Udzielanie uprawnień do tożsamość zarządzanej przez obszar roboczy
W tym artykule przedstawiono sposób udzielania uprawnień do tożsamości zarządzanej w obszarze roboczym usługi Azure Synapse. Uprawnienia z kolei umożliwiają dostęp do dedykowanych pul SQL w obszarze roboczym i na koncie usługi Azure Data Lake Storage Gen2 za pośrednictwem witryny Azure Portal.
Uwaga
Ta tożsamość zarządzana obszaru roboczego jest określana jako tożsamość zarządzana w pozostałej części tego dokumentu.
Udzielanie tożsamości zarządzanej uprawnień do konta usługi Data Lake Storage
Do utworzenia obszaru roboczego usługi Azure Synapse jest wymagane konto usługi Data Lake Storage Gen2. Aby pomyślnie uruchomić pule platformy Spark w obszarze roboczym usługi Azure Synapse, tożsamość zarządzana usługi Azure Synapse wymaga roli Współautor danych obiektu blob usługi Storage na tym koncie magazynu. Orkiestracja potoków w usłudze Azure Synapse również korzysta z tej roli.
Udzielanie uprawnień tożsamości zarządzanej podczas tworzenia obszaru roboczego
Usługa Azure Synapse próbuje udzielić roli Współautor danych obiektu blob usługi Storage do tożsamości zarządzanej po utworzeniu obszaru roboczego usługi Azure Synapse przy użyciu witryny Azure Portal. Szczegóły konta usługi Data Lake Storage można podać na karcie Podstawy .
Wybierz konto usługi Data Lake Storage Gen2 i system plików w obszarze Nazwa konta i Nazwa systemu plików.
Jeśli twórca obszaru roboczego jest również właścicielem konta usługi Data Lake Storage, usługa Azure Synapse przypisuje rolę Współautor danych obiektu blob usługi Storage do tożsamości zarządzanej. Zostanie wyświetlony następujący komunikat.
Jeśli twórca obszaru roboczego nie jest właścicielem konta usługi Data Lake Storage, usługa Azure Synapse nie przypisuje roli Współautor danych obiektu blob usługi Storage do tożsamości zarządzanej. Poniższy komunikat powiadamia twórcę obszaru roboczego, że nie ma wystarczających uprawnień, aby udzielić roli Współautor danych obiektu blob usługi Storage do tożsamości zarządzanej.
Nie można utworzyć pul platformy Spark, chyba że współautor danych obiektu blob usługi Storage jest przypisany do tożsamości zarządzanej.
Udzielanie uprawnień tożsamości zarządzanej po utworzeniu obszaru roboczego
Jeśli podczas tworzenia obszaru roboczego nie przypiszesz współautora danych obiektu blob usługi Storage do tożsamości zarządzanej, właścicielkonta usługi Data Lake Storage Gen2 ręcznie przypisze rolę do tożsamości. Poniższe kroki ułatwiają wykonanie ręcznego przypisania.
Krok 1. Przejdź do konta usługi Data Lake Storage Gen2
W witrynie Azure Portal otwórz konto magazynu usługi Data Lake Storage Gen2 i wybierz pozycję Kontenery w obszarze nawigacji po lewej stronie. Wystarczy przypisać rolę Współautor danych obiektu blob usługi Storage na poziomie kontenera lub systemu plików.
Krok 2. Wybieranie kontenera
Tożsamość zarządzana powinna mieć dostęp do danych do kontenera (systemu plików), który został udostępniony podczas tworzenia obszaru roboczego. Ten kontener lub system plików można znaleźć w witrynie Azure Portal. Otwórz obszar roboczy usługi Azure Synapse w witrynie Azure Portal i wybierz kartę Przegląd w obszarze nawigacji po lewej stronie.
Wybierz ten sam kontener lub system plików, aby udzielić roli Współautor danych obiektu blob usługi Storage do tożsamości zarządzanej.
Krok 3. Otwieranie kontroli dostępu i dodawanie przypisania roli
Wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami) z menu zasobów.
Wybierz pozycję Dodaj>przypisanie roli, aby otworzyć stronę Dodawanie przypisania roli.
Przypisz następującą rolę. Aby uzyskać szczegółowe instrukcje, zobacz Przypisywanie ról platformy Azure przy użyciu witryny Azure Portal.
Ustawienie Wartość Rola Współautor danych w usłudze Blob Storage Przypisz dostęp do IDENTYFIKATOR ZARZĄDZANY Elementy członkowskie nazwa tożsamości zarządzanej Uwaga
Nazwa tożsamości zarządzanej jest również nazwą obszaru roboczego.
Wybierz pozycję Zapisz , aby dodać przypisanie roli.
Krok 4. Sprawdź, czy rola Współautor danych obiektu blob usługi Storage jest przypisana do tożsamości zarządzanej
Wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami), a następnie wybierz pozycję Przypisania ról.
Tożsamość zarządzana powinna zostać wyświetlona w sekcji Współautor danych obiektu blob usługi Storage z przypisaną rolą Współautor danych obiektu blob usługi Storage.
Alternatywa dla roli Współautor danych obiektu blob usługi Storage
Zamiast udzielać sobie roli Współautor danych obiektu blob usługi Storage, możesz również przyznać bardziej szczegółowe uprawnienia do podzestawu plików.
Wszyscy użytkownicy, którzy potrzebują dostępu do niektórych danych w tym kontenerze, również muszą mieć uprawnienie EXECUTE we wszystkich folderach nadrzędnych do katalogu głównego (kontenera).
Aby dowiedzieć się więcej, zobacz Zarządzanie listami ACL w usłudze Azure Data Lake Storage przy użyciu Eksplorator usługi Azure Storage.
Uwaga
Uprawnienia do wykonywania na poziomie kontenera muszą być ustawione w usłudze Data Lake Storage Gen2. Uprawnienia do folderu można ustawić w usłudze Azure Synapse.
Jeśli chcesz wykonać zapytanie data2.csv w tym przykładzie, potrzebne są następujące uprawnienia:
- Uprawnienie do wykonywania w kontenerze
- Uprawnienie do wykonywania w folderze folder1
- Uprawnienie do odczytu na data2.csv
Zaloguj się do usługi Azure Synapse przy użyciu użytkownika administratora, który ma pełne uprawnienia do danych, do których chcesz uzyskać dostęp.
W okienku danych kliknij prawym przyciskiem myszy plik i wybierz pozycję Zarządzaj dostępem.
Wybierz co najmniej uprawnienie do odczytu . Wprowadź nazwę UPN użytkownika lub identyfikator obiektu, na przykład
user@contoso.com. Wybierz Dodaj.Udziel uprawnień do odczytu dla tego użytkownika.
Uwaga
W przypadku użytkowników-gości ten krok należy wykonać bezpośrednio w usłudze Azure Data Lake, ponieważ nie można wykonać go bezpośrednio za pośrednictwem usługi Azure Synapse.