Configurer des identités managées pour votre cluster Azure Data Explorer
Article
Une identité managée d’Azure Active Directory permet à votre cluster d’accéder facilement aux autres ressources protégées par Azure AD, comme Azure Key Vault. Managée par la plateforme Azure, l’identité ne nécessite pas que vous approvisionniez ou permutiez de secrets. La configuration des identités managées est actuellement prise en charge uniquement pour activer les clés gérées par le client pour votre cluster.
Deux types d’identités peuvent être accordées à votre cluster Azure Data Explorer :
Identité affectée par le système : Liée à votre cluster et supprimée si votre ressource est supprimée. Un cluster ne peut avoir qu’une seule identité attribuée par le système.
Identité affectée par l’utilisateur : Ressource Azure autonome qui peut être affectée à votre cluster. Un cluster peut avoir plusieurs identités affectées par l’utilisateur.
Cet article vous montre comment ajouter et supprimer des identités managées affectées par le système et affectées par l’utilisateur pour les clusters Azure Data Explorer.
Notes
Les identités managées pour Azure Data Explorer ne se comportent pas comme prévu si votre cluster Azure Data Explorer est migré entre des abonnements ou des locataires. L’application devra obtenir une nouvelle identité, ce qui est possible en désactivant et en réactivant la fonctionnalité. Les stratégies d’accès des ressources en aval devront également être mises à jour pour utiliser la nouvelle identité.
Ajouter une identité affectée par le système
Attribuez une identité affectée par le système liée à votre cluster, qui sera supprimée en cas de suppression du cluster. Un cluster ne peut avoir qu’une seule identité attribuée par le système. Créer un cluster avec une identité attribuée par le système requiert la définition d’une propriété supplémentaire sur le cluster. Ajoutez l’identité affectée par le système en utilisant le portail Azure, C# ou un modèle Resource Manager comme indiqué ci-dessous.
Sous l’onglet Sécurité>Identité affectée par le système, sélectionnez Activée. Pour supprimer l’identité affectée par le système, sélectionnez Désactivée.
Sélectionnez Suivant : Balises > ou Examiner + Créer pour créer le cluster.
Cluster Azure Data Explorer existant
Ouvrez un cluster Azure Data Explorer existant.
Sélectionnez Paramètres>Identité dans le volet gauche du portail.
Dans le volet Identité>onglet Affectée par le système :
Déplacez le curseur État sur Activé.
Sélectionnez Enregistrer.
Dans la fenêtre indépendante qui s’affiche, sélectionnez Oui.
Après quelques minutes, l’écran indique :
ID d’objet : utilisé pour les clés gérées par le client.
Autorisations : sélectionnez les affectations de rôles appropriées
Ajouter une identité affectée par le système à l’aide du langage C#
Prérequis
Pour configurer une identité managée à l’aide du client C# Azure Data Explorer :
Créez une application Azure AD et un principal de service ayant accès aux ressources. Ajoutez l’attribution de rôle à l’étendue de l’abonnement et récupérez les Directory (tenant) ID, Application ID et Client Secret requis.
Créer ou mettre à jour votre cluster
Créez ou mettez à jour votre cluster à l’aide de la propriété Identity :
var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Directory (tenant) ID
var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Application ID
var clientSecret = "PlaceholderClientSecret"; //Client Secret
var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
var authClient = ConfidentialClientApplicationBuilder.Create(clientId)
.WithAuthority($"https://login.microsoftonline.com/{tenantId}")
.WithClientSecret(clientSecret)
.Build();
var result = authClient.AcquireTokenForClient(new[] { "https://management.core.windows.net/" }).ExecuteAsync().Result;
var credentials = new TokenCredentials(result.AccessToken, result.TokenType);
var kustoManagementClient = new KustoManagementClient(credentials) { SubscriptionId = subscriptionId };
var resourceGroupName = "testrg";
var clusterName = "mykustocluster";
var clusterData = new Cluster(
location: "Central US",
sku: new AzureSku("Standard_E8ads_v5", "Standard", 5),
identity: new Identity(IdentityType.SystemAssigned)
);
await kustoManagementClient.Clusters.CreateOrUpdateAsync(resourceGroupName, clusterName, clusterData);
Exécutez la commande suivante pour vérifier si votre cluster a été correctement créé ou mis à jour avec une identité :
Si le résultat contient ProvisioningState avec la valeur Succeeded, le cluster a été créé ou mis à jour et doit avoir les propriétés suivantes :
var principalGuid = clusterData.Identity.PrincipalId;
var tenantGuid = clusterData.Identity.TenantId;
PrincipalId et TenantId sont remplacés par des GUID. La propriété TenantId identifie le locataire Azure AD auquel appartient l’identité. Le PrincipalId est un identificateur unique pour la nouvelle identité du cluster. Dans Azure AD, le principal de service a le même nom que celui que vous avez donné à votre instance App Service ou Azure Functions.
Ajouter une identité affectée par le système à l’aide d’un modèle Azure Resource Manager
L’ajout du type attribué par le système indique à Azure de créer et de manager l’identité de votre cluster. Vous pouvez créer n’importe quelle ressource de type Microsoft.Kusto/clusters avec une identité en incluant la propriété suivante dans la définition de la ressource :
Un cluster peut avoir en même temps une identité affectée par le système et une identité affectée par l’utilisateur. La propriété type a alors la valeur SystemAssigned,UserAssigned.
Quand le cluster est créé, il a les propriétés supplémentaires suivantes :
<TENANTID> et <PRINCIPALID> sont remplacés par des GUID. La propriété TenantId identifie le locataire Azure AD auquel appartient l’identité. Le PrincipalId est un identificateur unique pour la nouvelle identité du cluster. Dans Azure AD, le principal de service a le même nom que celui que vous avez donné à votre instance App Service ou Azure Functions.
Suppression d’une identité affectée par le système
Si vous supprimez une identité affectée par le système, vous la supprimez également d'Azure AD. Les identités affectées par le système sont aussi supprimées automatiquement d’Azure AD quand la ressource de cluster est supprimée. Une identité affectée par le système peut être supprimée en désactivant la fonctionnalité, Supprimez l’identité affectée par le système en utilisant le portail Azure, C# ou un modèle Resource Manager comme indiqué ci-dessous.
Sélectionnez Paramètres>Identité dans le volet gauche du portail.
Dans le volet Identité>onglet Affectée par le système :
Déplacez le curseur État sur Désactivé.
Sélectionnez Enregistrer.
Dans la fenêtre indépendante, sélectionnez Oui pour désactiver l’identité affectée par le système. Le volet Identité revient à la situation antérieure à l’ajout de l’identité affectée par le système.
Suppression d’une identité affectée par le système en C#
Exécutez le code suivant pour supprimer l’identité affectée par le système :
var clusterPatch = new ClusterUpdate(identity: new Identity(IdentityType.None));
await kustoManagementClient.Clusters.UpdateAsync(resourceGroupName, clusterName, clusterPatch);
Suppression d’une identité affectée par le système à l’aide d’un modèle Azure Resource Manager
Exécutez le code suivant pour supprimer l’identité affectée par le système :
{
"identity": {
"type": "None"
}
}
Notes
Si le cluster avait à la fois des identités affectées par le système et par l’utilisateur, après la suppression de l’identité affectée par le système, la propriété type a la valeur UserAssigned.
Ajouter une identité attribuée par l’utilisateur
Affectez une identité managée affectée par l’utilisateur à votre cluster. Un cluster peut avoir plusieurs identités affectées par l’utilisateur. La création d’un cluster avec une identité affectée par l’utilisateur nécessite la définition d’une propriété supplémentaire sur le cluster. Ajoutez l’identité affectée par l’utilisateur en utilisant le portail Azure, C# ou un modèle Resource Manager comme indiqué ci-dessous.
Créez une application Azure AD et un principal de service ayant accès aux ressources. Ajoutez l’attribution de rôle à l’étendue de l’abonnement et récupérez les Directory (tenant) ID, Application ID et Client Secret requis.
Créer ou mettre à jour votre cluster
Créez ou mettez à jour votre cluster à l’aide de la propriété Identity :
var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Directory (tenant) ID
var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Application ID
var clientSecret = "PlaceholderClientSecret"; //Client Secret
var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
var authClient = ConfidentialClientApplicationBuilder.Create(clientId)
.WithAuthority($"https://login.microsoftonline.com/{tenantId}")
.WithClientSecret(clientSecret)
.Build();
var result = authClient.AcquireTokenForClient(new[] { "https://management.core.windows.net/" }).ExecuteAsync().Result;
var credentials = new TokenCredentials(result.AccessToken, result.TokenType);
var kustoManagementClient = new KustoManagementClient(credentials) { SubscriptionId = subscriptionId };
var resourceGroupName = "testrg";
var clusterName = "mykustocluster";
var userIdentityResourceId = $"/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identityName>";
var clusterData = new Cluster(
location: "Central US",
sku: new AzureSku("Standard_E8ads_v5", "Standard", 5),
identity: new Identity(
IdentityType.UserAssigned,
userAssignedIdentities: new Dictionary<string, IdentityUserAssignedIdentitiesValue>(1)
{
{ userIdentityResourceId, new IdentityUserAssignedIdentitiesValue() }
}
)
);
await kustoManagementClient.Clusters.CreateOrUpdateAsync(resourceGroupName, clusterName, clusterData);
Exécutez la commande suivante pour vérifier si votre cluster a été correctement créé ou mis à jour avec une identité :
Si le résultat contient ProvisioningState avec la valeur Succeeded, le cluster a été créé ou mis à jour et doit avoir les propriétés suivantes :
var userIdentity = clusterData.Identity.UserAssignedIdentities[userIdentityResourceId];
var principalGuid = userIdentity.PrincipalId;
var clientGuid = userIdentity.ClientId;
PrincipalId est un identificateur unique pour l’identité qui est utilisé pour l’administration d’Azure AD.
ClientId est un identificateur unique pour la nouvelle identité de l’application qui est utilisé pour spécifier l’identité à utiliser lors des appels à l’exécution.
Ajouter une identité affectée par l’utilisateur en utilisant un modèle Azure Resource Manager
Vous pouvez créer n’importe quelle ressource de type Microsoft.Kusto/clusters avec une identité affectée par l’utilisateur en incluant la propriété suivante dans la définition de la ressource, en remplaçant <RESOURCEID> par l’ID de ressource de l’identité souhaitée :
PrincipalId est un identificateur unique pour l’identité qui est utilisé pour l’administration d’Azure AD.
ClientId est un identificateur unique pour la nouvelle identité de l’application qui est utilisé pour spécifier l’identité à utiliser lors des appels à l’exécution.
Notes
Un cluster peut avoir en même temps une identité affectée par le système et une identité affectée par l’utilisateur. Dans ce cas, la propriété type est SystemAssigned,UserAssigned.
Supprimer d’un cluster une identité managée affectée par l’utilisateur
Supprimez l’identité affectée par l’utilisateur en utilisant le portail Azure, C# ou un modèle Resource Manager comme indiqué ci-dessous.
Sélectionnez Paramètres>Identité dans le volet gauche du portail.
Sélectionnez l’onglet Affecté(e) par l’utilisateur.
Recherchez l’identité que vous avez créée précédemment et sélectionnez-la. Sélectionnez Supprimer.
Dans la fenêtre contextuelle, sélectionnez Oui pour supprimer l’identité affectée par l’utilisateur. Le volet Identité revient à la situation antérieure à l’ajout de l’identité affectée par l’utilisateur.
Supprimer une identité affectée par l’utilisateur en utilisant C#
Exécutez le code suivant pour supprimer l’identité affectée par l’utilisateur :
var clusterUpdate = new ClusterUpdate(
identity: new Identity(
IdentityType.UserAssigned,
userAssignedIdentities: new Dictionary<string, IdentityUserAssignedIdentitiesValue>(1)
{
{ userIdentityResourceId, null }
}
)
);
await kustoManagementClient.Clusters.UpdateAsync(resourceGroupName, clusterName, clusterUpdate);
Supprimer une identité affectée par l’utilisateur en utilisant un modèle Azure Resource Manager
Exécutez le code suivant pour supprimer l’identité affectée par l’utilisateur :
Pour supprimer des identités, définissez leurs valeurs sur Null. Aucune des autres identités existantes ne sera affectée.
Pour supprimer toutes les identités affectées par l’utilisateur, la propriété type doit avoir la valeur None.
Si le cluster avait à la fois des identités affectées par le système et des identités affectées par l’utilisateur, la propriété type doit avoir la valeur SystemAssigned,UserAssigned avec les identités à supprimer ou SystemAssigned pour supprimer toutes les identités affectées par l’utilisateur.
