Utiliser des identités gérées d'Azure avec votre stockage Azure Data Lake

Azure Data Lake Storage fournit un modèle de sécurité en couches. Ce modèle vous permet de sécuriser et de contrôler le niveau d’accès à vos comptes de stockage requis par vos applications et vos environnements d’entreprise, en fonction du type et du sous-ensemble de réseaux ou de ressources utilisés. Lorsque les règles du réseau sont configurées, seules les applications qui demandent des données sur l’ensemble spécifié de réseaux ou via l’ensemble spécifié de ressources Azure peuvent accéder à un compte de stockage. Vous pouvez limiter l’accès à votre compte de stockage aux demandes provenant d’adresses IP, de plages d’adresses IP, de sous-réseaux spécifiés dans un réseau virtuel Azure (VNet) ou d’instances de ressources de certains services Azure.

Les identités managées pour Azure, anciennement appelées Managed Service Identity (MSI), facilitent la gestion des secrets. Les clients Microsoft Dataverse qui utilisent les fonctionnalités Azure créent une identité managée (partie de la création de la stratégie d’entreprise) qui peut être utilisée pour un ou plusieurs environnements Dataverse. Cette identité managée qui sera provisionnée dans votre locataire est ensuite utilisée par Dataverse pour accéder à votre lac de données Azure.

Avec les identités managées, l’accès à votre compte de stockage est limité aux demandes provenant de l’environnement Dataverse associé à votre locataire. Lorsque Dataverse se connecte au stockage en votre nom, il inclut des informations contextuelles supplémentaires pour prouver que la demande provient d’un environnement sécurisé et approuvé. Cela permet au stockage d’accorder à Dataverse l’accès à votre compte de stockage. Les identités managées sont utilisées pour signer les informations de contexte afin d’établir la confiance. Cela ajoute une sécurité au niveau de l’application en plus de la sécurité du réseau et de l’infrastructure fournie par Azure pour les connexions entre les services Azure.

Avant de commencer

• Vous avez besoin des modules PowerShell suivants. Si vous ne les avez pas, ouvrez PowerShell et exécutez ces commandes :
  • module Azure Az PowerShell : Install-Module -Name Az
  • Module PowerShell Azure Az.Resources : Install-Module -Name Az.Resources
  • Module PowerShell d’administration de Power Platform : Install-Module -Name Microsoft.PowerApps.Administration.PowerShell
  • Module Stratégies d’entreprise Power Platform : Install-Module -Name Microsoft.PowerPlatform.EnterprisePolicies
• Nous vous recommandons de créer un nouveau conteneur de stockage dans le même groupe de ressources Azure pour intégrer cette fonctionnalité.

Créer une stratégie d’entreprise

1. Dans PowerShell, importez le module Stratégies d’entreprise Power Platform et créez la stratégie d’entreprise. L’applet de commande inscrit les fournisseurs de ressources requis pour l’abonnement :

   Import-Module Microsoft.PowerPlatform.EnterprisePolicies
   New-IdentityEnterprisePolicy `
      -SubscriptionId <subscription-id> `
      -ResourceGroupName <resource-group-name> `
      -PolicyName <enterprise-policy-name> `
      -PolicyLocation <location>
   

   • Fournissez l’ID d’abonnement Azure.
   • Indiquez le nom du groupe de ressources Azure.
   • Indiquez le nom de la stratégie d’entreprise préférée.
   • Indiquez l’emplacement du groupe de ressources Azure.

2. Enregistrez la copie de ResourceId après la création de la stratégie.

Emplacements disponibles pour la stratégie d’entreprise

• États-Unis EUAP
• États-Unis
• Afrique du Sud
• Royaume-Uni
• Australie
• Corée
• Japon
• Inde
• France
• Europe
• Asia
• Norvège
• Allemagne
• Suisse
• Canada
• Brésil
• Émirats arabes unis
• Singapour

Accorder au lecteur l’accès à la stratégie d’entreprise via Azure

Les administrateurs Dynamics 365 et les administrateurs Power Platform peuvent accéder au centre d’administration Power Platform pour affecter des environnements à la stratégie d’entreprise. Pour accéder aux stratégies d’entreprise, l’appartenance à l’administrateur Azure Key Vault est nécessaire pour accorder le rôle de lecteur à l’administrateur Dynamics 365 ou Power Platform. Une fois le rôle de lecteur accordé, les administrateurs Dynamics 365 ou Power Platform verront les stratégies d’entreprise dans le centre d’administration Power Platform.

Seuls les administrateurs Dynamics 365 et Power Platform qui ont obtenu le rôle de lecteur pour la stratégie d’entreprise peuvent ajouter un environnement à la stratégie. D'autres administrateurs Dynamics 365 et PowerPlatform peuvent être en mesure d'afficher la stratégie d'entreprise, mais ils recevront une erreur lorsqu'ils essaient d'ajouter un environnement.

1. Connectez-vous au portail Azure.
2. Obtenez l’ObjectID de l’utilisateur administrateur de la plateforme Power de Dynamics 365.
   1. Accédez à la zone Utilisateurs.
   2. Ouvrez l’utilisateur administrateur Dynamics 365 ou Power Platform.
   3. Sous la page de présentation de l’utilisateur, copiez l’ObjectID.
3. Obtenez l’ID des stratégies d’entreprise :
   1. Accédez à Azure Resource Graph Explorer.
   2. Exécutez cette requête : resources | where type == 'microsoft.powerplatform/enterprisepolicies'
   3. Faites défiler vers la droite de la page des résultats et sélectionnez le lien Voir les détails.
   4. Sur la page Détails, copiez l’ID.
4. Ouvrez PowerShell et exécutez la commande suivante, en remplaçant l’ID <objId>d’objet de l’utilisateur et l’ID <EP Resource Id> de stratégie d’entreprise.
   • New-AzRoleAssignment -ObjectId <objId> -RoleDefinitionName Reader -Scope <EP Resource Id>

Connecter la stratégie d’entreprise à l’environnement Dataverse

1. Obtenez l’ID de l’environnement Dataverse.
   1. Connectez-vous au Centre d’administration de Power Platform.
   2. Sélectionnez Gérer>Environnements, puis ouvrez votre environnement.
   3. Dans la section Détails, copiez l’ID d’environnement.
2. Dans PowerShell, exécutez Enable-Identity -EnvironmentId <environment-id> -PolicyArmId <ResourceId>.
   • Remplacez <environment-id> par l’ID d’environnement Dataverse.
   • Remplacez <ResourceId> par l’ID de ressource de stratégie d’entreprise que vous avez enregistré précédemment.
   • L’applet de commande attend que l’opération de liaison se termine et retourne $true une fois l’opération réussie.
3. Connectez-vous au Centre d’administration de Power Platform.
4. Sélectionnez Gérer>environnements, puis ouvrez l’environnement que vous avez spécifié précédemment.
5. Dans la zone Opérations récentes, sélectionnez Historique complet pour valider la connexion de la nouvelle identité.

Configurer l’accès réseau à Azure Data Lake Storage Gen2

1. Accédez au Portail Azure.

2. Ouvrez le compte de stockage connecté à votre profil Azure Synapse Link pour Dataverse.

3. Dans le volet de navigation de gauche, sélectionnez Mise en réseau. Ensuite, dans l’onglet Pare-feux et réseaux virtuels, sélectionnez les paramètres suivants :

   1. Activé à partir des réseaux virtuels et des adresses IP sélectionnés.
   2. Sous Instances de ressources, sélectionnez Autoriser les services Azure sur la liste des services approuvés à accéder à ce compte de stockage

4. Cliquez sur Enregistrer.

Configurer l’accès réseau à l’espace de travail Azure Synapse

1. Accédez au Portail Azure.
2. Ouvrez l’espace de travail Azure Synapse connecté à votre profil Azure Synapse Link for Dataverse.
3. Dans le volet de navigation de gauche, sélectionnez Mise en réseau.
4. Sélectionnez Autoriser les services et ressources Azure pour accéder à cet espace de travail.
5. S’il y a des Règles de pare-feu IP créées pour toutes les plages d’adresses IP, supprimez-les pour restreindre l’accès au réseau public.
6. Ajoutez une nouvelle Règle de pare-feu IP en fonction de l’adresse IP du client.
7. Sélectionnez Enregistrer lorsque vous avez terminé. Plus d’informations : Azure Synapse Analytics règles de pare-feu IP

Créer un Synapse Link Azure pour Dataverse avec une identité managée

Lorsque vous créez le lien, Azure Synapse Link pour Dataverse obtient des détails sur la stratégie d'entreprise actuellement liée dans l'environnement Dataverse, puis met en cache l'URL du secret client d'identité pour se connecter à Azure.

1. Connectez-vous à Power Apps et sélectionnez votre environnement.
2. Dans le volet de navigation gauche, sélectionnez Données de lien, puis sélectionnez Autres liens. Sélectionnez + Nouveau lien, puis sélectionnez Azure Synapse. Si l’élément ne se trouve pas dans le volet latéral, sélectionnez …Plus, puis sélectionnez l’élément souhaité.
3. Remplissez les champs appropriés, en fonction de la configuration prévue. Sélectionnez Abonnement, Groupe de ressources et Compte de stockage. Pour connecter Dataverse à l’espace de travail Synapse, sélectionnez l’option Se connecter à votre Azure Synapse workspace. Pour la conversion des données Delta Lake, sélectionnez un pool Spark.
4. Sélectionnez Sélectionner la stratégie d’entreprise avec Managed Service Identity, puis sélectionnez Suivant.
5. Ajoutez les tables à exporter, puis sélectionnez Enregistrer.

Activer l’identité managée pour un profil Azure Synapse Link existant

1. Accédez à un profil Synapse Link existant à partir de Power Apps (make.powerapps.com).
2. Sélectionnez Utiliser l’identité managée, puis confirmez.

Dépannage

Si vous recevez des erreurs 403 lors de la création du lien :

• Les identités managées prennent plus de temps pour accorder une autorisation provisoire lors de la synchronisation initiale. Patientez quelques instances et recommencez l’opération plus tard.
• Assurez-vous que le stockage lié n’a pas le conteneur Dataverse existant (dataverse-environmentName-organizationUniqueName) du même environnement.
• Exécutez Get-IdentityEnterprisePolicy -EnvironmentId <environment-id> pour identifier la stratégie d’entreprise liée.
• Exécutez Disable-Identity -EnvironmentId <environment-id> pour dissocier la stratégie d’entreprise.
• Exécutez Remove-IdentityEnterprisePolicy -PolicyResourceId <policy-resource-id> pour supprimer une stratégie d’entreprise non associée.

Limitation connue

Une seule stratégie d’entreprise peut se connecter simultanément à l’environnement Dataverse . Si vous devez créer plusieurs liens Azure Synapse Link avec l’identité managée activée, assurez-vous que toutes les ressources Azure liées se trouvent dans le même groupe de ressources.

Voir aussi

Qu’est-ce qu’Azure Synapse Link pour Dataverse ?