Speichern von Anmeldeinformationen in Azure Key Vault

GILT FÜR: Azure Data Factory Azure Synapse Analytics

Tipp

Testen Sie Data Factory in Microsoft Fabric, einer All-in-One-Analyselösung für Unternehmen. Microsoft Fabric deckt alles von der Datenverschiebung bis hin zu Data Science, Echtzeitanalysen, Business Intelligence und Berichterstellung ab. Erfahren Sie, wie Sie eine neue Testversion kostenlos starten können!

Sie können Anmeldeinformationen für Datenspeicher und Rechenressourcen in einem Azure Key Vault speichern. Azure Data Factory ruft die Anmeldeinformationen ab, wenn eine Aktivität ausgeführt wird, die den Datenspeicher/Computevorgänge verwendet.

Derzeit unterstützen mit Ausnahme von benutzerdefinierten Aktivitäten alle Aktivitätstypen dieses Feature. Ausführliche Informationen zur Connectorkonfiguration finden Sie im Abschnitt "Verknüpfte Diensteigenschaften" in jedem Connectorthema .

Voraussetzungen

Diese Funktion basiert auf der verwalteten Data Factory-Identität. Informationen zur Funktionsweise finden Sie unter Verwaltete Identität für Data Factory. Stellen Sie sicher, dass Ihrer Data Factory eine verwaltete Identität zugeordnet ist.

Schritte

Führen Sie die folgenden Schritte aus, um auf in Azure Key Vault gespeicherte Anmeldeinformationen zu verweisen:

1. Rufen Sie die verwaltete Data Factory-Identität ab, indem Sie den Wert von „Objekt-ID der verwalteten Identität“ kopieren, der zusammen mit der Factory generiert wurde. Bei Verwendung der ADF-Erstellungsbenutzeroberfläche wird die Objekt-ID der verwalteten Identität im Erstellungsfenster des verknüpften Azure Key Vault-Diensts angezeigt. Sie können sie auch über das Azure-Portal abrufen. Informationen dazu finden Sie unter Abrufen der verwalteten Data Factory-Identität.
2. Gewähren Sie der verwalteten Identität Zugriff auf Ihren Azure Key Vault. Sie können entweder Zugriffsrichtlinien oder Zugriffssteuerungsberechtigungen verwenden:
   1. Zugriffsrichtlinie: Wählen Sie in Ihrem Schlüsseltresor Zugriffsrichtlinien>Zugriffsrichtlinie hinzufügen aus, und suchen Sie nach Ihrer verwalteten Azure Data Factory-Identität. Gewähren Sie ihr im Dropdownmenü „Geheimnisberechtigungen“ die Berechtigungen > und List.
   2. Zugriffssteuerung – Wählen Sie in Ihrem Schlüsseltresor Zugriffssteuerung (IAM) ->+ Hinzufügen ->Rollenzuweisung hinzufügen. Wählen Sie Key Vault Secrets-Benutzer aus und dann Weiter. Wählen Sie unter "Mitglieder" "Verwaltete Identität" und dann "Mitglieder auswählen" aus, und suchen Sie nach Ihrer verwalteten Azure Data Factory-Identität. Wählen Sie dann "Überprüfen+ Zuweisen" aus.
3. Erstellen Sie einen verknüpften Dienst, der auf Ihren Azure Key Vault-Tresor verweist. Verweisen Sie auf den verknüpften Azure Key Vault-Dienst.
4. Erstellen Sie den verknüpften Datenspeicherdienst. Verweisen Sie in der Konfiguration auf das entsprechende Geheimnis, das in Azure Key Vault gespeichert ist. Verweisen Sie auf ein Geheimnis, das in Azure Key Vault gespeichert ist.

Mit Azure Key Vault verknüpfter Dienst

Folgende Eigenschaften werden für den mit Azure Key Vault verknüpften Dienst unterstützt:

Eigenschaft	Beschreibung	Erforderlich
Typ	Die Typeigenschaft muss auf " AzureKeyVault" festgelegt werden.	Ja
baseUrl	Geben Sie die Azure Key Vault-URL an.	Ja

Verwenden der Erstellungs-UI:

Wählen Sie "Connections ->Linked Services ->New" aus. Suchen Sie unter „Neuer verknüpfter Dienst“ nach „Azure Key Vault“, und wählen Sie diese Option aus:

Wählen Sie die bereitgestellte Azure Key Vault-Instanz aus, in der Ihre Anmeldeinformationen gespeichert sind. Sie können die Verbindung testen , um sicherzustellen, dass Ihre AKV-Verbindung gültig ist.

JSON-Beispiel:

{
    "name": "AzureKeyVaultLinkedService",
    "properties": {
        "type": "AzureKeyVault",
        "typeProperties": {
            "baseUrl": "https://<azureKeyVaultName>.vault.azure.net"
        }
    }
}

Verweisen auf ein im Schlüsseltresor gespeichertes Geheimnis

Die folgenden Eigenschaften werden unterstützt, wenn Sie ein Feld in einem verknüpften Dienst konfigurieren, das auf ein Geheimnis im Schlüsseltresor verweist:

Eigenschaft	Beschreibung	Erforderlich
Typ	Die Typeigenschaft des Felds muss auf " AzureKeyVaultSecret" festgelegt werden.	Ja
geheimerName	Der Name des Geheimnisses in Azure Key Vault	Ja
geheimeVersion	Die Version des Geheimnisses in Azure Key Vault Falls nicht angegeben, wird immer die neueste Version des Geheimnisses verwendet. Falls angegeben, wird die angegebene Version verwendet.	Nein
abspeichern	Verweist auf einen mit Azure Key Vault verknüpften Dienst, in dem Sie die Anmeldeinformationen speichern.	Ja

Verwenden der Erstellungs-UI:

Wählen Sie Azure Key Vault für geheime Felder aus, während Sie die Verbindung mit Ihrem Datenspeicher/Compute erstellen. Wählen Sie den bereitgestellten verknüpften Azure Key Vault-Dienst aus, und geben Sie den geheimen Namen an. Optional können Sie auch eine Geheimnisversion bereitstellen.

Tipp

Bei Connectors, die Verbindungszeichenfolgen im verknüpften Dienst wie SQL Server, Blob Storage usw. verwenden, können Sie auswählen, dass nur das Geheimnisfeld gespeichert werden soll. Beispiel: Kennwort in AKV oder zum Speichern der gesamten Verbindungszeichenfolge in AKV. Sie finden beide Optionen in der Benutzeroberfläche.

JSON-Beispiel: (siehe Abschnitt "Kennwort")

{
    "name": "DynamicsLinkedService",
    "properties": {
        "type": "Dynamics",
        "typeProperties": {
            "deploymentType": "<>",
            "organizationName": "<>",
            "authenticationType": "<>",
            "username": "<>",
            "password": {
                "type": "AzureKeyVaultSecret",
                "secretName": "<secret name in AKV>",
                "store":{
                    "referenceName": "<Azure Key Vault linked service>",
                    "type": "LinkedServiceReference"
                }
            }
        }
    }
}

Zugehöriger Inhalt

Eine Liste der Datenspeicher, die als Quellen und Senken für die Copy-Aktivität in Azure Data Factory unterstützt werden, finden Sie unter Unterstützte Datenspeicher.