Share via

Cadeias de ligação de armazenamento

  • Artigo

O Azure Data Explorer pode interagir com serviços de armazenamento externos. Por exemplo, pode criar tabelas externas do Armazenamento do Azure para consultar dados armazenados em armazenamentos externos.

São suportados os seguintes tipos de armazenamento externo:

  • Armazenamento de Blobs do Azure
  • Armazenamento do Azure Data Lake Ger2
  • Armazenamento do Azure Data Lake Ger1
  • Amazon S3

Cada tipo de armazenamento tem formatos de cadeia de ligação correspondentes utilizados para descrever os recursos de armazenamento e como aceder aos mesmos. O Azure Data Explorer utiliza um formato URI para descrever estes recursos de armazenamento e as propriedades necessárias para aceder aos mesmos, como credenciais de segurança.

Nota

Os serviços Web HTTP que não implementam todo o conjunto de API de Armazenamento de Blobs do Azure não são suportados, mesmo que pareçam funcionar em alguns cenários.

Modelos de cadeia de ligação de armazenamento

Cada tipo de armazenamento tem um formato de cadeia de ligação diferente. Veja a tabela seguinte para cadeia de ligação modelos para cada tipo de armazenamento.

Tipo de armazenamento Scheme Modelo de URI
Armazenamento de Blobs do Azure https:// https://StorageAccountName.blob.core.windows.net/Container[/BlobName][CallerCredentials]
Armazenamento do Azure Data Lake Ger2 https:// https://StorageAccountName.dfs.core.windows.net/Filesystem[/PathToDirectoryOrFile][CallerCredentials]
Armazenamento do Azure Data Lake Ger2 abfss:// abfss://Sistema de Ficheiros@StorageAccountName.dfs.core.windows.net/[PathToDirectoryOrFile] [CallerCredentials]
Armazenamento do Azure Data Lake Ger1 adl:// adl://StorageAccountName.azuredatalakestore.net/PathToDirectoryOrFile[CallerCredentials]
Amazon S3 https:// https://BucketName.s3.Nome Da Região.amazonaws.com/ObjectKey[CallerCredentials]

Nota

Para impedir que os segredos apareçam em rastreios, utilize literais de cadeias ocultas.

Métodos de autenticação de armazenamento

Para interagir com o armazenamento externo não público do Azure Data Explorer, tem de especificar meios de autenticação como parte do armazenamento externo cadeia de ligação. O cadeia de ligação define o recurso a aceder e as respetivas informações de autenticação.

O Azure Data Explorer suporta os seguintes métodos de autenticação:

Autenticação suportada por tipo de armazenamento

A tabela seguinte resume os métodos de autenticação disponíveis para diferentes tipos de armazenamento externo.

Método de autenticação Disponível no armazenamento de Blobs? Disponível no Azure Data Lake Storage Gen2? Disponível no Azure Data Lake Storage Gen 1? Disponível no Amazon S3? Quando deve utilizar este método?
Representação ✔️ ✔️ ✔️ ❌ Utilize para fluxos assistidos quando precisar de um controlo de acesso complexo sobre o armazenamento externo. Por exemplo, em fluxos de exportação contínuas. Também pode restringir o acesso ao armazenamento ao nível do utilizador.
Identidade gerida ✔️ ✔️ ✔️ ❌ Utilize em fluxos não acompanhados, em que não é possível derivar Microsoft Entra principal para executar consultas e comandos. As identidades geridas são a única solução de autenticação.
Chave de Acesso Partilhado (SAS) ✔️ ✔️ ❌ ❌ Os tokens de SAS têm um tempo de expiração. Utilize ao aceder ao armazenamento durante um período de tempo limitado.
Microsoft Entra token de acesso ✔️ ✔️ ✔️ ❌ Microsoft Entra tokens têm um tempo de expiração. Utilize ao aceder ao armazenamento durante um período de tempo limitado.
Chave de acesso da conta de armazenamento ✔️ ✔️ ❌ ❌ Quando precisar de aceder aos recursos de forma contínua.
Chaves de Acesso Programático dos Serviços Web amazon ❌ ❌ ❌ ✔️ Quando precisar de aceder aos recursos do Amazon S3 de forma contínua.
URL pré-assinado do Amazon Web Services S3 ❌ ❌ ❌ ✔️ Quando precisar de aceder aos recursos do Amazon S3 com um URL pré-assinado temporário.

Representação

O Azure Data Explorer representa a identidade principal do requerente para aceder ao recurso. Para utilizar a representação, acrescente ;impersonate ao cadeia de ligação.

Exemplo
"https://fabrikam.blob.core.windows.net/container/path/to/file.csv;impersonate"

O principal tem de ter as permissões necessárias para efetuar a operação. Por exemplo, no Armazenamento de Blobs do Azure, para ler a partir do blob, o principal precisa da função Leitor de Dados de Blobs de Armazenamento e exportar para o blob o principal precisa da função Contribuidor de Dados de Blobs de Armazenamento. Para saber mais, veja Armazenamento de Blobs do Azure/Data Lake Storage Gen2 controlo de acesso ou controlo de acesso Data Lake Storage Gen1.

Identidade gerida

O Azure Data Explorer faz pedidos em nome de uma identidade gerida e utiliza a respetiva identidade para aceder aos recursos. Para uma identidade gerida atribuída pelo sistema, acrescente ;managed_identity=system ao cadeia de ligação. Para uma identidade gerida atribuída pelo utilizador, acrescente ;managed_identity={object_id} ao cadeia de ligação.

Tipo de identidade gerida Exemplo
Atribuída pelo sistema "https://fabrikam.blob.core.windows.net/container/path/to/file.csv;managed_identity=system"
Atribuída pelo utilizador "https://fabrikam.blob.core.windows.net/container/path/to/file.csv;managed_identity=12345678-1234-1234-1234-1234567890ab"

A identidade gerida tem de ter as permissões necessárias para executar a operação. Por exemplo, no Armazenamento de Blobs do Azure, para ler a partir do blob, a identidade gerida precisa da função Leitor de Dados do Blob de Armazenamento e exportar para o blob a identidade gerida precisa da função Contribuidor de Dados do Blob de Armazenamento. Para saber mais, veja controlo de acesso Armazenamento de Blobs do Azure/Data Lake Storage Gen2 ou controlo de acesso Data Lake Storage Gen1.

Nota

A identidade gerida só é suportada em fluxos de Data Explorer específicos do Azure e requer a configuração da política de identidade gerida. Para obter mais informações, veja Descrição geral das identidades geridas.

Token de Acesso Partilhado (SAS)

Na portal do Azure, gere um token de SAS com as permissões necessárias.

Por exemplo, para ler a partir do armazenamento externo, especifique as permissões de Leitura e Lista e para exportar para o armazenamento externo especifique as permissões de Escrita. Para saber mais, veja delegar o acesso através de uma assinatura de acesso partilhado.

Utilize o URL de SAS como cadeia de ligação.

Exemplo
"https://fabrikam.blob.core.windows.net/container/path/to/file.csv?sv=...&sp=rwd"

Microsoft Entra token de acesso

Para adicionar um token de acesso Microsoft Entra codificado de base 64, acrescente ;token={AadToken} à cadeia de ligação. O token tem de ser para o recurso https://storage.azure.com/.

Para obter mais informações sobre como gerar um token de acesso Microsoft Entra, veja Obter um token de acesso para autorização.

Exemplo
"https://fabrikam.blob.core.windows.net/container/path/to/file.csv;token=1234567890abcdef1234567890abcdef1234567890abc..."

Chave de acesso da conta de armazenamento

Para adicionar uma chave de acesso à conta de armazenamento, acrescente a chave ao cadeia de ligação. No Armazenamento de Blobs do Azure, acrescente ;{key} ao cadeia de ligação. Para Azure Data Lake Storage Gen2, acrescente ;sharedkey={key} ao cadeia de ligação.

Conta de armazenamento Exemplo
Armazenamento de Blobs do Azure "https://fabrikam.blob.core.windows.net/container/path/to/file.csv;ljkAkl...=="
Armazenamento do Azure Data Lake Ger2 "abfss://fs@fabrikam.dfs.core.windows.net/path/to/file.csv;sharedkey=sv=...&sp=rwd"

Chaves de acesso programático do Amazon Web Services

Para adicionar chaves de acesso do Amazon Web Services, acrescente ;AwsCredentials={ACCESS_KEY_ID},{SECRET_ACCESS_KEY} ao cadeia de ligação.

Exemplo
"https://yourbucketname.s3.us-east-1.amazonaws.com/path/to/file.csv;AwsCredentials=AWS1234567890EXAMPLE,1234567890abc/1234567/12345678EXAMPLEKEY"

URL pré-assinado do Amazon Web Services S3

Utilize o URL pré-atribuído S3 como o cadeia de ligação.

Exemplo
"https://yourbucketname.s3.us-east-1.amazonaws.com/file.csv?12345678PRESIGNEDTOKEN"