Configurar identidades gerenciadas para seu cluster do Azure Data Explorer

Adicionar uma identidade atribuída ao sistema usando o portal do Azure

Inicie sessão no portal Azure.

Novo cluster do Azure Data Explorer

1. Criar um cluster do Azure Data Explorer

2. Na guia Segurança , em Identidade atribuída ao sistema, selecione Ativado. Para remover a identidade atribuída ao sistema, selecione Desativado.

3. Selecione Next : Tags > ou Review + create para criar o cluster.

   

Cluster existente do Azure Data Explorer

1. Abra um cluster existente do Azure Data Explorer.

2. Selecione Configurações>de identidade no painel esquerdo do portal.

3. No painel Identidade , na guia Sistema atribuído :

   1. Mova o controle deslizante Status para Ativado.
   2. Selecione Guardar.
   3. Na janela pop-up, selecione Sim.

   

4. Após alguns minutos, a tela mostra:

   • ID do objeto - Usado para chaves gerenciadas pelo cliente
   • Permissões - Selecione atribuições de função relevantes

   

Adicionar uma identidade atribuída ao sistema usando C#

Pré-requisitos

Para configurar uma identidade gerenciada usando o cliente C# do Azure Data Explorer:

• Instale o pacote NuGet do Azure Data Explorer.
• Instale o pacote NuGet do Azure.Identity para autenticação.
• Crie uma aplicação Microsoft Entra e entidade de serviço que possa acessar recursos. Você adiciona a atribuição de função no escopo da assinatura e obtém os necessários Directory (tenant) ID, Application ID e Client Secret.

Criar ou atualizar o cluster

1. Crie ou atualize seu cluster usando a Identity propriedade:

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Application ID
   var clientSecret = "PlaceholderClientSecret"; //Client Secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   var credentials = new ClientSecretCredential(tenantId, clientId, clientSecret);
   var resourceManagementClient = new ArmClient(credentials, subscriptionId);
   var resourceGroupName = "testrg";
   var subscription = await resourceManagementClient.GetDefaultSubscriptionAsync();
   var resourceGroup = (await subscription.GetResourceGroupAsync(resourceGroupName)).Value;
   var clusters = resourceGroup.GetKustoClusters();
   var clusterName = "mykustocluster";
   var clusterData = new KustoClusterData(
       location: AzureLocation.CentralUS,
       sku: new KustoSku(KustoSkuName.StandardE8adsV5, KustoSkuTier.Standard) { Capacity = 5 }
   ) { Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.SystemAssigned) };
   await clusters.CreateOrUpdateAsync(WaitUntil.Completed, clusterName, clusterData);
   

2. Execute o seguinte comando para verificar se você criou ou atualizou com êxito seu cluster com uma identidade:

   clusterData = (await clusters.GetAsync(clusterName)).Value.Data;
   

   Se o resultado contiver ProvisioningState com o valor Succeeded, então o cluster foi criado ou atualizado e tem as seguintes propriedades:

   var principalGuid = clusterData.Identity.PrincipalId.GetValueOrDefault();
   var tenantGuid = clusterData.Identity.TenantId.GetValueOrDefault();
   

   PrincipalId e TenantId são substituídos por GUIDs. A propriedade TenantId identifica o inquilino do Microsoft Entra ao qual a identidade pertence. O PrincipalId é um identificador exclusivo para a nova identidade do cluster. Na Microsoft Entra ID, o principal de serviço tem o mesmo nome que foi atribuído à sua instância do Serviço de Aplicativos ou do Azure Functions.

Adicionar uma identidade atribuída ao sistema usando um modelo do Azure Resource Manager

Você pode usar um modelo do Azure Resource Manager para automatizar a implantação de seus recursos do Azure. Para saber mais sobre como implantar no Azure Data Explorer, consulte Criar um cluster e banco de dados do Azure Data Explorer usando um modelo do Azure Resource Manager.

Ao adicionar o tipo atribuído pelo sistema, o utilizador instrui o Azure a criar e gerir a identidade para o seu cluster. Você pode criar qualquer recurso do tipo Microsoft.Kusto/clusters com uma identidade incluindo a seguinte propriedade na definição de recurso:

{
   "identity": {
      "type": "SystemAssigned"
   }
}

Por exemplo:

{
   "identity": {
      "type": "SystemAssigned",
      "tenantId": "<TENANTID>",
      "principalId": "<PRINCIPALID>"
   }
}

Quando você cria o cluster, ele tem as seguintes propriedades adicionais:

{
    "identity": {
        "type": "SystemAssigned",
        "tenantId": "<TENANTID>",
        "principalId": "<PRINCIPALID>"
    }
}

<TENANTID> e <PRINCIPALID> são substituídos por GUIDs. A TenantId propriedade identifica o inquilino do Microsoft Entra ao qual a identidade pertence. O PrincipalId é um identificador exclusivo para a nova identidade do cluster. No Microsoft Entra ID, a entidade de serviço tem o mesmo nome que você deu à sua instância do App Service ou do Azure Functions.

Remover uma identidade atribuída pelo sistema usando o portal do Azure

1. Inicie sessão no portal Azure.

2. Selecione Configurações>de identidade no painel esquerdo do portal.

3. No painel Identidade , na guia Sistema atribuído :

   1. Mova o controle deslizante Status para Desativado.
   2. Selecione Guardar.
   3. Na janela pop-up, selecione Sim para desativar a identidade atribuída pelo sistema. O painel Identidade reverte para a mesma condição que antes da adição da identidade atribuída pelo sistema.

   

Remover uma identidade atribuída pelo sistema usando C#

Execute o seguinte código para remover a identidade atribuída ao sistema:

var cluster = (await clusters.GetAsync(clusterName)).Value;
var clusterPatch = new KustoClusterPatch(clusterData.Location)
{
    Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.None)
};
await cluster.UpdateAsync(WaitUntil.Completed, clusterPatch);

Remover uma identidade atribuída ao sistema usando um modelo do Azure Resource Manager

Execute o seguinte código para remover a identidade atribuída ao sistema:

{
   "identity": {
      "type": "None"
   }
}

Adicionar uma identidade atribuída pelo usuário usando o portal do Azure

1. Inicie sessão no portal Azure.

2. Crie um recurso de identidade gerenciado atribuído pelo usuário.

3. Abra um cluster existente do Azure Data Explorer.

4. Selecione Configurações>de identidade no painel esquerdo do portal.

5. Na guia Usuário atribuído , selecione Adicionar.

6. Procure a identidade que criou anteriormente e selecione-a. Selecione Adicionar.

   

Adicionar uma identidade atribuída pelo usuário usando C#

Pré-requisitos

Para configurar uma identidade gerenciada usando o cliente C# do Azure Data Explorer:

• Instale o pacote NuGet do Azure Data Explorer.
• Instale o pacote NuGet do Azure.Identity para autenticação.
• Crie um aplicativo Microsoft Entra e uma entidade de serviço que possa acessar recursos. Você adiciona a atribuição de função no escopo da assinatura e obtém os requisitos Directory (tenant) ID, Application ID, e Client Secret.

Criar ou atualizar o cluster

1. Crie ou atualize seu cluster usando a Identity propriedade:

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Application ID
   var clientSecret = "PlaceholderClientSecret"; //Client Secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   var credentials = new ClientSecretCredential(tenantId, clientId, clientSecret);
   var resourceManagementClient = new ArmClient(credentials, subscriptionId);
   var resourceGroupName = "testrg";
   var subscription = await resourceManagementClient.GetDefaultSubscriptionAsync();
   var resourceGroup = (await subscription.GetResourceGroupAsync(resourceGroupName)).Value;
   var clusters = resourceGroup.GetKustoClusters();
   var clusterName = "mykustocluster";
   var userIdentityResourceId = new ResourceIdentifier($"/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identityName>");
   var clusterData = new KustoClusterData(
       location: AzureLocation.CentralUS,
       sku: new KustoSku(KustoSkuName.StandardE8adsV5, KustoSkuTier.Standard) { Capacity = 5 }
   )
   {
       Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.UserAssigned)
       {
           UserAssignedIdentities = { { userIdentityResourceId, new UserAssignedIdentity() } }
       }
   };
   await clusters.CreateOrUpdateAsync(WaitUntil.Completed, clusterName, clusterData);
   

2. Execute o seguinte comando para verificar se você criou ou atualizou com êxito seu cluster com uma identidade:

   clusterData = (await clusters.GetAsync(clusterName)).Value.Data;
   

   Se o resultado contiver ProvisioningState com o valor de Succeeded, o cluster foi criado ou atualizado e tem as seguintes propriedades:

   var userIdentity = clusterData.Identity.UserAssignedIdentities[userIdentityResourceId];
   var principalGuid = userIdentity.PrincipalId.GetValueOrDefault();
   var clientGuid = userIdentity.ClientId.GetValueOrDefault();
   

   O PrincipalId é um identificador exclusivo para a identidade que a administração do Microsoft Entra usa. O ClientId é um identificador exclusivo para a nova identidade do aplicativo que é usado para especificar qual identidade usar durante chamadas de tempo de execução.

Adicionar uma identidade atribuída pelo usuário usando um modelo do Azure Resource Manager

Você pode usar um modelo do Azure Resource Manager para automatizar a implantação de seus recursos do Azure. Para saber mais sobre como implantar no Azure Data Explorer, consulte Criar um cluster e banco de dados do Azure Data Explorer usando um modelo do Azure Resource Manager.

Você pode criar qualquer recurso do tipo Microsoft.Kusto/clusters com uma identidade atribuída pelo usuário incluindo a seguinte propriedade na definição de recurso. Substitua <RESOURCEID> pelo ID de recurso da identidade desejada:

{
   "identity": {
      "type": "UserAssigned",
      "userAssignedIdentities": {
         "<RESOURCEID>": {}
      }
   }
}

Por exemplo:

{
    "apiVersion": "2019-09-07",
    "type": "Microsoft.Kusto/clusters",
    "name": "[variables('clusterName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "dependsOn": [
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

Quando você cria o cluster, ele tem as seguintes propriedades adicionais:

{
   "identity": {
      "type": "UserAssigned",
      "userAssignedIdentities": {
         "<RESOURCEID>": {
            "principalId": "<PRINCIPALID>",
            "clientId": "<CLIENTID>"
         }
      }
   }
}

O PrincipalId é um identificador exclusivo para a identidade que a administração do Microsoft Entra usa. O ClientId é um identificador exclusivo para a nova identidade do aplicativo que é usado para especificar qual identidade usar durante chamadas de tempo de execução.

Remover uma identidade gerenciada atribuída pelo usuário usando o portal do Azure

1. Inicie sessão no portal Azure.

2. Selecione Configurações>de identidade no painel esquerdo do portal.

3. Selecione a guia Usuário atribuído .

4. Procure a identidade que criou anteriormente e selecione-a. Selecione Remover.

   

5. Na janela pop-up, selecione Sim para remover a identidade atribuída pelo usuário. O painel Identidade reverte para a mesma condição que antes da adição da identidade atribuída pelo usuário.

Remover uma identidade atribuída pelo usuário usando C#

Execute o seguinte código para remover a identidade atribuída pelo usuário:

var cluster = (await clusters.GetAsync(clusterName)).Value;
var clusterUpdate = new KustoClusterPatch(clusterData.Location)
{
    Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.UserAssigned)
    {
        UserAssignedIdentities = { { userIdentityResourceId, null } }
    }
};
await cluster.UpdateAsync(WaitUntil.Completed, clusterUpdate);

Remover uma identidade atribuída pelo usuário usando um modelo do Azure Resource Manager

Execute o seguinte código para remover a identidade atribuída pelo usuário:

{
   "identity": {
      "type": "UserAssigned",
      "userAssignedIdentities": {
         "<RESOURCEID>": null
      }
   }
}