Tutorial: Acceso al almacenamiento con una identidad administrada de Media Services

  • Artículo

Logotipo de Media Services v3

Advertencia

Azure Media Services se retirará el 30 de junio de 2024. Para obtener más información, consulte la Guía de retirada de AMS.

Nota

Las identidades administradas solo están disponibles para las cuentas de Media Services creadas mediante la API v3. Si usa la API v2 y quiere usar identidades administradas, migre de v2 a v3: Introducción a la migración de Media Services v2 a v3.

Si quiere acceder a una cuenta de almacenamiento cuando está configurada para bloquear las solicitudes de direcciones IP desconocidas, se debe conceder a la cuenta de Media Services acceso a la cuenta de almacenamiento. Siga los pasos que se indican a continuación para crear una identidad administrada para la cuenta de Media Services y conceder a esta identidad acceso al almacenamiento mediante la CLI de Media Services.

La cuenta de Media Services usa una identidad administrada para acceder al almacenamiento

En este tutorial se utiliza la API de Media Services 2020-05-01.

Información general

Advertencia

No se pueden usar direcciones URL de JobInputHTTP o SAS con una cuenta de almacenamiento que no esté asociada a una cuenta de Media Services. Estos están diseñados como comodidad para los clientes que tienen contenido existente al que se puede acceder mediante HTTP(S), por ejemplo, si tienes archivos multimedia en un servidor público o almacenados con otro proveedor de nube. Si vas a crear nuevas soluciones, usa Recursos para entradas de trabajo.

Para proteger el acceso a una cuenta de almacenamiento usada por Media Services:

  • Configura la cuenta de almacenamiento para denegar todas las direcciones IP (o permitir solo direcciones IP en la red del cliente)
  • Configura la cuenta de almacenamiento para permitir el acceso a «AzureServices»
  • Configura Media Services para acceder a la cuenta de almacenamiento mediante identidad administrada
  • Carga de contenido multimedia en recursos de Media Services
  • Crea trabajos de codificación que usen recursos de Media Services como entrada del trabajo. NO uses DIRECCIONES URL de SAS o JobInputHTTP.

Inicio de sesión en Azure

Para usar cualquiera de los comandos de este artículo, primero debe haber iniciado sesión en la suscripción que quiere usar.

Inicie sesión en Azure. Cuando use este comando, se le pedirá la suscripción que desea usar.

az login

Definir la suscripción

Utilice este comando para establecer la suscripción con la que quiere trabajar.

Establecimiento de la suscripción de Azure con la CLI

En el siguiente comando, proporcione el identificador de suscripción de Azure que quiere usar para la cuenta de Media Services.

az account set --subscription <subscriptionName>

Nombres de recurso

Antes de empezar, decida los nombres de los recursos que va a crear. Estos deben identificarse fácilmente como un conjunto, especialmente si no planea usarlos una vez que haya terminado las pruebas. Las reglas de nomenclatura son diferentes para muchos tipos de recursos, por lo que es mejor mantener las minúsculas. Por ejemplo, "mediatest1rg" como nombre del grupo de recursos y "mediatest1stor" como nombre de la cuenta de almacenamiento. Use los mismos nombres en cada paso de este artículo.

Verá que se hace referencia a ellos en los comandos siguientes. Los nombres de los recursos que necesitará son:

  • myRG
  • myStorageAccount
  • myAmsAccount
  • ubicación

Nota

Los guiones anteriores solo se usan para separar las palabras de guía. Debido a la incoherencia de asignar nombres a los recursos en los servicios de Azure, no use guiones al asignar un nombre a los recursos. Además, no cree el nombre de la región. Azure es quien lo determina.

Enumeración de regiones de Azure

Si no está seguro del nombre real de la región que se va a usar, utilice este comando para obtener una lista:

Use este comando para enumerar las regiones disponibles para la cuenta.

az account list-locations --query "[].{DisplayName:displayName, Name:name}" -o table

Secuencia

Cada uno de los pasos siguientes se realiza en un orden determinado porque uno o varios valores de las respuestas JSON se usan en el paso siguiente de la secuencia.

Creación de una cuenta de Storage

La cuenta de Media Services que va a crear debe tener una cuenta de almacenamiento asociada. Cree primero la cuenta de almacenamiento para la cuenta de Media Services. Usará el nombre de la cuenta de almacenamiento que reemplaza myStorageAccount para los pasos posteriores.

Creación de una cuenta de Azure Storage con la CLI

Use los siguientes comandos para crear una cuenta de Azure Storage.

Para crear una cuenta de almacenamiento, primero debe crear un grupo de recursos dentro de una ubicación.

Para enumerar las ubicaciones disponibles, use el siguiente comando:

Enumeración de ubicaciones disponibles con la CLI

Para enumerar las ubicaciones disponibles, use el siguiente comando:

az account list-locations

Creación de un grupo de recursos con la CLI

Para crear un grupo de recursos, ejecute el comando siguiente:

az group create -n <resourceGroupName> --location chooseLocation

Elección de una SKU

También debe elegir una SKU para la cuenta de almacenamiento. Puede enumerar cuentas de almacenamiento.

Elija una SKU de la lista siguiente: Standard_LRS, Standard_GRS, Standard_RAGRS, Standard_ZRS, Premium_LRS, Premium_ZRS, Standard_GZRS, Standard_RAGZRS.

  • Cambie myStorageAccount por un nombre único con una longitud inferior a 24 caracteres.
  • Cambie chooseLocation a la región desde la que desea trabajar.
  • Cambie chooseSKU a la SKU que prefiera.
az storage account create -n <myStorageAccount> -g <resourceGroup>  --location <chooseLocation> --sku <chooseSKU>

Creación de una cuenta de Media Services con una entidad de servicio (identidad administrada)

Ahora cree la cuenta de Media Services con una entidad de servicio, también conocida como identidad administrada.

Importante

Es importante que recuerde usar la marca --mi en el comando. De lo contrario, no podrá encontrar el elemento principalId en un paso posterior.

El siguiente comando de la CLI de Azure crea una nueva cuenta de Media Services. Reemplace los siguientes valores: your-media-services-account-nameyour-storage-account-name y your-resource-group-name por los nombres que quiere usar. El comando supone que ya ha creado un grupo de recursos y una cuenta de almacenamiento.

Proporciona a la cuenta de Media Services una identidad administrada asignada por el sistema con la marca --mi-system-assigned.


az ams account create --name <your-media-services-account-name> --resource-group <your-resource-group-name> --mi-system-assigned --storage-account <your-storage-account-name>

Ejemplo de respuesta JSON:

{
  "encryption": {
    "keyVaultProperties": null,
    "type": "SystemKey"
  },
  "id": "/subscriptions/00000000-0000-0000-0000-00000000/resourceGroups/your-resource-group/providers/Microsoft.Media/mediaservices/your-media-services-account-name",
  "identity": {
    "principalId": "00000000-0000-0000-0000-00000000",
    "tenantId": "00000000-0000-0000-0000-00000000",
    "type": "SystemAssigned"
  },
  "location": "your-region",
  "mediaServiceId": "00000000-0000-0000-0000-00000000",
  "name": "your-media-services-account-name",
  "resourceGroup": "your-resource-group",
  "storageAccounts": [
    {
      "id": "/subscriptions/00000000-0000-0000-0000-00000000/resourceGroups/mediatest1rg/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
      "resourceGroup": "your-resource-group",
      "type": "Primary"
    }
  ],
  "storageAuthentication": "System",
  "systemData": {
    "createdAt": "2021-05-14T21:25:12.3492071Z",
    "createdBy": "you@example.com",
    "createdByType": "User",
    "lastModifiedAt": "2021-05-14T21:25:12.3492071Z",
    "lastModifiedBy": "you@example.com",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.Media/mediaservices"
}

Concesión a la identidad administrada de Media Services acceso a la cuenta de almacenamiento

Conceda a la identidad administrada de Media Services acceso a la cuenta de almacenamiento. Hay tres comandos:

Obtener (mostrar) la identidad administrada de la cuenta de Media Services

El primer comando muestra la identidad administrada de la cuenta de Media Services, que es el valor de principalId enumerado en el código JSON devuelto por el comando.

Este comando muestra todas las propiedades de una cuenta de Media Services.

az ams account show --name <your-media-services-account-name> --resource-group <your-resource-group>

Nota

Si ha asignado roles de acceso a la cuenta de Media Services, esta línea devolverá "storageAuthentication": "ManagedIdentity".

Ejemplo de respuesta JSON:

{
  "encryption": {
    "keyVaultProperties": null,
    "type": "SystemKey"
  },
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Media/mediaservices/your-media-services-account",
  "identity": {
    "principalId": "00000000-0000-0000-0000-000000000000",
    "tenantId": "00000000-0000-0000-0000-000000000000",
    "type": "SystemAssigned"  //Type will show "Managed Identity" if you have assigned a role to the Media Services account.
  },
  "location": "your-region",
  "mediaServiceId": "00000000-0000-0000-0000-000000000000",
  "name": "your-media-services-account",
  "resourceGroup": "your-resource-group-name",
  "storageAccounts": [
    {
      "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
      "resourceGroup": "your-resource-group-name",
      "type": "Primary"
    }
  ],
  "storageAuthentication": "System", //If you have assigned access roles to the account, this line will return storageAuthentication": "ManagedIdentity"
  "systemData": {
    "createdAt": "2021-05-14T21:25:12.3492071Z",
    "createdBy": "you@example.com",
    "createdByType": "User",
    "lastModifiedAt": "2021-05-14T21:25:12.3492071Z",
    "lastModifiedBy": "you@example.com",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.Media/mediaservices"
}

Creación de la asignación del rol Colaborador de Storage Blob

El siguiente comando crea un rol de Colaborador de Storage Blob.

Cambie assignee por el valor de principalId. El comando supone que ya ha creado un grupo de recursos y una cuenta de almacenamiento. Use your-resource-group-name y your-storage-account-name como parte del valor de scope, como se muestra en el comando siguiente:

az role assignment create --assignee 00000000-0000-0000-000000000000 --role "Storage Blob Data Contributor" --scope "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/<your-resource-group-name>/providers/Microsoft.Storage/storageAccounts/<your-storage-account-name>"

Ejemplo de respuesta JSON:

{
  "canDelegate": null,
  "condition": null,
  "conditionVersion": null,
  "description": null,
  "id": "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-000000000000",
  "name": "00000000-0000-0000-000000000000",
  "principalId": "00000000-0000-0000-000000000000",
  "principalType": "ServicePrincipal",
  "resourceGroup": "your-resource-group-name",
  "roleDefinitionId": "/subscriptions/00000000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/00000000-0000-0000-000000000000",
  "scope": "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
  "type": "Microsoft.Authorization/roleAssignments"
}

Creación de la asignación del rol Lector

El comando siguiente crea un rol de Lector.

Cambie assignee por el valor de principalId. El comando supone que ya ha creado un grupo de recursos y una cuenta de almacenamiento. Use your-resource-group-name y your-storage-account-name como parte del valor de scope, como se muestra en el comando siguiente:

az role assignment create --assignee 00000000-0000-0000-000000000000 --role "Reader" --scope "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name"

Ejemplo de respuesta JSON:

{
  "canDelegate": null,
  "condition": null,
  "conditionVersion": null,
  "description": null,
  "id": "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-000000000000",
  "name": "00000000-0000-0000-000000000000",
  "principalId": "00000000-0000-0000-000000000000",
  "principalType": "Reader",
  "resourceGroup": "your-resource-group-name",
  "roleDefinitionId": "/subscriptions/00000000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/00000000-0000-0000-000000000000",
  "scope": "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
  "type": "Microsoft.Authorization/roleAssignments"
}

Uso de la identidad administrada para acceder a la cuenta de almacenamiento

El siguiente comando proporciona a una identidad administrada de Media Services acceso a una cuenta de almacenamiento.

En el siguiente comando, cambie your-resource-group-name por el nombre del grupo de recursos y your-media-services-account-name por el nombre de la cuenta de Media Services con la que desea trabajar:

az ams account storage set-authentication --storage-auth ManagedIdentity --resource-group <your-resource-group_name> --account-name <your-media-services-account-name>

Ejemplo de respuesta JSON:

{
  "encryption": {
    "keyVaultProperties": null,
    "type": "SystemKey"
  },
  "id": "/subscriptions/00000000-0000-0000-00000000/resourceGroups/your-resource-group-name/providers/Microsoft.Media/mediaservices/your-storage-account-name",
  "identity": null,
  "location": "West US 2",
  "mediaServiceId": "00000000-0000-0000-00000000",
  "name": "your-media-services-account",
  "resourceGroup": "your-resource-group-name",
  "storageAccounts": [
    {
      "id": "/subscriptions/2b461b25-f7b4-4a22-90cc-d640a14b5471/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
      "resourceGroup": "your-resource-group-name",
      "type": "Primary"
    }
  ],
  "storageAuthentication": "ManagedIdentity",
  "systemData": {
    "createdAt": "2021-05-17T19:15:00.8850297Z",
    "createdBy": "you@example.com",
    "createdByType": "User",
    "lastModifiedAt": "2021-05-17T21:23:11.3863627Z",
    "lastModifiedBy": "you@example.com",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.Media/mediaservices"
}

Validación

Para comprobar que la cuenta está cifrada mediante una clave administrada por el cliente, vea las propiedades de cifrado de la cuenta:

Este comando muestra todas las propiedades de una cuenta de Media Services.

az ams account show --name <your-media-services-account-name> --resource-group <your-resource-group>

Nota

Si ha asignado roles de acceso a la cuenta de Media Services, esta línea devolverá "storageAuthentication": "ManagedIdentity".

Ejemplo de respuesta JSON:

{
  "encryption": {
    "keyVaultProperties": null,
    "type": "SystemKey"
  },
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Media/mediaservices/your-media-services-account",
  "identity": {
    "principalId": "00000000-0000-0000-0000-000000000000",
    "tenantId": "00000000-0000-0000-0000-000000000000",
    "type": "SystemAssigned"  //Type will show "Managed Identity" if you have assigned a role to the Media Services account.
  },
  "location": "your-region",
  "mediaServiceId": "00000000-0000-0000-0000-000000000000",
  "name": "your-media-services-account",
  "resourceGroup": "your-resource-group-name",
  "storageAccounts": [
    {
      "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
      "resourceGroup": "your-resource-group-name",
      "type": "Primary"
    }
  ],
  "storageAuthentication": "System", //If you have assigned access roles to the account, this line will return storageAuthentication": "ManagedIdentity"
  "systemData": {
    "createdAt": "2021-05-14T21:25:12.3492071Z",
    "createdBy": "you@example.com",
    "createdByType": "User",
    "lastModifiedAt": "2021-05-14T21:25:12.3492071Z",
    "lastModifiedBy": "you@example.com",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.Media/mediaservices"
}

La propiedad storageAuthentication debe mostrar "ManagedIdentity".

Para realizar una validación adicional, puede comprobar los registros de Azure Storage para ver qué método de autenticación se usa para cada solicitud.

Limpieza de recursos

Si no tiene previsto usar los recursos que ha creado, elimine el grupo de recursos.

Eliminación de un grupo de recursos con la CLI

az group delete --name <your-resource-group-name>

Obtener ayuda y soporte técnico

Puede ponerse en contacto con Media Services con preguntas o seguir nuestras actualizaciones mediante uno de los métodos siguientes: