Inspekcja przy użyciu tożsamości zarządzanej w usłudze Azure Synapse Analytics

Wskazówka

Microsoft Fabric Data Warehouse to magazyn relacyjny w skali przedsiębiorstwa na podstawie bazy danych data lake z architekturą gotową do użycia w przyszłości, wbudowaną sztuczną inteligencją i nowymi funkcjami. Jeśli dopiero zaczynasz korzystać z magazynowania danych, zacznij od Fabric Data Warehouse. Istniejące obciążenia dedykowanej puli SQL mogą zostać zaktualizowane do Fabric, aby uzyskać dostęp do nowych możliwości w zakresie nauki o danych, analizy w czasie rzeczywistym i raportowania.

Konfiguruj audyt tak, aby używał konta Storage z dwoma metodami uwierzytelniania:

  • Zarządzana Tożsamość
  • Klucze dostępu do pamięci masowej

Tożsamość zarządzana może być tożsamością zarządzaną przypisaną przez system (SMI) lub tożsamością zarządzaną przypisaną przez użytkownika (UMI).

Aby skonfigurować zapisywanie dzienników inspekcji na koncie magazynu, przejdź do portalu Azure i wybierz swój serwer. Wybierz pozycję Pamięć w menu Inspekcja. Wybierz konto magazynu Azure, gdzie zapisywane są logi.

Domyślnie używana tożsamość jest podstawową tożsamością użytkownika przypisaną do serwera. Jeśli nie ma tożsamości użytkownika, serwer tworzy tożsamość zarządzaną przypisaną przez system i używa jej do uwierzytelniania.

Wybierz okres przechowywania, otwierając Właściwości zaawansowane. Następnie wybierz opcję Zapisz. Dzienniki starsze niż okres przechowywania są usuwane.

Note

Aby skonfigurować inspekcję opartą na tożsamości zarządzanej w usłudze Azure Synapse Analytics, zobacz sekcję Konfigurowanie tożsamości zarządzanej przypisanej przez system na potrzeby inspekcji usługi Azure Synapse Analytics w dalszej części tego artykułu.

Tożsamość zarządzana przypisana użytkownikowi

UMI daje elastyczność w tworzeniu i utrzymywaniu własnego UMI dla danej dzierżawy. To Ty zarządzasz UMI, w przeciwieństwie do systemowej tożsamości zarządzanej, która jest jednoznacznie definiowana dla każdego serwera i przypisana przez system.

Konfiguruj zarządzaną tożsamość przypisaną przez użytkownika do audytu

Zanim będziesz mógł skonfigurować audyt wysyłający logi do swojego konta pamięci, zarządzana tożsamość przypisana serwerowi wymaga przypisania roli Storage Blob Data Contributor . To zadanie jest wymagane, jeśli konfigurujesz audyt za pomocą PowerShell, Azure CLI, REST API lub szablonów ARM. Portal Azure automatycznie przypisuje rolę podczas konfiguracji audytu przez portal, więc nie musisz postępować zgodnie z tymi krokami, jeśli korzystasz z portalu.

  1. Przejdź do portalu Azure.
  2. Stwórz zarządzaną tożsamość przypisaną przez użytkownika, jeśli jeszcze jej nie posiadasz. Więcej informacji można znaleźć w artykule o tworzeniu tożsamości przypisanej do użytkownika.
  3. Przejdź do konta magazynu danych, które chcesz skonfigurować na potrzeby audytu.
  4. Wybierz menu Kontrola dostępu (IAM).
  5. Wybierz Dodaj>Dodaj przypisanie roli.
  6. W zakładce Rola wyszukaj i wybierz Storage Blob Data Contributor. Wybierz Dalej.
  7. Na karcie Członkowie wybierz pozycję Tożsamość zarządzana w sekcji Przypisz dostęp do, a następnie pozycję Wybierz członków. Możesz wybrać tożsamość zarządzaną , którą utworzyłeś dla swojego serwera.
  8. Wybierz Przejrzyj i przypisz.

Aby uzyskać więcej informacji, zobacz Przypisywanie ról platformy Azure przy użyciu portalu.

Użyj poniższych instrukcji, aby skonfigurować audyt za pomocą przypisanej przez użytkownika tożsamości zarządzanej.

  1. Przejdź do menu Tożsamość na serwerze. W sekcji Tożsamość zarządzana przypisana przez użytkownikaDodaj tożsamość zarządzaną.
  2. Wybierz dodaną tożsamość zarządzaną jako tożsamość główną dla swojego serwera.
  3. Przejdź do menu Audyt dla serwera. Wybierz pozycję Tożsamość zarządzana jako typ uwierzytelniania magazynu podczas konfigurowania magazynu dla serwera.

Note

Gdy konfigurujesz audyt za pomocą zarządzanej tożsamości, kopiowanie bazy danych na nowy serwer lub utworzenie geo-repliki może zepsuć logowanie audytu. Ten stan pojawia się, ponieważ nowy serwer ma inną tożsamość zarządzaną, która może nie mieć dostępu do konta magazynu inspekcji. Upewnij się, że tożsamość nowego serwera ma odpowiednie uprawnienia, aby utrzymać ciągłość audytu.

Konfigurowanie tożsamości zarządzanej przypisanej przez system na potrzeby inspekcji/audytu usługi Azure Synapse Analytics

Nie możesz używać uwierzytelniania opartego na UMI na koncie magazynu do audytu. Tylko tożsamość zarządzana przypisana przez system (SMI) może być używana w usłudze Azure Synapse Analytics. Aby uwierzytelnianie SMI działało, zarządzana tożsamość musi mieć przypisaną rolę Storage Blob Data Contributor w ustawieniach Kontrola dostępu konta magazynu. Ta rola jest automatycznie dodawana, jeśli korzystasz z portalu Azure do konfiguracji audytu.

W portalu Azure dla Azure Synapse Analytics nie ma opcji jawnego wyboru klucza SAS lub uwierzytelniania SMI.

  • Jeśli konto pamięci masowej znajduje się za VNetem lub zaporą sieciową, system automatycznie konfiguruje audyt za pomocą uwierzytelniania SMI.

  • Jeśli konto pamięci nie znajduje się za siecią wirtualną (VNet) ani zaporą sieciową, system automatycznie konfiguruje audyt za pomocą uwierzytelniania opartego na kluczach SAS. Jednak nie możesz używać zarządzanej tożsamości, jeśli konto pamięci nie jest chronione przez sieć VNet lub zaporę sieciową.

Aby wymusić użycie uwierzytelniania SMI, niezależnie od tego, czy konto magazynu znajduje się za siecią wirtualną, czy zaporą, użyj interfejsu API REST lub programu PowerShell w następujący sposób:

Treści powiązane

  • Ostatnia aktualizacja o