Microsoft Purview 数据映射中源身份验证的凭据

重要

以前Azure Purview) (Microsoft Purview 统一目录和经典 Microsoft Purview 数据治理功能即将停用。 Microsoft 正在 Microsoft Fabric 中整合其数据治理功能。 无法再创建新帐户，现有功能将保持维护模式直至 2027 年 11 月 12 日。 有关停用时间表、过渡指南和建议的后续步骤，请参阅 Microsoft Purview 数据治理停用公告。

本文介绍如何在 Microsoft Purview 数据映射中创建凭据。 通过这些已保存的凭证，您可以快速重用已保存的身份验证信息，并将其应用于数据源扫描。

先决条件

简介

凭据是 Microsoft Purview 可用于对注册的数据源进行身份验证的身份验证信息。 可以为各种类型的身份验证方案创建凭据对象，例如需要用户名/密码的基本身份验证。 根据所选的身份验证方法类型，凭据捕获身份验证所需的特定信息。 凭据使用现有密钥保管库机密在凭据创建过程中检索敏感的身份验证信息。

在 Microsoft Purview 中，有一些选项可用作扫描数据源的身份验证方法，例如以下选项。 从每个 数据源文章 了解其支持的身份验证。

在创建任何凭据之前，请考虑数据源类型和网络要求，以确定方案所需的身份验证方法。

使用 Microsoft Purview 系统分配的托管标识设置扫描

如果使用 Microsoft Purview 系统分配的托管标识 (SAMI) 来设置扫描，则无需创建凭据并将密钥保管库链接到 Microsoft Purview 来存储它们。 有关添加 Microsoft Purview SAMI 以有权扫描数据源的详细说明，请参阅以下数据源特定身份验证部分：

向 Microsoft Purview 授予对Azure 密钥保管库的访问权限

若要授予 Microsoft Purview 访问Azure 密钥保管库的权限，需要确认两个事项：

防火墙访问 Azure 密钥保管库

如果你的Azure 密钥保管库已禁用公用网络访问，则有两个选项来允许访问 Microsoft Purview。

受信任的 Microsoft 服务

Microsoft Purview 列为 Azure 密钥保管库 的受信任服务之一，因此，如果在Azure 密钥保管库上禁用了公用网络访问Microsoft则只能启用对受信任的Microsoft服务的访问，并且将包括 Purview。

可以在Azure 密钥保管库的网络选项卡下启用此设置。

在页面底部的“例外”下，启用 “允许受信任的 Microsoft 服务绕过此防火墙 ”功能。

Azure 密钥保管库“网络”页，启用“允许受信任的Microsoft服务绕过此防火墙”功能。

专用终结点连接

若要使用专用终结点连接到 Azure 密钥保管库，请遵循 Azure 密钥保管库 的专用终结点文档。

注意

在托管虚拟网络中使用 Azure 集成运行时扫描数据源时，支持专用终结点连接选项。 对于自承载集成运行时，需要启用 受信任的 Microsoft 服务。

Microsoft对Azure 密钥保管库的 Purview 权限

目前Azure 密钥保管库支持两种权限模型：

在向 Microsoft Purview 系统分配的托管标识 (SAMI) 分配访问权限之前，请首先从菜单中的密钥保管库资源访问策略中确定Azure 密钥保管库权限模型。 根据相关的权限模型执行以下步骤。

Azure 密钥保管库权限模型

选项 1 - 使用密钥保管库访问策略分配访问权限

仅当 Azure 密钥保管库 资源中的权限模型设置为保管库访问策略时，才应执行以下步骤：

  1. 导航到Azure 密钥保管库。

  2. 选择 “访问策略 ”页。

  3. 选择 “添加访问策略”。

    将 Microsoft Purview 托管标识添加到 AKV

  4. 在 “机密权限” 下拉列表中，选择“ 获取 和 列出 权限”。

  5. 对于 “选择主体”，请选择 Microsoft Purview 系统托管标识。 可以使用 Microsoft Purview 实例名称 或 托管标识应用程序 ID 搜索 Microsoft Purview SAMI。 目前不支持 (托管标识名称 + 应用程序 ID) 的复合标识。

    添加访问策略

  6. 选择“添加”。

  7. 选择 “保存” 以保存访问策略。

    保存访问策略

选项 2 - 使用基于角色密钥保管库 Azure访问控制分配访问权限

仅当 Azure 密钥保管库 资源中的权限模型设置为Azure基于角色的访问控制时，才执行以下步骤：

  1. 导航到Azure 密钥保管库。

  2. 从左侧导航菜单中选择 访问控制 (IAM) 。

  3. 选择“+ 添加”。

  4. 将“角色”设置为“密钥保管库机密用户”，然后在“选择输入框”下输入 Microsoft Purview 帐户名称。 然后选择“保存”，将此角色分配分配给 Microsoft Purview 帐户。

    Azure 密钥保管库 RBAC

在 Microsoft Purview 帐户中创建 Azure 密钥保管库连接

在创建凭据之前，请先将一个或多个现有 Azure 密钥保管库 实例与 Microsoft Purview 帐户相关联。

  1. 如果使用的 是经典 Microsoft Purview 门户，请导航到工作室中的 管理中心 ，然后导航到 “凭据”。 如果使用的是新的 Microsoft Purview 门户，请打开 “数据映射”，选择“ 源管理”，然后选择 “凭据”。

  2. 在“凭据”页中，选择“管理密钥保管库连接”。

    管理Azure 密钥保管库连接

  3. 从“管理密钥保管库连接”页中选择“+ 新建”。

  4. 提供所需信息，然后选择 “创建”。

  5. 确认密钥保管库已成功与 Microsoft Purview 帐户关联，如以下示例所示：

    查看要确认的Azure 密钥保管库连接。

创建新凭据

Microsoft Purview 支持以下凭据类型：

  • 基本身份验证：将 密码 作为机密添加到密钥保管库中。
  • 服务主体：将 服务主体密钥 作为机密添加到密钥保管库中。
  • SQL 身份验证：将 密码 作为机密添加到密钥保管库中。
  • Windows 身份验证：将密码作为机密添加到密钥保管库中。
  • 帐户密钥：将 帐户密钥 作为机密添加到密钥保管库中。
  • 角色 ARN：对于 Amazon S3 数据源，请在 AWS 中添加 您的角色 ARN 。
  • 使用者密钥：对于 Salesforce 数据源，可以在密钥保管库中添加 密码 和 使用者密钥 。
  • 用户分配的托管标识 (预览) ：可以添加用户分配的托管标识凭据。 有关详细信息，请参阅下面的 “创建用户分配的托管标识”部分 。

有关详细信息，请参阅将机密添加到密钥保管库和为 Microsoft Purview 创建新的 AWS 角色。

将机密存储在密钥保管库中后：

  1. 在 Azure 订阅级别向用户提供“读取者访问权限”。

  2. 在 Microsoft Purview 中，转到“凭据”页。

  3. 通过选择 + 新建创建新凭据。

  4. 提供所需信息。 选择身份验证方法和要从中选择机密的密钥保管库连接。

  5. 填写完所有详细信息后，选择 “创建”。

  6. 验证新凭据是否显示在列表视图中，并可供使用。

    查看凭据

管理密钥保管库连接

  1. 通过在搜索框中输入名称来搜索密钥保管库连接。

  2. 通过选中密钥保管库名称旁边的复选框，然后选择“删除”，删除一个或多个密钥保管库连接。

管理凭据

  1. 按名称搜索/查找凭据。

  2. 选择并更新现有凭据。

  3. 删除一个或多个凭据。

创建用户分配的托管标识

用户分配的托管标识 (UAMI) 使Azure资源能够使用 Microsoft Entra 身份验证直接向其他资源进行身份验证，而无需管理这些凭据。 它们允许你进行身份验证和分配访问权限，就像使用系统分配的托管标识、Microsoft Entra 用户、Microsoft Entra 组或服务主体一样。 用户分配的托管标识是作为其自己的资源 (创建的，而不是连接到预先存在的资源) 。 有关托管标识的详细信息，请参阅 Azure 资源文档的托管标识。

以下步骤介绍如何创建 UAMI 供 Microsoft Purview 使用。

UAMI 支持的数据源

创建用户分配的托管标识

  1. 在 Azure 门户中，导航到 Microsoft Purview 帐户。

  2. 在左侧菜单的 “托管标识” 部分中，选择“ + 添加 ”按钮以添加用户分配的托管标识。

    显示 Azure 门户中的托管标识屏幕的屏幕截图，其中突出显示了“用户分配”和“添加”。

  3. 完成设置后，在 Azure 门户中返回到 Microsoft Purview 帐户。 如果成功部署托管标识，你将看到 Microsoft Purview 帐户的状态为 “成功”。

    Azure 门户中的 Microsoft Purview 帐户屏幕截图，其中“概述”选项卡和“基本信息”菜单下突出显示“状态”。

  4. 成功部署托管标识后，通过选择“打开 Microsoft Purview 治理门户”导航到经典 Microsoft Purview 治理门户。

  5. 在经典 Microsoft Purview 治理门户中，导航到工作室中的管理中心，然后导航到“凭据”部分。

  6. 通过选择“ +新建”来创建用户分配的托管标识。

  7. 从“ 身份验证方法” 下拉列表中选择“托管标识身份验证方法”，然后从 “用户分配的托管标识 ”下拉列表中进行选择。

    注意

    如果门户在创建用户分配的托管标识期间打开，则需要刷新 Microsoft Purview 门户以加载在 Azure 门户中完成的设置。

  8. 填写完所有信息后，选择 “创建”。

删除用户分配的托管标识

  1. 在 Azure 门户中，导航到 Microsoft Purview 帐户。

  2. 在左侧菜单的 “托管标识 ”部分中，选择要删除的标识。

  3. 选择 “删除 ”按钮。

  4. 成功删除托管标识后，通过选择“打开 Microsoft Purview 治理门户”导航到经典 Microsoft Purview 治理门户。

  5. 导航到工作室中的管理中心，然后导航到“凭据”部分。

  6. 选择要删除的标识，然后选择“ 删除 ”按钮。

注意

如果已在 Azure 门户中删除了用户分配的托管标识，则需要删除原始标识并在 Microsoft Purview 门户中创建新标识。

后续步骤

创建扫描规则集。

  • 上次更新时间为