Självstudie: Få åtkomst till lagring med en hanterad Media Services-identitet

Artikel
07/12/2023

Varning

Azure Media Services dras tillbaka den 30 juni 2024. Mer information finns i AMS Pensionsguide.

Anteckning

Hanterade identiteter är endast tillgängliga för Media Services-konton som skapats med hjälp av v3-API:et. Om du använder v2-API:et och vill använda hanterade identiteter kan du migrera från v2 till v3 Migrera från Media Services v2 till v3-introduktion.

Om du vill komma åt ett lagringskonto när lagringskontot har konfigurerats för att blockera begäranden från okända IP-adresser måste Media Services-kontot beviljas åtkomst till lagringskontot. Följ stegen nedan för att skapa en hanterad identitet för Media Services-kontot och ge den här identiteten åtkomst till lagring med Media Services CLI.

Media Services-kontot använder en hanterad identitet för att få åtkomst till lagring

I den här självstudien används Api:et för Media Services 2020-05-01.

Översikt

Varning

Du kan inte använda JobInputHTTP- eller SAS-URL:er med ett lagringskonto som inte är associerat med ett Media Services-konto. Dessa är avsedda som en bekvämlighet för kunder som har befintligt innehåll som kan nås med HTTP(S), till exempel om du har mediefiler på en offentlig server eller lagras hos en annan molnleverantör. Om du skapar nya lösningar använder du Tillgångar för jobbindata.

Så här skyddar du åtkomsten till ett lagringskonto som används av Media Services:

Konfigurera lagringskontot för att neka alla IP-adresser (eller endast tillåta IP-adresser i kundens nätverk)
Konfigurera lagringskontot så att det tillåter åtkomst till "AzureServices"
Konfigurera Media Services för åtkomst till lagringskontot med hjälp av hanterad identitet
Ladda upp medieinnehåll till Media Services-tillgångar
Skapa kodningsjobb som använder Media Services-tillgångar som jobbindata. ANVÄND INTE SAS URLS eller JobInputHTTP.

Om du vill använda något av kommandona i den här artikeln måste du först loggas in på den prenumeration som du vill använda.

Logga in i Azure. När du använder det här kommandot uppmanas du att ange den prenumeration som du vill använda.

az login

Ange prenumeration

Använd det här kommandot för att ange den prenumeration som du vill arbeta med.

Ange Azure-prenumerationen med CLI

Med följande kommando anger du ID för den Azure-prenumeration som du vill använda för Media Services-kontot.

az account set --subscription <subscriptionName>

Resursnamn

Innan du börjar bestämmer du namnen på de resurser som du ska skapa. De bör vara lätta att identifiera som en uppsättning, särskilt om du inte planerar att använda dem när du är klar med testningen. Namngivningsregler skiljer sig åt för många resurstyper, så det är bäst att hålla sig till alla gemener. Till exempel "mediatest1rg" för resursgruppens namn och "mediatest1stor" för ditt lagringskontonamn. Använd samma namn för varje steg i den här artikeln.

Du ser dessa namn som refereras i kommandona nedan. Namnen på de resurser du behöver är:

myRG
myStorageAccount
myAmsAccount
location

Anteckning

Bindestrecken ovan används bara för att separera vägledningsord. På grund av inkonsekvensen i namngivning av resurser i Azure-tjänster ska du inte använda bindestreck när du namnger dina resurser. Dessutom skapar du inte regionnamnet. Regionnamnet bestäms av Azure.

Lista Azure-regioner

Om du inte är säker på vilket regionnamn som ska användas använder du det här kommandot för att hämta en lista:

Använd det här kommandot om du vill visa en lista över de regioner som är tillgängliga för ditt konto.

az account list-locations --query "[].{DisplayName:displayName, Name:name}" -o table

Sequence

Vart och ett av stegen nedan görs i en viss ordning eftersom ett eller flera värden från JSON-svaren används i nästa steg i sekvensen.

Skapa ett lagringskonto

Media Services-kontot som du skapar måste ha ett associerat lagringskonto. Skapa lagringskontot för Media Services-kontot först. Du använder namnet på lagringskontot myStorageAccount som ersätter för efterföljande steg.

Skapa ett Azure Storage-konto med CLI

Använd följande kommandon för att skapa ett Azure Storage-konto.

Om du vill skapa ett lagringskonto måste du först skapa en resursgrupp på en plats.

Använd följande kommando för att lista tillgängliga platser:

Lista tillgängliga platser med CLI

Använd följande kommando för att lista tillgängliga platser:

az account list-locations

Skapa en resursgrupp med CLI

Använd följande kommando för att skapa en resursgrupp:

az group create -n <resourceGroupName> --location chooseLocation

Välj en SKU

Du måste också välja en SKU för ditt lagringskonto. Du kan lista lagringskonton.

Välj en SKU i följande lista: Standard_LRS, Standard_GRS, Standard_RAGRS, Standard_ZRS, Premium_LRS, Premium_ZRS, Standard_GZRS, Standard_RAGZRS.

Ändra myStorageAccount till ett unikt namn med en längd på färre än 24 tecken.
Ändra chooseLocation till den region som du vill arbeta i.
Ändra chooseSKU till önskad SKU.

az storage account create -n <myStorageAccount> -g <resourceGroup>  --location <chooseLocation> --sku <chooseSKU>

Skapa ett Media Services-konto med ett tjänsthuvudnamn (hanterad identitet)

Skapa nu Media Services-kontot med ett tjänsthuvudnamn, även kallat hanterad identitet.

Viktigt

Det är viktigt att du kommer ihåg att använda flaggan --mi i kommandot. Annars kan du inte hitta principalId för ett senare steg.

Följande Azure CLI-kommando skapar ett nytt Media Services-konto. Ersätt följande värden: your-media-services-account-nameyour-storage-account-nameoch your-resource-group-name med de namn som du vill använda. Kommandot förutsätter att du redan har skapat en resursgrupp och ett lagringskonto.

Det ger Media Services-kontot en systemtilldelad hanterad identitet med --mi-system-assigned flaggan .


az ams account create --name <your-media-services-account-name> --resource-group <your-resource-group-name> --mi-system-assigned --storage-account <your-storage-account-name>

Exempel på JSON-svar:

{
  "encryption": {
    "keyVaultProperties": null,
    "type": "SystemKey"
  },
  "id": "/subscriptions/00000000-0000-0000-0000-00000000/resourceGroups/your-resource-group/providers/Microsoft.Media/mediaservices/your-media-services-account-name",
  "identity": {
    "principalId": "00000000-0000-0000-0000-00000000",
    "tenantId": "00000000-0000-0000-0000-00000000",
    "type": "SystemAssigned"
  },
  "location": "your-region",
  "mediaServiceId": "00000000-0000-0000-0000-00000000",
  "name": "your-media-services-account-name",
  "resourceGroup": "your-resource-group",
  "storageAccounts": [
    {
      "id": "/subscriptions/00000000-0000-0000-0000-00000000/resourceGroups/mediatest1rg/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
      "resourceGroup": "your-resource-group",
      "type": "Primary"
    }
  ],
  "storageAuthentication": "System",
  "systemData": {
    "createdAt": "2021-05-14T21:25:12.3492071Z",
    "createdBy": "you@example.com",
    "createdByType": "User",
    "lastModifiedAt": "2021-05-14T21:25:12.3492071Z",
    "lastModifiedBy": "you@example.com",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.Media/mediaservices"
}

Bevilja Media Services-hanterad identitet åtkomst till lagringskontot

Ge Media Services Managed Identity åtkomst till lagringskontot. Det finns tre kommandon:

Hämta (visa) den hanterade identiteten för Media Services-kontot

Det första kommandot nedan visar den hanterade identiteten för Media Services-kontot, som visas principalId i JSON som returneras av kommandot.

Det här kommandot visar alla egenskaper för ett Media Services-konto.

az ams account show --name <your-media-services-account-name> --resource-group <your-resource-group>

Anteckning

Om du har tilldelat åtkomstroller till Media Services-kontot returnerar "storageAuthentication": "ManagedIdentity"den här raden .

Exempel på JSON-svar:

{
  "encryption": {
    "keyVaultProperties": null,
    "type": "SystemKey"
  },
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Media/mediaservices/your-media-services-account",
  "identity": {
    "principalId": "00000000-0000-0000-0000-000000000000",
    "tenantId": "00000000-0000-0000-0000-000000000000",
    "type": "SystemAssigned"  //Type will show "Managed Identity" if you have assigned a role to the Media Services account.
  },
  "location": "your-region",
  "mediaServiceId": "00000000-0000-0000-0000-000000000000",
  "name": "your-media-services-account",
  "resourceGroup": "your-resource-group-name",
  "storageAccounts": [
    {
      "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
      "resourceGroup": "your-resource-group-name",
      "type": "Primary"
    }
  ],
  "storageAuthentication": "System", //If you have assigned access roles to the account, this line will return storageAuthentication": "ManagedIdentity"
  "systemData": {
    "createdAt": "2021-05-14T21:25:12.3492071Z",
    "createdBy": "you@example.com",
    "createdByType": "User",
    "lastModifiedAt": "2021-05-14T21:25:12.3492071Z",
    "lastModifiedBy": "you@example.com",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.Media/mediaservices"
}

Skapa rolltilldelningen Storage Blob-deltagare

Följande kommando skapar rollen Storage Blob-deltagare.

Ändra assignee till principalId. Kommandot förutsätter att du redan har skapat en resursgrupp och ett lagringskonto. Använd your-resource-group-name och your-storage-account-name som en del av scope värdet enligt kommandot nedan:

az role assignment create --assignee 00000000-0000-0000-000000000000 --role "Storage Blob Data Contributor" --scope "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/<your-resource-group-name>/providers/Microsoft.Storage/storageAccounts/<your-storage-account-name>"

Exempel på JSON-svar:

{
  "canDelegate": null,
  "condition": null,
  "conditionVersion": null,
  "description": null,
  "id": "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-000000000000",
  "name": "00000000-0000-0000-000000000000",
  "principalId": "00000000-0000-0000-000000000000",
  "principalType": "ServicePrincipal",
  "resourceGroup": "your-resource-group-name",
  "roleDefinitionId": "/subscriptions/00000000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/00000000-0000-0000-000000000000",
  "scope": "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
  "type": "Microsoft.Authorization/roleAssignments"
}

Skapa rolltilldelningen Läsare

Följande kommando skapar en läsarroll.

az role assignment create --assignee 00000000-0000-0000-000000000000 --role "Reader" --scope "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name"

Exempel på JSON-svar:

{
  "canDelegate": null,
  "condition": null,
  "conditionVersion": null,
  "description": null,
  "id": "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name/providers/Microsoft.Authorization/roleAssignments/00000000-0000-0000-000000000000",
  "name": "00000000-0000-0000-000000000000",
  "principalId": "00000000-0000-0000-000000000000",
  "principalType": "Reader",
  "resourceGroup": "your-resource-group-name",
  "roleDefinitionId": "/subscriptions/00000000-0000-0000-000000000000/providers/Microsoft.Authorization/roleDefinitions/00000000-0000-0000-000000000000",
  "scope": "/subscriptions/00000000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
  "type": "Microsoft.Authorization/roleAssignments"
}

Använda den hanterade identiteten för att komma åt lagringskontot

Följande kommando ger en Hanterad Media Services-identitet åtkomst till ett lagringskonto.

I kommandot nedan ändrar du your-resource-group-name till resursgruppens namn och your-media-services-account-nametill det Media Services-kontonamn som du vill arbeta med:

az ams account storage set-authentication --storage-auth ManagedIdentity --resource-group <your-resource-group_name> --account-name <your-media-services-account-name>

Exempel på JSON-svar:

{
  "encryption": {
    "keyVaultProperties": null,
    "type": "SystemKey"
  },
  "id": "/subscriptions/00000000-0000-0000-00000000/resourceGroups/your-resource-group-name/providers/Microsoft.Media/mediaservices/your-storage-account-name",
  "identity": null,
  "location": "West US 2",
  "mediaServiceId": "00000000-0000-0000-00000000",
  "name": "your-media-services-account",
  "resourceGroup": "your-resource-group-name",
  "storageAccounts": [
    {
      "id": "/subscriptions/2b461b25-f7b4-4a22-90cc-d640a14b5471/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
      "resourceGroup": "your-resource-group-name",
      "type": "Primary"
    }
  ],
  "storageAuthentication": "ManagedIdentity",
  "systemData": {
    "createdAt": "2021-05-17T19:15:00.8850297Z",
    "createdBy": "you@example.com",
    "createdByType": "User",
    "lastModifiedAt": "2021-05-17T21:23:11.3863627Z",
    "lastModifiedBy": "you@example.com",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.Media/mediaservices"
}

Validering

Kontrollera att kontot är krypterat med hjälp av en kundhanterad nyckel genom att visa egenskaperna för kontokryptering:

Det här kommandot visar alla egenskaper för ett Media Services-konto.

az ams account show --name <your-media-services-account-name> --resource-group <your-resource-group>

Anteckning

Om du har tilldelat åtkomstroller till Media Services-kontot returnerar "storageAuthentication": "ManagedIdentity"den här raden .

Exempel på JSON-svar:

{
  "encryption": {
    "keyVaultProperties": null,
    "type": "SystemKey"
  },
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Media/mediaservices/your-media-services-account",
  "identity": {
    "principalId": "00000000-0000-0000-0000-000000000000",
    "tenantId": "00000000-0000-0000-0000-000000000000",
    "type": "SystemAssigned"  //Type will show "Managed Identity" if you have assigned a role to the Media Services account.
  },
  "location": "your-region",
  "mediaServiceId": "00000000-0000-0000-0000-000000000000",
  "name": "your-media-services-account",
  "resourceGroup": "your-resource-group-name",
  "storageAccounts": [
    {
      "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/your-resource-group-name/providers/Microsoft.Storage/storageAccounts/your-storage-account-name",
      "resourceGroup": "your-resource-group-name",
      "type": "Primary"
    }
  ],
  "storageAuthentication": "System", //If you have assigned access roles to the account, this line will return storageAuthentication": "ManagedIdentity"
  "systemData": {
    "createdAt": "2021-05-14T21:25:12.3492071Z",
    "createdBy": "you@example.com",
    "createdByType": "User",
    "lastModifiedAt": "2021-05-14T21:25:12.3492071Z",
    "lastModifiedBy": "you@example.com",
    "lastModifiedByType": "User"
  },
  "tags": null,
  "type": "Microsoft.Media/mediaservices"
}

Egenskapen storageAuthentication ska visa "ManagedIdentity".

För ytterligare verifiering kan du kontrollera Azure Storage-loggarna för att se vilken autentiseringsmetod som används för varje begäran.

Rensa resurser

Om du inte planerar att använda de resurser som du skapade tar du bort resursgruppen.

Ta bort en resursgrupp med CLI

az group delete --name <your-resource-group-name>

Få hjälp och support

Du kan kontakta Media Services med frågor eller följa våra uppdateringar med någon av följande metoder:

Q & A
Stack Overflow. Tagga frågor med azure-media-services.
@MSFTAzureMedia eller använd @AzureSupport för att begära support.
Öppna en supportbegäran via Azure Portal.

Dela via

Självstudie: Få åtkomst till lagring med en hanterad Media Services-identitet

Översikt

Ange prenumeration

Ange Azure-prenumerationen med CLI

Resursnamn

Lista Azure-regioner

Sequence

Skapa ett lagringskonto

Skapa ett Azure Storage-konto med CLI

Lista tillgängliga platser med CLI

Skapa en resursgrupp med CLI

Välj en SKU

Skapa ett Media Services-konto med ett tjänsthuvudnamn (hanterad identitet)

Bevilja Media Services-hanterad identitet åtkomst till lagringskontot

Hämta (visa) den hanterade identiteten för Media Services-kontot

Skapa rolltilldelningen Storage Blob-deltagare

Skapa rolltilldelningen Läsare

Använda den hanterade identiteten för att komma åt lagringskontot

Validering

Rensa resurser

Ta bort en resursgrupp med CLI

Få hjälp och support

Ytterligare resurser

Dela via

Självstudie: Få åtkomst till lagring med en hanterad Media Services-identitet

Översikt

Logga in på Azure

Ange prenumeration

Ange Azure-prenumerationen med CLI

Resursnamn

Lista Azure-regioner

Sequence

Skapa ett lagringskonto

Skapa ett Azure Storage-konto med CLI

Lista tillgängliga platser med CLI

Skapa en resursgrupp med CLI

Välj en SKU

Skapa ett Media Services-konto med ett tjänsthuvudnamn (hanterad identitet)

Bevilja Media Services-hanterad identitet åtkomst till lagringskontot

Hämta (visa) den hanterade identiteten för Media Services-kontot

Skapa rolltilldelningen Storage Blob-deltagare

Skapa rolltilldelningen Läsare

Använda den hanterade identiteten för att komma åt lagringskontot

Validering

Rensa resurser

Ta bort en resursgrupp med CLI

Få hjälp och support

Ytterligare resurser