Almacenamiento de credenciales en Azure Key Vault

SE APLICA A: Azure Data Factory Azure Synapse Analytics

Sugerencia

Pruebe Data Factory en Microsoft Fabric, una solución de análisis todo en uno para empresas. Microsoft Fabric abarca todo, desde el movimiento de datos hasta la ciencia de datos, el análisis en tiempo real, la inteligencia empresarial y los informes. ¡Obtenga más información sobre cómo iniciar una nueva evaluación gratuita!

Puede almacenar las credenciales de los almacenes de datos y los procesos en una instancia de Azure Key Vault. Azure Data Factory las recupera al ejecutar una actividad que usa el almacén de datos o el proceso.

Actualmente, todos los tipos de actividad, excepto la actividad personalizada, admiten esta característica. En cuanto a la configuración de conectores concretos, revise la sección "Propiedades del servicio vinculado" de cada tema de conector para obtener más información.

Prerrequisitos

Esta característica se basa en la identidad administrada de Data Factory. Aprenda cómo funciona en Identidad administrada de Data Factory y asegúrese de que su instancia de Data Factory tenga una asociada.

Pasos

Para hacer referencia a una credencial almacenada en Azure Key Vault, deberá seguir estos pasos:

1. Recuperación de la identidad administrada de Data Factory: copie el valor de "Id. del objeto de identidad administrada" que se generó junto con la factoría. Si usa la interfaz de usuario de creación de ADF, el identificador del objeto de identidad administrada se mostrará en la ventana de creación del servicio vinculado de Azure Key Vault; también puede recuperarlo de Azure Portal, consulte la sección Recuperación de la identidad administrada de Data Factory.
2. Concesión del acceso de identidad administrada a Azure Key Vault. Puede usar directivas de acceso o permisos de control de acceso:
   1. Directiva de acceso - En su almacén de claves, seleccione Directivas de acceso ->Agregar directiva de acceso -> busque la identidad administrada de Azure Data Factory y conceda permisos Get y List en el menú desplegable de permisos secretos.
   2. Control de acceso: en el almacén de claves, seleccione Control de acceso (IAM) ->+ Agregar -> de roles. Seleccione Usuario secretos de Key Vault y, a continuación, seleccione Siguiente. En Miembros , seleccione Identidad administrada y, a continuación, Seleccione miembros y busque la identidad administrada de Azure Data Factory. A continuación, seleccione Revisar y asignar.
3. Cree un servicio vinculado que apunte a su instancia de Azure Key Vault. Consulte Servicio vinculado de Azure Key Vault.
4. Cree el servicio vinculado del almacén de datos. En su configuración, haga referencia al secreto correspondiente almacenado en Azure Key Vault. Consulte Hacer referencia a un secreto almacenado en Azure Key Vault.

Servicio vinculado de Azure Key Vault

Las siguientes propiedades son compatibles con el servicio vinculado de Azure Key Vault:

Propiedad	Descripción	Obligatorio
tipo	La propiedad type debe establecerse en: AzureKeyVault.	Sí
baseUrl	Especifique la dirección URL de Azure Key Vault.	Sí

Uso de la IU de creación:

Select Conexiones ->Servicios vinculados ->Nuevo. En el nuevo servicio vinculado, busque y seleccione "Azure Key Vault":

Seleccione el almacén de Azure Key Vault aprovisionado en el que se almacenan las credenciales. Puede hacer una conexión de prueba para asegurarse de que su conexión de AKV es válida.

Ejemplo JSON:

{
    "name": "AzureKeyVaultLinkedService",
    "properties": {
        "type": "AzureKeyVault",
        "typeProperties": {
            "baseUrl": "https://<azureKeyVaultName>.vault.azure.net"
        }
    }
}

Secreto de referencia almacenado en el almacén de claves

Al configurar un campo en un servicio vinculado que hace referencia a un secreto del almacén de claves, se admiten las siguientes propiedades:

Propiedad	Descripción	Obligatorio
tipo	La propiedad type del campo debe establecerse en: AzureKeyVaultSecret.	Sí
nombreSecreto	Nombre del secreto en Azure Key Vault.	Sí
secretVersion	Versión del secreto en Azure Key Vault. Si no se especifica, siempre se usa la versión más reciente del secreto. Si se especifica, se usa la versión dada.	No
tienda	Hace referencia a un servicio vinculado de Azure Key Vault que se usa para almacenar las credenciales.	Sí

Uso de la IU de creación:

Seleccione Azure Key Vault para campos secretos al crear la conexión al almacén de datos/proceso. Seleccione el servicio vinculado de Azure Key Vault aprovisionado y proporcione el nombre del secreto. También puede proporcionar una versión del secreto.

Sugerencia

Para los conectores que usan la cadena de conexión en el servicio vinculado, como SQL Server, Blob Storage, etc., puede elegir almacenar solo el campo secreto. Por ejemplo, contraseña en AKV o para almacenar toda la cadena de conexión en AKV. Puede encontrar ambas opciones en la interfaz de usuario.

Ejemplo de JSON: (consulte la sección "Contraseña")

{
    "name": "DynamicsLinkedService",
    "properties": {
        "type": "Dynamics",
        "typeProperties": {
            "deploymentType": "<>",
            "organizationName": "<>",
            "authenticationType": "<>",
            "username": "<>",
            "password": {
                "type": "AzureKeyVaultSecret",
                "secretName": "<secret name in AKV>",
                "store":{
                    "referenceName": "<Azure Key Vault linked service>",
                    "type": "LinkedServiceReference"
                }
            }
        }
    }
}

Contenido relacionado

Consulte los almacenes de datos compatibles para ver la lista de almacenes de datos que la actividad de copia de Azure Data Factory admite como orígenes y receptores.