配置变更事件流式处理（预览版）

共享访问策略 向 Azure 事件中心提供身份验证和授权。 每个共享访问策略都需要名称、访问级别（Manage或 Send） Listen和资源绑定（事件中心命名空间或特定事件中心实例）。 实例级别策略通过遵循最低特权原则来提供更高的安全性。 SQL Server 2025 和 Azure SQL 数据库都支持此方法。 但是，尽可能使用 Azure SQL 数据库使用 Microsoft Entra 身份验证，因为它提供更好的安全性。

如果使用共享访问策略进行身份验证和授权，则向 Azure 事件中心发送数据的客户端需要提供要使用的策略的名称，以及从策略或策略的服务密钥生成的 SAS 令牌。

SAS 令牌在服务密钥上具有安全优势：如果客户端遭到入侵，则 SAS 令牌仅在过期前有效，并且被入侵的客户端无法创建新的 SAS 令牌。 相比之下，服务密钥不会自动过期。 具有服务密钥的已泄露客户端可以使用密钥生成新的 SAS 令牌。

若要使用 AMQP 协议（默认的本机 Azure 事件中心协议）配置流式传输到 Azure 事件中心，请使用 发送 权限创建或重复使用共享访问策略并生成 SAS 令牌。 可以使用任何编程或脚本语言以编程方式生成令牌。 本文中的示例演示如何使用 PowerShell 脚本从新的或现有策略生成 SAS 令牌。

安装所需的模块

若要使用 PowerShell 脚本管理 Azure 事件中心资源，需要以下模块：

• Az PowerShell 模块
• Az.EventHub PowerShell 模块

以下脚本安装所需的模块：

Install-Module -Name Az -AllowClobber -Scope CurrentUser -Repository PSGallery -Force
Install-Module -Name Az.EventHub -Scope CurrentUser -Force

如果已有所需的模块，并且想要将其更新到最新版本，请运行以下脚本：

Update-Module -Name Az -Force
Update-Module -Name Az.EventHub -Force

连接到 Azure

可以使用 Azure Cloud Shell 或登录并设置订阅上下文。

若要使用 Azure Cloud Shell 运行，请查看 “登录到 Azure”。

定义策略

若要创建 SAS 令牌，需要具有 发送 权限的策略。 您可以选择：

• 创建新策略

  或

• 使用现有策略

为新策略或现有策略创建 SAS 令牌

创建新策略时，请确保它具有 “发送 ”权限。 如果使用现有策略，请检查它是否具有 “发送 ”权限。

以下脚本创建新的策略或获取现有策略，然后以 HTTP 授权标头格式生成完整的 SAS 令牌。

将尖括号 （<value>） 中的值替换为环境的值。

function Generate-SasToken {
$subscriptionId = "<Azure-Subscription-ID>"
$resourceGroupName = "<Resource-group-name>"
$namespaceName = "<Azure-Event-Hub-Namespace-name>"
$eventHubName = "<Azure-Event-Hubs-instance-name>"
$policyName = "<Policy-name>"
$tokenExpireInDays = "<number-of-days-token-will-be-valid>"

# Modifying the rest of the script is not necessary.

# Login to Azure and set Azure Subscription.
Connect-AzAccount

# Get current context and check subscription
$currentContext = Get-AzContext
if ($currentContext.Subscription.Id -ne $subscriptionId) {
    Write-Host "Current subscription is $($currentContext.Subscription.Id), switching to $subscriptionId..."
    Set-AzContext -SubscriptionId $subscriptionId | Out-Null
} else {
    Write-Host "Already using subscription $subscriptionId."
}

# Try to get the authorization policy (it should have Send rights)
$rights = @("Send")
$policy = Get-AzEventHubAuthorizationRule -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName -ErrorAction SilentlyContinue

# If the policy does not exist, create it
if (-not $policy) {
    Write-Output "Policy '$policyName' does not exist. Creating it now..."

    # Create a new policy with the Manage, Send and Listen rights
    $policy = New-AzEventHubAuthorizationRule -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName -Rights $rights
    if (-not $policy) {
        throw "Error. Policy was not created."
    }
    Write-Output "Policy '$policyName' created successfully."
} else {
    Write-Output "Policy '$policyName' already exists."
}

if ("Send" -in $policy.Rights) {
    Write-Host "Authorization rule has required right: Send."
} else {
    throw "Authorization rule is missing Send right."
}

$keys = Get-AzEventHubKey -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName

if (-not $keys) {
    throw "Could not obtain Azure Event Hub Key. Script failed and will end now."
}
if (-not $keys.PrimaryKey) {
    throw "Could not obtain Primary Key. Script failed and will end now."
}

# Get the Primary Key of the Shared Access Policy
$primaryKey = ($keys.PrimaryKey)
Write-Host $primaryKey

## Check that the primary key is not empty.

# Define a function to create a SAS token (similar to the C# code provided)
function Create-SasToken {
    param (
        [string]$resourceUri, [string]$keyName, [string]$key
    )

$sinceEpoch = [datetime]::UtcNow - [datetime]"1970-01-01"
    $expiry = [int]$sinceEpoch.TotalSeconds + ((60 * 60 * 24) * [int]$tokenExpireInDays) # seconds since Unix epoch
    $stringToSign = [System.Web.HttpUtility]::UrlEncode($resourceUri) + "`n" + $expiry
    $hmac = New-Object System.Security.Cryptography.HMACSHA256
    $hmac.Key = [Text.Encoding]::UTF8.GetBytes($key)
    $signature = [Convert]::ToBase64String($hmac.ComputeHash([Text.Encoding]::UTF8.GetBytes($stringToSign)))
    $sasToken = "SharedAccessSignature sr=$([System.Web.HttpUtility]::UrlEncode($resourceUri))&sig=$([System.Web.HttpUtility]::UrlEncode($signature))&se=$expiry&skn=$keyName"
    return $sasToken
}

# Construct the resource URI for the SAS token
$resourceUri = "https://$namespaceName.servicebus.windows.net/$eventHubName"

# Generate the SAS token using the primary key from the new policy
$sasToken = Create-SasToken -resourceUri $resourceUri -keyName $policyName -key $primaryKey

# Output the SAS token
Write-Output @"
-- Generated SAS Token --
$sasToken
-- End of generated SAS Token --
"@
}

Generate-SasToken

上一命令的输出应类似于以下文本：

-- Generated SAS Token --
SharedAccessSignature sr=https%3a%2f%YourEventHubNamespace.servicebus.windows.net%2fYourEventHub&sig=xxxxxxxxxxxxxxxxxxxxxxx&se=2059133074&skn=SharedKeyNameIsHERE
-- End of generated SAS Token --

复制整行以SharedAccessSignature开头的 SAS 令牌值，以在配置 CES 时使用，例如如下示例：

SharedAccessSignature sr=https%3a%2f%YourEventHubNamespace.servicebus.windows.net%2fYourEventHub&sig=xxxxxxxxxxxxxxxxxxxxxxx&se=2059133074&skn=SharedKeyNameIsHERE

使用Microsoft Entra 托管标识 来控制对 Azure 事件中心的访问。 这是授予对 Azure 事件中心的访问权限的最简单且最安全的方法。 目前，只有 Azure SQL 数据库支持 CES Microsoft Entra 身份验证。

若要 允许 Azure SQL 数据库托管标识写入 事件中心的访问权限，请执行以下步骤：

1. 为 Azure SQL 数据库逻辑服务器配置托管标识（如果尚未这样做）。
2. 将 Azure Event Hubs Data Sender 角色分配添加到您的逻辑服务器的托管标识，以用于 Azure 事件中心实例。 可以使用任何编程或脚本语言，或在 Azure 门户中 Azure 事件中心实例的 访问控制（IAM） 页上以编程方式执行此作。

若要遵循最低特权原则，请授予对接收更改事件的特定事件中心实例的访问权限。 在技术上允许对整个事件中心命名空间授予写入访问权限，但不建议这样做，因为它适用于命名空间中的任何事件中心实例。

本部分中的示例使用 SAS 令牌通过 AMQP 协议向 Azure 事件中心实例进行身份验证。 如果Microsoft Entra 身份验证不可用，请使用 SAS 令牌而不是服务密钥值来提高安全性。

将尖括号 （<value>） 中的值替换为环境的值。

USE <database name>;

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>';

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
    SECRET = '<Generated SAS Token>' -- Be sure to copy the entire token. The SAS token starts with "SharedAccessSignature sr="

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PartitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

本部分中的示例使用 Microsoft Entra 身份验证通过 AMQP 协议向 Azure 事件中心实例进行身份验证。 此方法是最安全的，但目前仅受适用于 CES 的 Azure SQL 数据库支持。

将尖括号 （<value>） 中的值替换为环境的值。

USE <database name>;

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>';

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'Managed Identity'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PartitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

本部分中的示例使用共享访问策略密钥值通过 AMQP 协议向 Azure 事件中心实例进行身份验证。 如果Microsoft Entra 身份验证不可用，请使用 SAS 令牌而不是服务密钥值来提高安全性。

将尖括号 （<value>） 中的值替换为环境的值。

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = '<Azure Event Hubs SAS Policy name>',
    SECRET = '<Primary or Secondary key value>'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

本部分中的示例使用 SAS 令牌通过 Apache Kafka 协议向 Azure 事件中心实例进行身份验证。 如果Microsoft Entra 身份验证不可用，请使用 SAS 令牌而不是服务密钥值来提高安全性。

将尖括号 （<value>） 中的值替换为环境的值。

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
    SECRET = '<Event Hubs Namespace – Primary or Secondary connection string>'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

本部分中的示例使用 Microsoft Entra 身份验证通过 Apache Kafka 协议向 Azure 事件中心实例进行身份验证。 此方法是最安全的，但目前仅受适用于 CES 的 Azure SQL 数据库支持。

将尖括号 （<value>） 中的值替换为环境的值。

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'Managed Identity'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

本部分中的示例使用共享访问策略密钥值通过 Apache Kafka 协议向 Azure 事件中心实例进行身份验证。 如果Microsoft Entra 身份验证不可用，请使用 SAS 令牌而不是服务密钥值来提高安全性。

将尖括号 （<value>） 中的值替换为环境的值。

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = '<Azure Event Hubs SAS Policy name>',
    SECRET = '<Primary or Secondary key value>' -- BVFnT3baC/K6I8xNZzio4AeoFt6nHeK0i+ZErNGsxiw=

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',  -- myStreamGroup
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,       -- 1024
    @partition_key_scheme =   N'<PatitionKeyScheme>'  -- N'None'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>' -- dbo.myTable