Хранение учетных данных в Azure Key Vault

ПРИМЕНИМО К: Azure Data Factory Azure Synapse Analytics

Учетные данные для хранилищ данных и вычислений можно хранить в Azure Key Vault. Azure Data Factory извлекает учетные данные при выполнении действия, использующего хранилище данных или вычисление.

Сейчас эта функция поддерживается для всех видов действий, кроме пользовательских действий. Дополнительные сведения о настройке соединителя см. в разделе "Свойства связанной службы" в статьях, посвященных каждому типу соединителей.

Предварительные условия

Эта функция зависит от управляемой системой удостоверений в Data Factory. Узнайте, как использовать управляемое удостоверение для фабрики данных, и убедитесь, что вашей фабрике данных назначено такое удостоверение.

Шаги

Чтобы ссылаться на учетные данные, хранящиеся в Azure Key Vault, необходимо:

1. Получите управляемое удостоверение фабрики данных, скопировав значение "Идентификатор объекта управляемого удостоверения", который создается одновременно с вашей фабрикой. Если вы используете интерфейс ADF, идентификатор объекта управляемого удостоверения будет отображаться в окне создания связанной службы Azure Key Vault; его также можно получить на портале Azure, см. статью Получение управляемого удостоверения фабрики данных.
2. Предоставьте управляемому удостоверению доступ к Azure Key Vault. Вы можете использовать политики доступа или разрешения управления доступом:
   1. Политика доступа - В хранилище ключей выберите Политики доступа ->Добавить политику доступа -> найдите управляемое удостоверение Azure Data Factory и предоставьте разрешения Get и List в раскрывающемся списке разрешений секретов.
   2. Управление доступом, в хранилище ключей выберите Управление доступом (IAM) ->+ Добавить ->Добавить назначение роли. Выберите пользователя Key Vault Secrets, а затем выберите Далее. В разделе Members выберите Managed identity затем Select members и выполните поиск управляемого удостоверения Azure Data Factory. Затем нажмите кнопку "Проверить и назначить".
3. Создайте связанную службу, указывающую на Azure Key Vault. Обратитесь к связанной службе Azure Key Vault.
4. Создайте службу, связанную с хранилищем данных. В своей конфигурации укажите на соответствующий секрет, хранящийся в Azure Key Vault. Ознакомьтесь с Reference секретом, хранящимся в Azure Key Vault.

связанная служба Azure Key Vault

Следующие свойства поддерживаются для связанной службы Azure Key Vault:

С помощью интерфейса создания:

Выберите Подключения ->Связанные службы ->Создать. В новой связанной службе найдите и выберите "Azure Key Vault":

Выберите подготовленный Azure Key Vault, где хранятся ваши учетные данные. Вы можете выполнить тестовое подключение, чтобы убедиться, что ваше подключение AKV действительно.

Пример JSON:

{
    "name": "AzureKeyVaultLinkedService",
    "properties": {
        "type": "AzureKeyVault",
        "typeProperties": {
            "baseUrl": "https://<azureKeyVaultName>.vault.azure.net"
        }
    }
}

Ссылка на секрет, хранящийся в хранилище ключей

Следующие свойства поддерживаются при настройке поля в связанной службе, указывающей секрет хранилища ключей:

С помощью интерфейса создания:

Выберите Azure Key Vault для полей секретов при создании подключения к хранилищу данных или вычислению. Выберите подготовленную связанную службу Azure Key Vault и укажите имя секретного ключа. Вы также можете предоставить версию секрета.

Пример JSON: (см. раздел "пароль")

{
    "name": "DynamicsLinkedService",
    "properties": {
        "type": "Dynamics",
        "typeProperties": {
            "deploymentType": "<>",
            "organizationName": "<>",
            "authenticationType": "<>",
            "username": "<>",
            "password": {
                "type": "AzureKeyVaultSecret",
                "secretName": "<secret name in AKV>",
                "store":{
                    "referenceName": "<Azure Key Vault linked service>",
                    "type": "LinkedServiceReference"
                }
            }
        }
    }
}

Связанный контент

Список хранилищ данных, поддерживаемых как источники и приемники действия копирования в Azure Data Factory, см. в разделе поддерживаемые хранилища данных.