Поделиться через

Хранение учетных данных в Azure Key Vault

  • Статья

ОБЛАСТЬ ПРИМЕНЕНИЯ: Фабрика данных Azure Azure Synapse Analytics

Совет

Попробуйте использовать фабрику данных в Microsoft Fabric, решение для аналитики с одним интерфейсом для предприятий. Microsoft Fabric охватывает все, от перемещения данных до обработки и анализа данных в режиме реального времени, бизнес-аналитики и отчетности. Узнайте, как бесплатно запустить новую пробную версию !

Учетные данные для хранилищ данных и вычислительных ресурсов можно хранить в Azure Key Vault. Фабрика данных Azure извлекает учетные данные при выполнении действия, которое использует хранилище данных или вычислительный ресурс.

Сейчас эта функция поддерживается для всех видов действий, кроме пользовательских действий. Дополнительные сведения о настройке соединителя см. в разделе "Свойства связанной службы" в статьях, посвященных каждому типу соединителей.

Предварительные условия

Эта функция зависит от управляемой системой удостоверений в Data Factory. Узнайте, как использовать управляемое удостоверение для фабрики данных, и убедитесь, что вашей фабрике данных назначено такое удостоверение.

Шаги

Чтобы указать учетные данные, хранимые в Azure Key Vault, необходимо:

  1. Получите управляемое удостоверение фабрики данных, скопировав значение "Идентификатор объекта управляемого удостоверения", который создается одновременно с вашей фабрикой. Если вы используете интерфейс создания ADF, идентификатор объекта управляемого удостоверения будет отображаться в окне создания связанной службы Azure Key Vault; вы также можете получить его на портале Azure, обратитесь к разделу Получение управляемого удостоверения для фабрики данных.
  2. Предоставьте управляемой идентификации доступ к Azure Key Vault. В хранилище ключей — политики доступа —>> добавление политики доступа, выполните поиск по этому управляемому удостоверению, чтобы предоставить разрешения get и list в раскрывающемся списке разрешений секрета. Это позволяет указанному заводу получить доступ к секрету в хранилище ключей.
  3. Создайте связанную службу, указывающую на Azure Key Vault. Дополнительные сведения см. в разделе Связанная служба Azure Key Vault.
  4. Создайте службу, связанную с хранилищем данных. В конфигурации укажите соответствующий секрет, хранящийся в Azure Key Vault. См. ссылку на секрет, хранящийся в Azure Key Vault.

Связанная служба Azure Key Vault

Для связанной службы Azure Key Vault поддерживаются следующие свойства:

Свойство Описание: Обязательное поле
тип Для свойства type необходимо задать значение AzureKeyVault. Да
базовый URL Укажите URL-адрес Azure Key Vault. Да

С помощью интерфейса создания:

Выберите Подключения ->Связанные службы ->Создать. В окне создания связанной службы найдите и выберите Azure Key Vault.

Поиск Azure Key Vault

Выберите подготовленное хранилище ключей Azure, в котором хранятся ваши учетные данные. Вы можете выполнить тестовое подключение, чтобы убедиться, что ваше подключение AKV действительно.

Настройка Azure Key Vault

Пример JSON:

{
    "name": "AzureKeyVaultLinkedService",
    "properties": {
        "type": "AzureKeyVault",
        "typeProperties": {
            "baseUrl": "https://<azureKeyVaultName>.vault.azure.net"
        }
    }
}

Ссылка на секрет, хранящийся в хранилище ключей

Следующие свойства поддерживаются при настройке поля в связанной службе, указывающей секрет хранилища ключей:

Свойство Описание: Обязательное поле
тип Для свойства type поля необходимо задать значение AzureKeyVaultSecret. Да
secretName Имя секрета в Azure Key Vault. Да
секретная версия Версия секрета в Azure Key Vault.
Если не указано, используется последняя версия секрета.
Если указано, то он придерживается указанной версии.		 Нет
магазин Ссылается на связанную службу Azure Key Vault, которая используется для хранения учетных данных. Да

С помощью интерфейса для разработки:

Выберите Azure Key Vault для секретных полей при создании подключения к своему хранилищу данных или вычислительному ресурсу. Выберите подготовленную связанную службу Azure Key Vault и укажите имя секрета. Вы также можете предоставить версию секрета.

Совет

Для соединителей, использующих строку подключения в связанной службе, например, SQL Server, хранилище BLOB-объектов и т. д., можно выбрать хранение в AKV только поля секрета, например пароля, либо всей строки подключения. В пользовательском интерфейсе можно найти оба варианта.

Настройка секрета Azure Key Vault

Пример JSON: (см. раздел "пароль") 

{
    "name": "DynamicsLinkedService",
    "properties": {
        "type": "Dynamics",
        "typeProperties": {
            "deploymentType": "<>",
            "organizationName": "<>",
            "authenticationType": "<>",
            "username": "<>",
            "password": {
                "type": "AzureKeyVaultSecret",
                "secretName": "<secret name in AKV>",
                "store":{
                    "referenceName": "<Azure Key Vault linked service>",
                    "type": "LinkedServiceReference"
                }
            }
        }
    }
}

Связанный контент

В таблице Поддерживаемые хранилища данных приведен список хранилищ данных, которые поддерживаются в качестве источников и приемников для действия копирования в фабрике данных Azure.