Проверка подлинности внешних таблиц с помощью управляемых удостоверений

Внешняя таблица — это сущность схемы, которая ссылается на данные, хранящиеся за пределами базы данных Azure Data Explorer. Внешние таблицы можно определить для ссылки на данные в служба хранилища Azure или SQL Server и поддерживать различные методы проверки подлинности.

Из этой статьи вы узнаете, как создать внешнюю таблицу, которая проходит проверку подлинности с помощью управляемого удостоверения.

Необходимые компоненты

• Кластер и база данных Azure Data Explorer. Создайте кластер и базу данных.
• Разрешения администратора базы данных в базе данных Azure Data Explorer.

1. Настройка управляемого удостоверения для использования с внешними таблицами

Существует два типа управляемых удостоверений:

• Назначаемое системой удостоверение: удостоверение, назначаемое системой, подключено к кластеру и удаляется при удалении кластера. Для каждого кластера разрешено только одно назначаемое системой удостоверение.

• Назначаемое пользователем: управляемое удостоверение, назначаемое пользователем, является автономным ресурсом Azure. Несколько назначаемых пользователем удостоверений можно назначить кластеру.

Выберите одну из следующих вкладок, чтобы настроить предпочтительный тип управляемого удостоверения.

назначаемые пользователями.

1. Выполните действия, чтобы добавить удостоверение , назначаемое пользователем, в кластер, и сохраните идентификатор объекта (субъекта) для последующего использования.

2. Выполните команду />alter-merge policy managed_identity . Эта команда задает политику управляемого удостоверения в кластере, которая позволяет использовать управляемое удостоверение с внешними таблицами. Замените <objectId> идентификатором объекта (субъекта).

   .alter-merge cluster policy managed_identity ```[
       {
         "ObjectId": "<objectId>",
         "AllowedUsages": "ExternalTable"
       }
   ]```
   

   Примечание.

   Чтобы задать политику в определенной базе данных, используйте database <DatabaseName> вместо clusterнее.

назначаемые системой;

1. Выполните действия, чтобы добавить удостоверение , назначаемое системой, в кластер.

2. Выполните следующую команду alter-merge policy managed_identity . Эта команда задает политику управляемого удостоверения в кластере, которая позволяет использовать управляемое удостоверение с внешними таблицами.

   .alter-merge cluster policy managed_identity ```[
       {
         "ObjectId": "system",
         "AllowedUsages": "ExternalTable"
       }
   ]```
   

   Примечание.

   Чтобы задать политику в определенной базе данных, используйте database <DatabaseName> вместо clusterнее.

2. Предоставление разрешений внешнего ресурса управляемого удостоверения

Управляемое удостоверение должно иметь разрешения на внешний ресурс, чтобы успешно пройти проверку подлинности.

Выберите вкладку для соответствующего типа внешнего ресурса и назначьте необходимые разрешения.

Хранилище Azure

В следующей таблице показаны необходимые разрешения по внешнему ресурсу. Чтобы импортировать или запросить данные из внешнего ресурса, предоставьте управляемому удостоверению разрешения на чтение. Чтобы экспортировать данные во внешний ресурс, предоставьте разрешения на запись управляемого удостоверения.

Внешнее хранилище данных	чтение;	Разрешения на запись	Предоставление разрешений
Хранилище BLOB-объектов Azure	Читатель данных больших двоичных объектов хранилища	Участник данных BLOB-объектов хранилища	Назначение роли Azure
Data Lake Storage 2-го поколения	Читатель данных больших двоичных объектов хранилища	Участник данных BLOB-объектов хранилища	Назначение роли Azure
Azure Data Lake Storage 1-го поколения	Читатель	Участник	Назначение роли Azure

SQL Server

Чтобы импортировать или запросить данные из базы данных SQL, предоставьте разрешения SELECT для таблицы управляемых удостоверений. Чтобы экспортировать данные в базу данных SQL, предоставьте разрешения CREATE, UPDATE и INSERT управляемого удостоверения. Дополнительные сведения см. в разделе "Разрешения".

Cosmos DB

Чтобы импортировать или запросить данные из базы данных Cosmos DB, предоставьте разрешения на чтение управляемого удостоверения. Дополнительные сведения см. в разделе "Разрешения".

3. Создание внешней таблицы

Существует два типа внешних таблиц, поддерживающих проверку подлинности с управляемыми удостоверениями: служба хранилища Azure внешние таблицы и внешние таблицы SQL Server.

Выберите одну из следующих вкладок, чтобы настроить внешнюю таблицу служба хранилища Azure или SQL Server.

Хранилище Azure

Чтобы создать служба хранилища Azure внешнюю таблицу, сделайте следующее:

1. Создайте строка подключения на основе шаблонов строка подключения хранилища. Эта строка указывает ресурс для доступа и сведений о проверке подлинности. Укажите метод проверки подлинности управляемого удостоверения.

2. Запустите .create или .alter external table, чтобы создать таблицу. Используйте строка подключения из предыдущего шага в качестве аргумента storageConnectionString.

Пример

Следующая команда создает MyExternalTable данные, отформатированные в формате CSV, в mycontainer mystorageaccount Хранилище BLOB-объектов Azure. В таблице есть два столбца, один для целого числа x и один для строки s. Строка подключения заканчивается с помощью ;managed_identity=systemуправляемого удостоверения, назначаемого системой, для проверки подлинности для доступа к хранилищу данных.

.create external table MyExternalTable (x:int, s:string) kind=storage dataformat=csv 
( 
    h@'https://mystorageaccount.blob.core.windows.net/mycontainer;managed_identity=system' 
)

Примечание.

Чтобы пройти проверку подлинности с помощью управляемого удостоверения, назначаемого пользователем, замените system идентификатором объекта управляемого удостоверения.

SQL Server

Чтобы создать внешнюю таблицу SQL Server, сделайте следующее:

1. Создайте строка подключения SQL Server. Эта строка указывает ресурс для доступа и сведений о проверке подлинности. Укажите метод проверки подлинности управляемого удостоверения.

2. Выполните команду create или .alter external table, чтобы создать таблицу. Используйте строка подключения в качестве аргумента SqlConnectionString.

Пример

Следующая команда создает MySqlExternalTable таблицу MySqlTable в MyDatabase SQL Server. В таблице есть два столбца, один для целого числа x и один для строки s. Строка подключения содержит;Authentication="Active Directory Managed Identity";User Id=123456789, что указывает на использование управляемого удостоверения, назначаемого пользователем, с идентификатором 123456789 объекта для доступа к таблице.

.create external table MySqlExternalTable (x:int, s:string) kind=sql table=MySqlTable
( 
    h@'Server=tcp:myserver.database.windows.net,1433;Authentication="Active Directory Managed Identity";User Id=123456789;Initial Catalog=MyDatabase;'
)

Примечание.

Чтобы пройти проверку подлинности с помощью управляемого удостоверения, назначаемого системой, удалите ;User Id={object_id} и укажите ;Authentication="Active Directory Managed Identity"только .

Cosmos DB

Чтобы создать внешнюю таблицу Cosmos DB, сделайте следующее:

1. Создайте строка подключения Cosmos DB. Эта строка указывает ресурс для доступа и сведений о проверке подлинности. Укажите метод проверки подлинности управляемого удостоверения.

2. Выполните команду create или .alter external table, чтобы создать таблицу. Используйте строка подключения в качестве аргумента SqlConnectionString.

Пример

Управляемое удостоверение, назначаемое пользователем

Следующая команда создает MyCosmosDbExternalTable данные в MyCollection базе данных MyDatabase учетной записи mycosmosCosmos DB.

• Содержится строка подключения;Authentication="Active Directory Managed Identity";User Id=123456789, который указывает на использование управляемого удостоверения, назначаемого пользователем, с идентификатором 123456789 объекта для доступа к таблице.

.create external table MyCosmosDbExternalTable (x:int, s:string) kind=sql
( 
    h@'AccountEndpoint=https://mycosmos.documents.azure.com:443/;Database=MyDatabase;Collection=MyCollection;Authentication="Active Directory Managed Identity";User Id=123456789;'
)
with 
(
   sqlDialect = "CosmosDbSQL"
)  

Управляемое удостоверение, назначаемое системой

Строка подключения содержит только;Authentication="Active Directory Managed Identity";, что указывает на использование управляемого удостоверения, назначаемого системой.

.create external table MyCosmosDbExternalTable (x:int, s:string) kind=sql
( 
    h@'AccountEndpoint=https://mycosmos.documents.azure.com:443/;Database=MyDatabase;Collection=MyCollection;Authentication="Active Directory Managed Identity";'
)
with 
(
   sqlDialect = "CosmosDbSQL"
)  

Связанный контент

• Общие сведения об управляемых удостоверениях
• Экспорт данных во внешнюю таблицу
• Непрерывный экспорт данных