Configurer le streaming d’événements de modification (aperçu)

Les stratégies d’accès partagé fournissent l’authentification et l’autorisation à Azure Event Hubs. Chaque stratégie d’accès partagé a besoin d’un nom, d’un niveau d’accès (ManageouSendListen) et d’une liaison de ressources (espace de noms Event Hubs ou instance Event Hub spécifique). Les stratégies au niveau de l’instance offrent davantage de sécurité en suivant le principe du privilège minimum. SQL Server 2025 et Azure SQL Database prennent en charge cette méthode. Toutefois, utilisez l’authentification Microsoft Entra dans la mesure du possible avec Azure SQL Database, car elle offre une meilleure sécurité.

Si vous utilisez une stratégie d’accès partagé pour l’authentification et l’autorisation, les clients qui envoient des données à un Hub d’événements Azure doivent fournir le nom de la stratégie à utiliser, ainsi qu’un jeton SAP généré à partir de la stratégie ou de la clé de service de la stratégie.

Les jetons SAP présentent un avantage de sécurité par rapport aux clés de service : si le client est compromis, le jeton SAP n’est valide que jusqu’à son expiration, et le client compromis ne peut pas créer de jetons SAP. En revanche, les clés de service n’expirent pas automatiquement. Un client compromis avec une clé de service peut générer de nouveaux jetons SAP à l’aide de la clé.

Pour configurer la diffusion en continu vers Azure Event Hubs avec le protocole AMQP (protocole Azure Event Hubs natif par défaut), créez ou réutilisez une stratégie d’accès partagé avec l’autorisation d’envoi et générez un jeton SAP. Vous pouvez générer le jeton par programmation avec n’importe quel langage de programmation ou de script. L’exemple de cet article montre comment générer un jeton SAP à partir d’une stratégie nouvelle ou existante à l’aide d’un script PowerShell.

Installer les modules requis

Pour gérer les ressources Azure Event Hubs avec des scripts PowerShell, vous avez besoin des modules suivants :

• Module Az PowerShell
• Module Az.EventHub PowerShell

Le script suivant installe les modules requis :

Install-Module -Name Az -AllowClobber -Scope CurrentUser -Repository PSGallery -Force
Install-Module -Name Az.EventHub -Scope CurrentUser -Force

Si vous disposez déjà des modules requis et que vous souhaitez les mettre à jour vers la dernière version, exécutez le script suivant :

Update-Module -Name Az -Force
Update-Module -Name Az.EventHub -Force

Se connecter à Azure

Vous pouvez utiliser Azure Cloud Shell ou vous connecter et définir votre contexte d’abonnement.

Pour s’exécuter avec Azure Cloud Shell, passez en revue La connexion à Azure.

Définir une stratégie

Pour créer le jeton SAP, vous avez besoin d’une stratégie avec des droits d’envoi . Vous pouvez :

• Créer une stratégie

  ou

• Utiliser une stratégie existante

Créer un jeton SAP pour une stratégie nouvelle ou existante

Lorsque vous créez une stratégie, vérifiez qu’elle dispose du droit d’envoi . Si vous utilisez une stratégie existante, vérifiez qu’elle a le droit Envoyer.

Le script suivant crée une stratégie ou obtient une stratégie existante, puis génère un jeton SAP complet dans un format d’en-tête d’autorisation HTTP.

Remplacez les valeurs entre crochets (<value>) par des valeurs pour votre environnement.

function Generate-SasToken {
$subscriptionId = "<Azure-Subscription-ID>"
$resourceGroupName = "<Resource-group-name>"
$namespaceName = "<Azure-Event-Hub-Namespace-name>"
$eventHubName = "<Azure-Event-Hubs-instance-name>"
$policyName = "<Policy-name>"
$tokenExpireInDays = "<number-of-days-token-will-be-valid>"

# Modifying the rest of the script is not necessary.

# Login to Azure and set Azure Subscription.
Connect-AzAccount

# Get current context and check subscription
$currentContext = Get-AzContext
if ($currentContext.Subscription.Id -ne $subscriptionId) {
    Write-Host "Current subscription is $($currentContext.Subscription.Id), switching to $subscriptionId..."
    Set-AzContext -SubscriptionId $subscriptionId | Out-Null
} else {
    Write-Host "Already using subscription $subscriptionId."
}

# Try to get the authorization policy (it should have Send rights)
$rights = @("Send")
$policy = Get-AzEventHubAuthorizationRule -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName -ErrorAction SilentlyContinue

# If the policy does not exist, create it
if (-not $policy) {
    Write-Output "Policy '$policyName' does not exist. Creating it now..."

    # Create a new policy with the Manage, Send and Listen rights
    $policy = New-AzEventHubAuthorizationRule -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName -Rights $rights
    if (-not $policy) {
        throw "Error. Policy was not created."
    }
    Write-Output "Policy '$policyName' created successfully."
} else {
    Write-Output "Policy '$policyName' already exists."
}

if ("Send" -in $policy.Rights) {
    Write-Host "Authorization rule has required right: Send."
} else {
    throw "Authorization rule is missing Send right."
}

$keys = Get-AzEventHubKey -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName

if (-not $keys) {
    throw "Could not obtain Azure Event Hub Key. Script failed and will end now."
}
if (-not $keys.PrimaryKey) {
    throw "Could not obtain Primary Key. Script failed and will end now."
}

# Get the Primary Key of the Shared Access Policy
$primaryKey = ($keys.PrimaryKey)
Write-Host $primaryKey

## Check that the primary key is not empty.

# Define a function to create a SAS token (similar to the C# code provided)
function Create-SasToken {
    param (
        [string]$resourceUri, [string]$keyName, [string]$key
    )

$sinceEpoch = [datetime]::UtcNow - [datetime]"1970-01-01"
    $expiry = [int]$sinceEpoch.TotalSeconds + ((60 * 60 * 24) * [int]$tokenExpireInDays) # seconds since Unix epoch
    $stringToSign = [System.Web.HttpUtility]::UrlEncode($resourceUri) + "`n" + $expiry
    $hmac = New-Object System.Security.Cryptography.HMACSHA256
    $hmac.Key = [Text.Encoding]::UTF8.GetBytes($key)
    $signature = [Convert]::ToBase64String($hmac.ComputeHash([Text.Encoding]::UTF8.GetBytes($stringToSign)))
    $sasToken = "SharedAccessSignature sr=$([System.Web.HttpUtility]::UrlEncode($resourceUri))&sig=$([System.Web.HttpUtility]::UrlEncode($signature))&se=$expiry&skn=$keyName"
    return $sasToken
}

# Construct the resource URI for the SAS token
$resourceUri = "https://$namespaceName.servicebus.windows.net/$eventHubName"

# Generate the SAS token using the primary key from the new policy
$sasToken = Create-SasToken -resourceUri $resourceUri -keyName $policyName -key $primaryKey

# Output the SAS token
Write-Output @"
-- Generated SAS Token --
$sasToken
-- End of generated SAS Token --
"@
}

Generate-SasToken

La sortie de la commande précédente doit ressembler au texte suivant :

-- Generated SAS Token --
SharedAccessSignature sr=https%3a%2f%YourEventHubNamespace.servicebus.windows.net%2fYourEventHub&sig=xxxxxxxxxxxxxxxxxxxxxxx&se=2059133074&skn=SharedKeyNameIsHERE
-- End of generated SAS Token --

Copiez l’intégralité de la valeur du jeton SAP (la ligne qui commence par SharedAccessSignature) pour l’utiliser ultérieurement lorsque vous configurez CES, comme l’exemple suivant :

SharedAccessSignature sr=https%3a%2f%YourEventHubNamespace.servicebus.windows.net%2fYourEventHub&sig=xxxxxxxxxxxxxxxxxxxxxxx&se=2059133074&skn=SharedKeyNameIsHERE

Utilisez les identités managées Microsoft Entra pour contrôler l’accès à Azure Event Hubs. Il s’agit du moyen le plus simple et le plus sécurisé d’accorder l’accès à Azure Event Hubs. Actuellement, seule Azure SQL Database prend en charge l’authentification Microsoft Entra pour CES.

Pour autoriser l’accès en écriture de l’identité managée Azure SQL Database au hub d’événements, procédez comme suit :

1. Configurez une identité managée pour votre serveur logique Azure SQL Database, si ce n’est déjà fait.
2. Ajoutez l’attribution Azure Event Hubs Data Sender de rôle à l’identité managée de votre serveur logique pour votre instance Azure Event Hub. Vous pouvez le faire par programmation avec n’importe quel langage de programmation ou de script, ou dans la page Contrôle d’accès (IAM) de votre instance Azure Event Hub dans le portail Azure.

Pour suivre le principe du privilège minimum, accordez l’accès à l’instance Event Hubs spécifique qui reçoit les événements de modification. L’octroi d’un accès en écriture à l’ensemble de l’espace de noms Event Hubs est techniquement autorisé, mais il n’est pas recommandé, car il s’applique à n’importe quelle instance Event Hubs dans l’espace de noms.

L’exemple de cette section utilise un jeton SAP pour s’authentifier auprès de votre instance Azure Event Hubs via le protocole AMQP. Si l’authentification Microsoft Entra n’est pas disponible, utilisez un jeton SAP au lieu d’une valeur de clé de service pour améliorer la sécurité.

Remplacez les valeurs entre crochets (<value>) par des valeurs pour votre environnement.

USE <database name>;

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>';

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
    SECRET = '<Generated SAS Token>' -- Be sure to copy the entire token. The SAS token starts with "SharedAccessSignature sr="

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PartitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

L’exemple de cette section utilise l’authentification Microsoft Entra pour s’authentifier auprès de votre instance Azure Event Hubs via le protocole AMQP. Cette méthode est la plus sécurisée, mais n’est actuellement prise en charge que par Azure SQL Database pour CES.

Remplacez les valeurs entre crochets (<value>) par des valeurs pour votre environnement.

USE <database name>;

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>';

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'Managed Identity'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PartitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

L’exemple de cette section utilise une valeur de clé de stratégie d’accès partagé pour s’authentifier auprès de votre instance Azure Event Hubs via le protocole AMQP. Si l’authentification Microsoft Entra n’est pas disponible, utilisez un jeton SAP au lieu d’une valeur de clé de service pour améliorer la sécurité.

Remplacez les valeurs entre crochets (<value>) par des valeurs pour votre environnement.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = '<Azure Event Hubs SAS Policy name>',
    SECRET = '<Primary or Secondary key value>'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

L’exemple de cette section utilise un jeton SAP pour s’authentifier auprès de votre instance Azure Event Hubs via le protocole Apache Kafka. Si l’authentification Microsoft Entra n’est pas disponible, utilisez un jeton SAP au lieu d’une valeur de clé de service pour améliorer la sécurité.

Remplacez les valeurs entre crochets (<value>) par des valeurs pour votre environnement.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
    SECRET = '<Event Hubs Namespace – Primary or Secondary connection string>'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

L’exemple de cette section utilise l’authentification Microsoft Entra pour s’authentifier auprès de votre instance Azure Event Hubs via le protocole Apache Kafka. Cette méthode est la plus sécurisée, mais n’est actuellement prise en charge que par Azure SQL Database pour CES.

Remplacez les valeurs entre crochets (<value>) par des valeurs pour votre environnement.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'Managed Identity'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

L’exemple de cette section utilise une valeur de clé de stratégie d’accès partagé pour s’authentifier auprès de votre instance Azure Event Hubs via le protocole Apache Kafka. Si l’authentification Microsoft Entra n’est pas disponible, utilisez un jeton SAP au lieu d’une valeur de clé de service pour améliorer la sécurité.

Remplacez les valeurs entre crochets (<value>) par des valeurs pour votre environnement.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = '<Azure Event Hubs SAS Policy name>',
    SECRET = '<Primary or Secondary key value>' -- BVFnT3baC/K6I8xNZzio4AeoFt6nHeK0i+ZErNGsxiw=

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',  -- myStreamGroup
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,       -- 1024
    @partition_key_scheme =   N'<PatitionKeyScheme>'  -- N'None'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>' -- dbo.myTable