem Befehl wird eine verwaltete Identitätsrichtlinie auf dem Cluster festgelegt, mit der die verwaltete Identität mit fortlaufendem Export verwendet werden kann.

    .alter-merge cluster policy managed_identity ```[
    {
      "ObjectId": "<objectId>",
      "AllowedUsages": "AutomatedFlows"
    }
]```

    Anmerkung

    Um die Richtlinie für eine bestimmte Datenbank festzulegen, verwenden Sie database <DatabaseName> anstelle von cluster.

  4. Führen Sie den folgenden Befehl aus, um der verwalteten Identität Datenbank-Viewer Berechtigungen für alle Datenbanken zu gewähren, die für den fortlaufenden Export verwendet werden, z. B. die Datenbank, die die externe Tabelle enthält.

    .add database <DatabaseName> viewers ('aadapp=<objectId>;<tenantId>')

    Ersetzen Sie <DatabaseName> durch die relevante Datenbank, <objectId> durch die verwaltete Identität Prinzipal-ID aus Schritt 2, und <tenantId> sie mit der Microsoft Entra ID Mandanten-ID aus Schritt 2.

Einrichten einer externen Tabelle

Externe Tabellen beziehen sich auf Daten, die sich in Azure Storage befinden, z. B. Azure Blob Storage, Azure Data Lake Storage Gen1, Azure Data Lake Storage Gen2 oder SQL Server.

Wählen Sie eine der folgenden Registerkarten aus, um eine externe Azure Storage- oder SQL Server-Tabelle einzurichten.

  1. Erstellen Sie eine Verbindungszeichenfolge basierend auf den Speicherverbindungszeichenfolgenvorlagen. Diese Zeichenfolge gibt die Ressource an, auf die und ihre Authentifizierungsinformationen zugegriffen werden soll. Für fortlaufende Exportflüsse empfehlen wir Identitätswechselauthentifizierung.

  2. Führen Sie die .create oder .alter external table Befehl aus, um die Tabelle zu erstellen. Verwenden Sie die Verbindungszeichenfolge aus dem vorherigen Schritt als argument storageConnectionString.

    Der folgende Befehl erstellt beispielsweise MyExternalTable, die auf CSV-formatierte Daten in mycontainer von mystorageaccount in Azure Blob Storage verweist. Die Tabelle enthält zwei Spalten, eine für eine ganze Zahl x und eine für eine Zeichenfolge s. Die Verbindungszeichenfolge endet mit ;impersonate, was angibt, dass die Identitätswechselauthentifizierung für den Zugriff auf den Datenspeicher verwendet wird.

    .create external table MyExternalTable (x:int, s:string) kind=storage dataformat=csv 
( 
    h@'https://mystorageaccount.blob.core.windows.net/mycontainer;impersonate' 
)

  3. Erteilen Sie der verwalteten Identität Schreibberechtigungen für den relevanten externen Datenspeicher. Die verwaltete Identität benötigt Schreibberechtigungen, da der fortlaufende Exportauftrag Daten im Auftrag der verwalteten Identität in den Datenspeicher exportiert.

    Externer Datenspeicher Erforderliche Berechtigungen Erteilen der Berechtigungen
    Azure Blob Storage Mitwirkender von Speicher-BLOB-Daten Zuweisen einer Azure-Rolle
    Data Lake Storage Gen2 Mitwirkender von Speicher-BLOB-Daten Zuweisen einer Azure-Rolle
    Data Lake Storage Gen1 Mitarbeiter Zuweisen einer Azure-Rolle

Erstellen eines fortlaufenden Exportauftrags

Wählen Sie eine der folgenden Registerkarten aus, um einen fortlaufenden Exportauftrag zu erstellen, der im Auftrag einer vom Benutzer zugewiesenen oder vom System zugewiesenen verwalteten Identität ausgeführt wird.

Führen Sie den Befehl .create-or-alter continuous-export aus, wobei die managedIdentity-Eigenschaft auf die ID des verwalteten Identitätsobjekts festgelegt ist.

Mit dem folgenden Befehl wird beispielsweise ein fortlaufender Exportauftrag namens MyExport erstellt, um die Daten in MyTable im Auftrag einer vom Benutzer zugewiesenen verwalteten Identität in MyExternalTable zu exportieren. <objectId> sollte eine verwaltete Identitätsobjekt-ID sein.

.create-or-alter continuous-export MyExport over (MyTable) to table MyExternalTable with (managedIdentity=<objectId>, intervalBetweenRuns=5m) <| MyTable

Verwandte Inhalte