Ссылки на субъекты безопасности

  • Статья

Модель авторизации Data Explorer Azure позволяет использовать Microsoft Entra удостоверения пользователей и приложений, а также учетные записи Майкрософт (MSA) в качестве субъектов безопасности. В этой статье представлен обзор поддерживаемых типов субъектов для Microsoft Entra ID и MSA, а также показано, как правильно ссылаться на эти субъекты при назначении ролей безопасности с помощью команд управления.

Microsoft Entra ID

Рекомендуемый способ доступа к кластеру — проверка подлинности в службе Microsoft Entra. Microsoft Entra ID — это поставщик удостоверений, способный выполнять проверку подлинности субъектов безопасности и координировать работу с другими поставщиками удостоверений, такими как Active Directory корпорации Майкрософт.

идентификатор Microsoft Entra поддерживает следующие сценарии проверки подлинности:

  • Проверка подлинности для пользователей (интерактивный вход в систему). Используется для аутентификации субъектов, представляющих людей.
  • Проверка подлинности приложений (неинтерактивный вход). Используется для проверки подлинности служб и приложений, которые должны выполняться или проходить проверку подлинности без участия пользователя.

Примечание

  • Microsoft Entra идентификатор не разрешает проверку подлинности учетных записей служб, которые по определению являются локальными сущностями AD. Microsoft Entra эквивалентом учетной записи службы AD является Microsoft Entra приложение.
  • Поддерживаются только субъекты группы безопасности ( SG), но не субъекты группы рассылки (DG). Попытка настроить доступ для DG в кластере приведет к ошибке.

Ссылки на субъекты и группы Microsoft Entra

Синтаксис ссылки на Microsoft Entra пользователей, субъектов и групп приложений описан в следующей таблице.

Если вы используете имя участника-пользователя (UPN) для ссылки на участника-пользователя, и будет предпринята попытка вывести клиент из доменного имени и попытаться найти участника. Если субъект не найден, явно укажите идентификатор или имя клиента в дополнение к имени участника-пользователя или идентификатору объекта.

Аналогичным образом можно ссылаться на группу безопасности с адресом электронной почты группы в формате имени участника-пользователя , и будет предпринята попытка вывести клиент из доменного имени. Если группа не найдена, явно укажите идентификатор или имя клиента в дополнение к отображаемого имени группы или идентификатору объекта.

Тип сущности клиент Microsoft Entra Синтаксис
Пользователь Неявная aaduser=UPN
Пользователь Explicit (ID) aaduser=Имя участника-пользователя; TenantId
или
aaduser=ObjectID; TenantId
Пользователь Explicit (Name) aaduser=Имя участника-пользователя; Имя_клиента
или
aaduser=ObjectID; Имя_клиента
Группа Неявная aadgroup=GroupEmailAddress
Группа Explicit (ID) aadgroup=GroupDisplayName; TenantId
или
aadgroup=GroupObjectId; TenantId
Группа Explicit (Name) aadgroup=GroupDisplayName; Имя_клиента
или
aadgroup=GroupObjectId; Имя_клиента
Приложение Explicit (ID) aadapp=ApplicationDisplayName; TenantId
или
aadapp=ApplicationId; TenantId
Приложение Explicit (Name) aadapp=ApplicationDisplayName; Имя_клиента
или
aadapp=ApplicationId; Имя_клиента

Примечание

Используйте формат "Приложение" для ссылки на управляемые удостоверения, в которых ApplicationId является идентификатором объекта управляемого удостоверения или идентификатором клиента (приложения) управляемого удостоверения.

Примеры

В следующем примере имя участника-пользователя используется для определения субъекта роли пользователя в Test базе данных. Сведения о клиенте не указаны, поэтому кластер попытается разрешить Microsoft Entra клиента с помощью имени участника-пользователя.

.add database Test users ('aaduser=imikeoein@fabrikam.com') 'Test user (AAD)'

В следующем примере имя группы и имя клиента используются для назначения группе роли пользователя в Test базе данных.

.add database Test users ('aadgroup=SGDisplayName;fabrikam.com') 'Test group @fabrikam.com (AAD)'

В следующем примере идентификатор приложения и имя клиента используются для назначения приложению роли пользователя в Test базе данных.

.add database Test users ('aadapp=4c7e82bd-6adb-46c3-b413-fdd44834c69b;fabrikam.com') 'Test app @fabrikam.com (AAD)'

Учетные записи Майкрософт (MSA)

Проверка подлинности пользователей для учетных записей Майкрософт (MSA) поддерживается. MsAs — это все учетные записи пользователей, не управляемые корпорацией Майкрософт. Например hotmail.com, live.com, outlook.com.

Ссылки на субъекты MSA

IdP Тип Синтаксис
Live.com Пользователь msauser=UPN

Пример

В следующем примере пользователю MSA назначается роль пользователя в Test базе данных.

.add database Test users ('msauser=abbiatkins@live.com') 'Test user (live.com)'

для управления политиками секционирования данных для таблиц