Ссылки на субъекты безопасности

Переключение служб с помощью раскрывающегося списка версий . Дополнительные сведения о навигации.
Область применения: ✅ Microsoft Fabric ✅ Azure Data Explorer

Модель авторизации позволяет использовать удостоверения пользователей и приложений Microsoft Entra и учетные записи Майкрософт (MSAs) в качестве субъектов безопасности. В этой статье представлен обзор поддерживаемых типов субъектов для идентификатора Microsoft Entra и MSAs, а также показано, как правильно ссылаться на эти субъекты при назначении ролей безопасности с помощью команд управления.

Microsoft Entra ID

Рекомендуемый способ доступа к вашей среде — проверка подлинности в службе Microsoft Entra. Идентификатор Microsoft Entra — это поставщик удостоверений, способный выполнять проверку подлинности субъектов безопасности и координировать работу с другими поставщиками удостоверений, такими как Microsoft Active Directory.

Идентификатор Microsoft Entra поддерживает следующие сценарии проверки подлинности:

  • Проверка подлинности пользователей (интерактивный вход): используется для проверки подлинности субъектов-пользователей.
  • Проверка подлинности приложений (неинтерактивный вход): используется для проверки подлинности служб и приложений, которые должны выполнять или проходить проверку подлинности без взаимодействия с пользователем.

Примечание.

  • Идентификатор Microsoft Entra не разрешает проверку подлинности учетных записей служб, которые являются локальными сущностями AD. Эквивалент Microsoft Entra учетной записи службы AD — это приложение Microsoft Entra.
  • Поддерживаются только субъекты группы безопасности (SG), а не субъекты группы рассылки (DG). Попытка настроить доступ для DG приведет к ошибке.

Ссылка на субъекты и группы Microsoft Entra

Синтаксис ссылки на пользователей и групп приложений Microsoft Entra описан в следующей таблице.

Если вы используете имя участника-пользователя для ссылки на участника-пользователя, и попытка вывести клиент из доменного имени и попытаться найти участника. Если субъект не найден, явно укажите идентификатор клиента или имя в дополнение к имени участника-пользователя или идентификатору объекта.

Аналогичным образом можно ссылаться на группу безопасности с адресом электронной почты группы в формате имени участника-пользователя и предпринять попытку вывода клиента из доменного имени. Если группа не найдена, явно укажите идентификатор клиента или имя в дополнение к отображаемого имени группы или идентификатору объекта.

Тип сущности Клиент Microsoft Entra Синтаксис
User Неявный aaduser = Имя участника-участника
User Явный (идентификатор) aaduser = Имя участника-участника;TenantId
or
aaduser = ObjectID; TenantId
User Явное (имя) aaduser = Имя участника-участника;TenantName
or
aaduser = ObjectID; TenantName
Групповой Неявный aadgroup = GroupEmailAddress
Групповой Явный (идентификатор) aadgroup = GroupDisplayName; TenantId
or
aadgroup = GroupObjectId; TenantId
Групповой Явное (имя) aadgroup = GroupDisplayName; TenantName
or
aadgroup = GroupObjectId; TenantName
Приложение Явный (идентификатор) aadapp = ApplicationDisplayName; TenantId
or
aadapp = ApplicationId; TenantId
Приложение Явное (имя) aadapp = ApplicationDisplayName; TenantName
or
aadapp = ApplicationId; TenantName

Примечание.

Используйте формат App для ссылки на управляемые удостоверения, в которых ApplicationId является идентификатором объекта управляемого удостоверения или идентификатором клиента управляемого удостоверения (приложения).

Примеры

В следующем примере имя участника-пользователя используется для определения участника-пользователя роли пользователя в Test базе данных. Сведения о клиенте не указаны, поэтому кластер попытается разрешить клиент Microsoft Entra с помощью имени участника-пользователя.

.add database Test users ('aaduser=imikeoein@fabrikam.com') 'Test user (AAD)'

В следующем примере используется имя группы и имя клиента для назначения группе роли пользователя в Test базе данных.

.add database Test users ('aadgroup=SGDisplayName;fabrikam.com') 'Test group @fabrikam.com (AAD)'

В следующем примере используется идентификатор приложения и имя клиента для назначения роли пользователя в Test базе данных.

.add database Test users ('aadapp=4c7e82bd-6adb-46c3-b413-fdd44834c69b;fabrikam.com') 'Test app @fabrikam.com (AAD)'

Учетные записи Майкрософт (MSA)

Проверка подлинности пользователей для учетных записей Майкрософт (MSAs) поддерживается. MsAs — это все учетные записи пользователей, управляемых корпорацией Майкрософт, не являющихся организацией. Например hotmail.com, live.com, outlook.com.

Ссылка на субъекты MSA

IdP Тип Синтаксис
Live.com User msauser= Имя участника-участника

Пример

В следующем примере пользователь MSA назначает роль пользователя в Test базе данных.

.add database Test users ('msauser=abbiatkins@live.com') 'Test user (live.com)'

Управление политиками секционирования данных для таблиц

  • Last updated on