Udostępnij za pośrednictwem

Uzyskiwanie dostępu do magazynu przy użyciu jednostki usługi i identyfikatora entra firmy Microsoft (Azure Active Directory)

  • Artykuł

Uwaga

W tym artykule opisano starsze wzorce konfigurowania dostępu do usługi Azure Data Lake Storage Gen2.

Usługa Databricks zaleca używanie tożsamości zarządzanych platformy Azure jako usługi Unity Catalog storage credentials w celu nawiązania połączenia z usługą Azure Data Lake Storage Gen2 zamiast jednostek usługi. Tożsamości zarządzane mają korzyść z umożliwienia Catalog aparatu Unity uzyskiwania dostępu do kont magazynu chronionych przez reguły sieci, które nie są możliwe przy użyciu jednostek usługi i remove potrzeby zarządzania wpisami tajnymi i rotacji ich. Aby uzyskać więcej informacji, zobacz Use Azure managed identities in Unity to access storage(Używanie tożsamości zarządzanych platformy Azure w środowisku Unity).

Zarejestrowanie aplikacji przy użyciu identyfikatora Entra firmy Microsoft powoduje utworzenie jednostki usługi, której można użyć do zapewnienia dostępu do kont usługi Azure Storage.

Następnie można skonfigurować dostęp do tych funkcji usługi, używając ich jako magazynu credentials w Unity Catalog lub przechowywanych z użyciem wpisów tajnych credentials.

Rejestrowanie aplikacji Microsoft Entra ID

Zarejestrowanie aplikacji Microsoft Entra ID (dawniej Azure Active Directory) i przypisanie odpowiednich uprawnień spowoduje utworzenie jednostki usługi, która może uzyskać dostęp do zasobów usługi Azure Data Lake Storage Gen2 lub Blob Storage.

Aby zarejestrować aplikację Microsoft Entra ID, musisz mieć Application Administrator rolę lub uprawnienie w identyfikatorze Application.ReadWrite.All Entra firmy Microsoft.

  1. W witrynie Azure Portal przejdź do usługi Microsoft Entra ID .
  2. W obszarze Zarządzanie kliknij pozycję Rejestracje aplikacji.
  3. Kliknij pozycję + Nowa rejestracja. Wprowadź nazwę aplikacji i kliknij przycisk Zarejestruj.
  4. Kliknij pozycję Certyfikaty i wpisy tajne.
  5. Kliknij pozycję + Nowy klucz tajny klienta.
  6. Dodaj opis wpisu tajnego i kliknij przycisk Dodaj.
  7. Skopiuj i zapisz wartość nowego wpisu tajnego.
  8. W przeglądzie rejestracji aplikacji skopiuj i zapisz identyfikator aplikacji (klienta) i identyfikator katalogu (dzierżawy).

Przypisywanie ról

Dostęp do zasobów magazynu można kontrolować, przypisując role do rejestracji aplikacji Microsoft Entra ID skojarzonej z kontem magazynu. W zależności od określonych wymagań może być konieczne przypisanie innych ról.

Aby przypisać role na koncie magazynu, musisz mieć rolę RBAC platformy Azure właściciela lub administratora dostępu użytkowników na koncie magazynu.

  1. W witrynie Azure Portal przejdź do usługi Konta magazynu.
  2. Select konto usługi Azure Storage do użycia z tą rejestracją aplikacji.
  3. Kliknij pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami).
  4. Kliknij pozycję + Dodaj i selectDodaj przypisanie roli z menu rozwijanego.
  5. Set pole Select do nazwy aplikacji Microsoft Entra ID i roli setStorage Blob Data Contributor.
  6. Kliknij przycisk Zapisz.

Aby włączyć dostęp do zdarzeń plików na koncie magazynu przy użyciu jednostki usługi, musisz mieć rolę RBAC właściciela lub administratora dostępu użytkowników platformy Azure w grupie zasobów platformy Azure, w której znajduje się twoje konto usługi Azure Data Lake Storage Gen2.

  1. Wykonaj powyższe kroki i przypisz rolę Współautor danych kolejki magazynu i Współautor konta magazynu jednostki usługi.
  2. Przejdź do grupy zasobów platformy Azure, w ramach którego znajduje się twoje konto usługi Azure Data Lake Storage Gen2.
  3. Przejdź doAccess Control (IAM), kliknij pozycję + Dodaji Dodaj przypisanie roli.
  4. Select rolę współautora EventGrid EventSubscription, a następnie kliknij pozycję Dalej.
  5. W obszarze Przypisz dostęp doselectjednostka usługi.
  6. Kliknij +Select Członkowie, select swojej jednostki głównej usługi i kliknij Przejrzyj i przypisz.

Alternatywnie możesz limit dostęp, udzielając roli współautora danych kolejki usługi storage roli jednostki usługi i nie udzielając żadnych ról grupie zasobów. W takim przypadku usługa Azure Databricks nie może skonfigurować zdarzeń plików w Twoim imieniu.