Udostępnij za pośrednictwem


Udzielanie uprawnień do tożsamość zarządzanej przez obszar roboczy

W tym artykule przedstawiono sposób udzielania uprawnień do tożsamości zarządzanej w obszarze roboczym usługi Azure Synapse. Uprawnienia z kolei umożliwiają dostęp do dedykowanych pul SQL w obszarze roboczym i na koncie usługi Azure Data Lake Storage Gen2 za pośrednictwem witryny Azure Portal.

Uwaga

Ta tożsamość zarządzana obszaru roboczego jest określana jako tożsamość zarządzana w pozostałej części tego dokumentu.

Udzielanie tożsamości zarządzanej uprawnień do konta usługi Data Lake Storage

Do utworzenia obszaru roboczego usługi Azure Synapse jest wymagane konto usługi Data Lake Storage Gen2. Aby pomyślnie uruchomić pule platformy Spark w obszarze roboczym usługi Azure Synapse, tożsamość zarządzana usługi Azure Synapse wymaga roli Współautor danych obiektu blob usługi Storage na tym koncie magazynu. Orkiestracja potoków w usłudze Azure Synapse również korzysta z tej roli.

Udzielanie uprawnień tożsamości zarządzanej podczas tworzenia obszaru roboczego

Usługa Azure Synapse próbuje udzielić roli Współautor danych obiektu blob usługi Storage do tożsamości zarządzanej po utworzeniu obszaru roboczego usługi Azure Synapse przy użyciu witryny Azure Portal. Szczegóły konta usługi Data Lake Storage można podać na karcie Podstawy .

Zrzut ekranu przedstawiający kartę Podstawowe w przepływie tworzenia obszaru roboczego.

Wybierz konto usługi Data Lake Storage Gen2 i system plików w obszarze Nazwa konta i Nazwa systemu plików.

Zrzut ekranu przedstawiający podanie szczegółów konta usługi Data Lake Storage Gen2.

Jeśli twórca obszaru roboczego jest również właścicielem konta usługi Data Lake Storage, usługa Azure Synapse przypisuje rolę Współautor danych obiektu blob usługi Storage do tożsamości zarządzanej. Zostanie wyświetlony następujący komunikat.

Zrzut ekranu przedstawiający pomyślne przypisanie współautora danych obiektu blob magazynu.

Jeśli twórca obszaru roboczego nie jest właścicielem konta usługi Data Lake Storage, usługa Azure Synapse nie przypisuje roli Współautor danych obiektu blob usługi Storage do tożsamości zarządzanej. Poniższy komunikat powiadamia twórcę obszaru roboczego, że nie ma wystarczających uprawnień, aby udzielić roli Współautor danych obiektu blob usługi Storage do tożsamości zarządzanej.

Zrzut ekranu przedstawiający nieudane przypisanie współautora danych obiektu blob magazynu z wyróżnionym polem błędu.

Nie można utworzyć pul platformy Spark, chyba że współautor danych obiektu blob usługi Storage jest przypisany do tożsamości zarządzanej.

Udzielanie uprawnień tożsamości zarządzanej po utworzeniu obszaru roboczego

Jeśli podczas tworzenia obszaru roboczego nie przypiszesz współautora danych obiektu blob usługi Storage do tożsamości zarządzanej, właścicielkonta usługi Data Lake Storage Gen2 ręcznie przypisze rolę do tożsamości. Poniższe kroki ułatwiają wykonanie ręcznego przypisania.

Krok 1. Przejdź do konta usługi Data Lake Storage Gen2

W witrynie Azure Portal otwórz konto magazynu usługi Data Lake Storage Gen2 i wybierz pozycję Kontenery w obszarze nawigacji po lewej stronie. Wystarczy przypisać rolę Współautor danych obiektu blob usługi Storage na poziomie kontenera lub systemu plików.

Zrzut ekranu witryny Azure Portal z omówieniem konta usługi Data Lake Storage Gen2.

Krok 2. Wybieranie kontenera

Tożsamość zarządzana powinna mieć dostęp do danych do kontenera (systemu plików), który został udostępniony podczas tworzenia obszaru roboczego. Ten kontener lub system plików można znaleźć w witrynie Azure Portal. Otwórz obszar roboczy usługi Azure Synapse w witrynie Azure Portal i wybierz kartę Przegląd w obszarze nawigacji po lewej stronie.

Zrzut ekranu witryny Azure Portal przedstawiający nazwę pliku usługi Data Lake Storage Gen2

Wybierz ten sam kontener lub system plików, aby udzielić roli Współautor danych obiektu blob usługi Storage do tożsamości zarządzanej.

Zrzut ekranu przedstawiający kontener lub system plików, który należy wybrać.

Krok 3. Otwieranie kontroli dostępu i dodawanie przypisania roli

  1. Wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami) z menu zasobów.

  2. Wybierz pozycję Dodaj>przypisanie roli, aby otworzyć stronę Dodawanie przypisania roli.

  3. Przypisz następującą rolę. Aby uzyskać szczegółowe instrukcje, zobacz Przypisywanie ról platformy Azure przy użyciu witryny Azure Portal.

    Ustawienie Wartość
    Rola Współautor danych w usłudze Blob Storage
    Przypisz dostęp do IDENTYFIKATOR ZARZĄDZANY
    Elementy członkowskie nazwa tożsamości zarządzanej

    Uwaga

    Nazwa tożsamości zarządzanej jest również nazwą obszaru roboczego.

    Zrzut ekranu przedstawiający stronę dodawania przypisania roli w witrynie Azure Portal.

  4. Wybierz pozycję Zapisz , aby dodać przypisanie roli.

Krok 4. Sprawdź, czy rola Współautor danych obiektu blob usługi Storage jest przypisana do tożsamości zarządzanej

Wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami), a następnie wybierz pozycję Przypisania ról.

Zrzut ekranu przedstawiający przycisk Przypisania ról w witrynie Azure Portal używany do weryfikowania przypisania roli.

Tożsamość zarządzana powinna zostać wyświetlona w sekcji Współautor danych obiektu blob usługi Storage z przypisaną rolą Współautor danych obiektu blob usługi Storage.

Zrzut ekranu witryny Azure Portal przedstawiający wybór kontenera konta usługi Data Lake Storage Gen2.

Alternatywa dla roli Współautor danych obiektu blob usługi Storage

Zamiast udzielać sobie roli Współautor danych obiektu blob usługi Storage, możesz również przyznać bardziej szczegółowe uprawnienia do podzestawu plików.

Wszyscy użytkownicy, którzy potrzebują dostępu do niektórych danych w tym kontenerze, również muszą mieć uprawnienie EXECUTE we wszystkich folderach nadrzędnych do katalogu głównego (kontenera).

Aby dowiedzieć się więcej, zobacz Zarządzanie listami ACL w usłudze Azure Data Lake Storage przy użyciu Eksplorator usługi Azure Storage.

Uwaga

Uprawnienia do wykonywania na poziomie kontenera muszą być ustawione w usłudze Data Lake Storage Gen2. Uprawnienia do folderu można ustawić w usłudze Azure Synapse.

Jeśli chcesz wykonać zapytanie data2.csv w tym przykładzie, potrzebne są następujące uprawnienia:

  • Uprawnienie do wykonywania w kontenerze
  • Uprawnienie do wykonywania w folderze folder1
  • Uprawnienie do odczytu na data2.csv

Diagram przedstawiający strukturę uprawnień w usłudze Data Lake.

  1. Zaloguj się do usługi Azure Synapse przy użyciu użytkownika administratora, który ma pełne uprawnienia do danych, do których chcesz uzyskać dostęp.

  2. W okienku danych kliknij prawym przyciskiem myszy plik i wybierz pozycję Zarządzaj dostępem.

    Zrzut ekranu przedstawiający opcję zarządzania dostępem.

  3. Wybierz co najmniej uprawnienie do odczytu . Wprowadź nazwę UPN użytkownika lub identyfikator obiektu, na przykład user@contoso.com. Wybierz Dodaj.

  4. Udziel uprawnień do odczytu dla tego użytkownika.

    Zrzut ekranu przedstawiający przyznawanie uprawnień do odczytu.

Uwaga

W przypadku użytkowników-gości ten krok należy wykonać bezpośrednio w usłudze Azure Data Lake, ponieważ nie można wykonać go bezpośrednio za pośrednictwem usługi Azure Synapse.