Configurar identidades gerenciadas para o cluster do Azure Data Explorer

Adicionar uma identidade atribuída pelo sistema usando o portal do Azure

Entre no portal do Azure.

Novo cluster do Azure Data Explorer

1. Criar um cluster do Azure Data Explorer

2. Na guia Segurança , em Identidade atribuída pelo sistema, selecione Ativar. Para remover a identidade atribuída pelo sistema, selecione Desligar.

3. Selecione Avançar: Marcas> ou Examinar + criar para criar o cluster.

   

Cluster existente do Azure Data Explorer

1. Abra o cluster existente do Azure Data Explorer.

2. Selecione Configurações>Identidade no painel esquerdo do portal.

3. No painel Identidade , na guia Sistema atribuído :

   1. Mova o controle deslizante Status para Ligar.
   2. Clique em Salvar.
   3. Na janela pop-up, selecione Sim.

   

4. Após alguns minutos, a tela mostra:

   • ID do objeto – Usada para chaves gerenciadas pelo cliente
   • Permissões – Selecione as atribuição de função relevantes

   

Adicionar uma identidade atribuída pelo sistema usando C#

Pré-requisitos

Para configurar uma identidade gerenciada usando o cliente C# do Azure Data Explorer:

• Instale o pacote NuGet do Azure Data Explorer.
• Instale o pacote NuGet Azure.Identity para autenticação.
• Crie um aplicativo e uma entidade de serviço do Microsoft Entra que possam acessar recursos. Você pode adicionar a atribuição de função no escopo da assinatura e obter Directory (tenant) ID, Application ID e Client Secret necessários.

Crie ou atualize o cluster

1. Crie ou atualize seu cluster usando a Identity propriedade:

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Application ID
   var clientSecret = "PlaceholderClientSecret"; //Client Secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   var credentials = new ClientSecretCredential(tenantId, clientId, clientSecret);
   var resourceManagementClient = new ArmClient(credentials, subscriptionId);
   var resourceGroupName = "testrg";
   var subscription = await resourceManagementClient.GetDefaultSubscriptionAsync();
   var resourceGroup = (await subscription.GetResourceGroupAsync(resourceGroupName)).Value;
   var clusters = resourceGroup.GetKustoClusters();
   var clusterName = "mykustocluster";
   var clusterData = new KustoClusterData(
       location: AzureLocation.CentralUS,
       sku: new KustoSku(KustoSkuName.StandardE8adsV5, KustoSkuTier.Standard) { Capacity = 5 }
   ) { Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.SystemAssigned) };
   await clusters.CreateOrUpdateAsync(WaitUntil.Completed, clusterName, clusterData);
   

2. Execute o seguinte comando para verificar se você criou ou atualizou o cluster com êxito com uma identidade:

   clusterData = (await clusters.GetAsync(clusterName)).Value.Data;
   

   Se o resultado contiver ProvisioningState com o valor Succeeded, então o cluster foi criado ou atualizado e terá as seguintes propriedades:

   var principalGuid = clusterData.Identity.PrincipalId.GetValueOrDefault();
   var tenantGuid = clusterData.Identity.TenantId.GetValueOrDefault();
   

   PrincipalId e TenantId são substituídos por GUIDs. A TenantId propriedade identifica o locatário do Microsoft Entra ao qual a identidade pertence. PrincipalId é um identificador exclusivo para a nova identidade do cluster. No Microsoft Entra ID, a entidade de serviço tem o mesmo nome dado à sua instância do Serviço de Aplicativo ou do Azure Functions.

Adicionar uma identidade atribuída pelo sistema usando um modelo do Azure Resource Manager

Você pode usar um modelo do Azure Resource Manager para automatizar a implantação de seus recursos do Azure. Para saber mais sobre a implantação no Azure Data Explorer, consulte Criar um cluster Azure Data Explorer e um banco de dados usando um modelo Azure Resource Manager.

Ao adicionar o tipo atribuído pelo sistema, você diz ao Azure para criar e gerenciar a identidade do cluster. Você pode criar qualquer recurso do tipo Microsoft.Kusto/clusters com uma identidade, incluindo a seguinte propriedade na definição de recurso:

{
   "identity": {
      "type": "SystemAssigned"
   }
}

Por exemplo:

{
   "identity": {
      "type": "SystemAssigned",
      "tenantId": "<TENANTID>",
      "principalId": "<PRINCIPALID>"
   }
}

Quando você cria o cluster, ele tem as seguintes propriedades adicionais:

{
    "identity": {
        "type": "SystemAssigned",
        "tenantId": "<TENANTID>",
        "principalId": "<PRINCIPALID>"
    }
}

<TENANTID> e <PRINCIPALID> são substituídos por GUIDs. A TenantId propriedade identifica o locatário do Microsoft Entra ao qual a identidade pertence. PrincipalId é um identificador exclusivo para a nova identidade do cluster. No Microsoft Entra ID, a entidade de serviço tem o mesmo nome dado à sua instância do Serviço de Aplicativo ou do Azure Functions.

Remover uma identidade atribuída pelo sistema usando o portal do Azure

1. Entre no portal do Azure.

2. Selecione Configurações> e Identidade no painel esquerdo do portal.

3. No painel Identidade , na guia Sistema atribuído :

   1. Mova o controle deslizante Status para Desligado.
   2. Clique em Salvar.
   3. Na janela pop-up, selecione Sim para desativar a identidade atribuída pelo sistema. O painel Identidade é revertido para a mesma condição que antes da adição da identidade atribuída pelo sistema.

   

Remover uma identidade atribuída pelo sistema usando C#

Execute o seguinte código para remover a identidade atribuída pelo sistema:

var cluster = (await clusters.GetAsync(clusterName)).Value;
var clusterPatch = new KustoClusterPatch(clusterData.Location)
{
    Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.None)
};
await cluster.UpdateAsync(WaitUntil.Completed, clusterPatch);

Remover uma identidade atribuída pelo sistema usando um modelo do Azure Resource Manager

Execute o seguinte código para remover a identidade atribuída pelo sistema:

{
   "identity": {
      "type": "None"
   }
}

Adicionar uma identidade atribuída pelo usuário usando o portal do Azure

1. Entre no portal do Azure.

2. Criar um recurso de identidade gerenciada atribuída pelo usuário.

3. Abra o cluster existente do Azure Data Explorer.

4. Selecione Configurações>Identidade no painel esquerdo do portal.

5. Na guia Usuário atribuído, selecione Adicionar.

6. Procure a identidade que você criou anteriormente e selecione-a. Selecione Adicionar.

   

Adicionar identidade atribuída pelo usuário usando C#

Pré-requisitos

Para configurar uma identidade gerenciada usando o cliente C# do Azure Data Explorer:

• Instale o pacote NuGet do Azure Data Explorer.
• Instale o pacote NuGet Azure.Identity para autenticação.
• Crie um aplicativo e uma entidade de serviço do Microsoft Entra que possam acessar recursos. Você pode adicionar a atribuição de função no escopo da assinatura e obter Directory (tenant) ID, Application ID e Client Secret necessários.

Crie ou atualize o cluster

1. Crie ou atualize seu cluster usando a Identity propriedade:

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Application ID
   var clientSecret = "PlaceholderClientSecret"; //Client Secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   var credentials = new ClientSecretCredential(tenantId, clientId, clientSecret);
   var resourceManagementClient = new ArmClient(credentials, subscriptionId);
   var resourceGroupName = "testrg";
   var subscription = await resourceManagementClient.GetDefaultSubscriptionAsync();
   var resourceGroup = (await subscription.GetResourceGroupAsync(resourceGroupName)).Value;
   var clusters = resourceGroup.GetKustoClusters();
   var clusterName = "mykustocluster";
   var userIdentityResourceId = new ResourceIdentifier($"/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identityName>");
   var clusterData = new KustoClusterData(
       location: AzureLocation.CentralUS,
       sku: new KustoSku(KustoSkuName.StandardE8adsV5, KustoSkuTier.Standard) { Capacity = 5 }
   )
   {
       Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.UserAssigned)
       {
           UserAssignedIdentities = { { userIdentityResourceId, new UserAssignedIdentity() } }
       }
   };
   await clusters.CreateOrUpdateAsync(WaitUntil.Completed, clusterName, clusterData);
   

2. Execute o seguinte comando para verificar se você criou ou atualizou o cluster com êxito com uma identidade:

   clusterData = (await clusters.GetAsync(clusterName)).Value.Data;
   

   Se o resultado contiver ProvisioningState com o valor Succeeded, então o cluster foi criado ou atualizado e possui as seguintes propriedades:

   var userIdentity = clusterData.Identity.UserAssignedIdentities[userIdentityResourceId];
   var principalGuid = userIdentity.PrincipalId.GetValueOrDefault();
   var clientGuid = userIdentity.ClientId.GetValueOrDefault();
   

   PrincipalId é um identificador exclusivo para a identidade que a administração do Microsoft Entra usa. O ClientId é um identificador exclusivo para a nova identidade do aplicativo que é usada para especificar qual identidade usar durante as chamadas do runtime.

Adicionar uma identidade atribuída pelo usuário usando um modelo do Azure Resource Manager

Você pode usar um modelo do Azure Resource Manager para automatizar a implantação de seus recursos do Azure. Para saber mais sobre a implantação no Azure Data Explorer, consulte Criar um cluster Azure Data Explorer e um banco de dados usando um modelo Azure Resource Manager.

Você pode criar qualquer recurso do tipo Microsoft.Kusto/clusters com uma identidade atribuída pelo usuário, incluindo a propriedade a seguir na definição de recurso. Substitua <RESOURCEID> pelo identificador de recurso da identidade desejada.

{
   "identity": {
      "type": "UserAssigned",
      "userAssignedIdentities": {
         "<RESOURCEID>": {}
      }
   }
}

Por exemplo:

{
    "apiVersion": "2019-09-07",
    "type": "Microsoft.Kusto/clusters",
    "name": "[variables('clusterName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "dependsOn": [
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

Quando você cria o cluster, ele tem as seguintes propriedades adicionais:

{
   "identity": {
      "type": "UserAssigned",
      "userAssignedIdentities": {
         "<RESOURCEID>": {
            "principalId": "<PRINCIPALID>",
            "clientId": "<CLIENTID>"
         }
      }
   }
}

O PrincipalId é um identificador exclusivo para a identidade que a administração do Microsoft Entra usa. O ClientId é um identificador exclusivo para a nova identidade do aplicativo que é usada para especificar qual identidade usar durante as chamadas do runtime.

Remover uma identidade gerenciada atribuída pelo usuário usando o portal do Azure

1. Entre no portal do Azure.

2. Selecione Configurações>Identidade no painel esquerdo do portal.

3. Selecionar a guia Atribuído pelo usuário.

4. Procure a identidade que você criou anteriormente e selecione-a. Selecione Remover.

   

5. Na janela pop-up, selecione Sim para remover a identidade atribuída pelo usuário. O painel Identidade é revertido para a mesma condição que antes da adição da identidade atribuída pelo usuário.

Remover uma identidade atribuída pelo usuário usando C#

Execute o seguinte código para remover a identidade atribuída pelo usuário:

var cluster = (await clusters.GetAsync(clusterName)).Value;
var clusterUpdate = new KustoClusterPatch(clusterData.Location)
{
    Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.UserAssigned)
    {
        UserAssignedIdentities = { { userIdentityResourceId, null } }
    }
};
await cluster.UpdateAsync(WaitUntil.Completed, clusterUpdate);

Remover uma identidade atribuída pelo usuário usando um modelo do Azure Resource Manager

Execute o seguinte código para remover a identidade atribuída pelo usuário:

{
   "identity": {
      "type": "UserAssigned",
      "userAssignedIdentities": {
         "<RESOURCEID>": null
      }
   }
}