Usare l'autenticazione tramite entità servizio con l'agente dati di Fabric

Un'entità servizio Microsoft Entra (SPN) è un'identità non interattiva basata su applicazione a cui possono essere concesse autorizzazioni precise per le risorse di Azure e Microsoft Fabric. Gli agenti dati di Fabric supportano ora l'autenticazione tramite entità servizio, così puoi richiamare un agente dati pubblicato da flussi di automazione, servizi in background, applicazioni personalizzate e pipeline CI/CD senza richiedere che un utente abbia effettuato l'accesso.

Questo articolo illustra come registrare un'entità servizio, concederle le autorizzazioni di accesso appropriate nell'area di lavoro di Fabric e nelle origini dati sottostanti e quindi usarla per autenticarsi a un agente dati di Fabric.

Importante

Questa funzionalità si trova in Anteprima.

Prerequisiti

  • Autorizzazioni necessarie per registrare un'applicazione nel tenant Microsoft Entra (ad esempio, il ruolo di Amministratore applicazioni cloud) oppure un amministratore di Entra ID che possa fornire le credenziali SPN (ID app, segreto e ID del tenant).
  • Accesso come amministratore del tenant di Microsoft Fabric per abilitare Le entità servizio possono usare le API di Fabric nel portale di amministrazione di Fabric.
  • Appartenenza al ruolo di Amministratore o Membro dell'area di lavoro per concedere all'SPN l'accesso all'area di lavoro che ospita l'agente dati.

Come funziona l'autenticazione del service principal con l'agente dati di Fabric

Quando un'entità servizio invoca un agente dati di Fabric, l'agente dati tratta l'SPN come una qualsiasi altra identità di Microsoft Entra:

  • L'SPN deve avere accesso a area di lavoro in cui viene pubblicato l'agente dati.
  • SPN deve disporre dell'accesso in lettura a ogni origine dati associata all'agente dati (warehouse, lakehouse, modello semantico, database KQL, database con mirroring o ontologia). L'agente dati legge solo gli schemi ed esegue la query sulle fonti di dati a cui l'identità del chiamante può accedere.
  • L'SPN acquisisce un token di accesso Microsoft Entra per la risorsa Fabric e usa tale token come token bearer quando pone domande all'agente di dati. Questo endpoint è destinato all'esecuzione di query sull'agente dati con domande in linguaggio naturale, non per la gestione o la configurazione.

Passaggio 1: Creare un service principal in Microsoft Entra ID

Seguire i passaggi descritti in Creare un'applicazione Microsoft Entra e un'entità servizio in grado di accedere alle risorse. Il riepilogo è:

  1. Accedi al Interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di applicazioni cloud.
  2. Passare aRegistrazioni app> e quindi selezionare Nuova registrazione.
  3. Assegnare all'applicazione un nome, ad esempio fabric-data-agent-spn.
  4. In Tipi di account supportati, selezionare solo gli account in questa directory organizzativa.
  5. Seleziona Registro.
  6. Dalla pagina Panoramica della registrazione dell'app, copia ID applicazione (client) e ID directory (tenant). Potrebbero essere necessari in un secondo momento.
  7. Configurare le credenziali per la registrazione dell'app. A seconda dei criteri di sicurezza dell'organizzazione, è possibile usare un certificato, credenziali di identità federate o segreto client. Per indicazioni, vedere Aggiungere credenziali all'applicazione.

Annotazioni

La gestione dell'identità servizio fa parte delle attività di amministrazione di Entra ID. Se non è possibile registrare manualmente le applicazioni, chiedere all'amministratore Entra ID di fornire l'ID App, secret e tenant ID.

Passaggio 2: Abilitare le entità servizio a usare le API di Fabric

Un amministratore tenant di Fabric deve consentire alle entità servizio di chiamare le API Fabric:

  1. Vai a Catalogo OneLake>Governance>Configurazioni>>Impostazioni sviluppatore.

  2. Abilita Le entità servizio possono usare le API di Fabric.

  3. Impostare l'impostazione per L'intera organizzazione o per un gruppo di sicurezza specifico che include l'entità servizio.

    Schermata del portale di Fabric per SPN.

Per altri dettagli, vedere Entità servizio in Microsoft Fabric.

Passaggio 3: Concedere al service principal l'accesso all'area di lavoro

Un Admin o Member dell'area di lavoro deve concedere al service principal l'accesso all'area di lavoro che ospita l'agente dati di Fabric:

  1. Aprire l'area di lavoro in Fabric.

  2. Seleziona Gestisci accesso.

  3. Selezionare Aggiungi persone o gruppi, cercare l'entità servizio in base al nome dell'app e aggiungerla.

  4. Assegnare il ruolo Membro o Collaboratore . Admin è necessario solo se anche l'SPN deve gestire l'area di lavoro.

    Schermata del riquadro Gestisci accesso in un'area di lavoro Fabric, con un'entità servizio in fase di aggiunta.

Passaggio 4: Concedere all'entità servizio l'accesso alle origini dati

L'agente dati di Fabric esegue query sulle origini dati collegate usando l'identità del chiamante. Assicurarsi che l'SPN disponga almeno dell'accesso in lettura per ogni origine. SPN può visualizzare e interrogare solo i dati a cui gli è stato concesso l'accesso, anche se l'agente dati stesso è condiviso con esso.

Passaggio 5: Acquisire un token e invocare l'agente dati di Fabric

L'entità servizio si autentica in Microsoft Entra ID usando il flusso di credenziali client per richiedere un token per la risorsa Fabric (https://analysis.windows.net/powerbi/api/.default). Utilizza quindi il token di accesso risultante come token bearer quando chiama l'agente dati.

Limitazioni

  • Le identità gestite non sono attualmente supportate per l'autenticazione dell'agente dati di Fabric. È invece necessario utilizzare un service principal.
  • Lo SPN deve disporre di accesso esplicito a ogni fonte dati aggiunta al data agent. La sola condivisione dell'elemento dell'agente dati non è sufficiente se l'SPN non ha accesso in lettura alle origini dati sottostanti.
  • L'autenticazione dell'entità di servizio non è ancora supportata per gli agenti dati collegati a un database KQL (Kusto).

Contenuti correlati

  • Ultimo aggiornamento: