Bruk administrerte identiteter for Azure med Azure Data Lake Storage

Azure Data Lake Storage har en lagdelt sikkerhetsmodell. Med denne modellen kan du sikre og styre tilgangsnivået til lagringskontoene som programmene og bedriftsmiljøene krever, basert på typen og delsettet av nettverk eller ressurser som brukes. Når nettverksregler konfigureres, er det bare programmer som ber om data over det angitte settet med nettverk eller via det angitte settet med Azure-ressurser, som har tilgang til en lagringskonto. Du kan begrense tilgang til lagringskontoen til forespørsler som kommer fra bestemte IP-adresser, IP-områder, delnett i et Azure Virtual Network (VNet) eller ressursforekomster av noen Azure-tjenester.

Administrerte identiteter for Azure, tidligere kjent som MSI (Managed Service Identity), hjelper deg med å administrere hemmeligheter. Microsoft Dataverse-kunder som bruker Azure-funksjoner, oppretter en administrert identitet (del av oppretting av bedriftspolicy) som kan brukes til ett eller flere Dataverse-miljøer. Denne administrerte identiteten som skal klargjøres i leietakeren, brukes deretter av Dataverse for å få tilgang til Azure-data lake.

Med administrerte identiteter er tilgang til lagringskontoen begrenset til forespørsler som stammer fra Dataverse-miljøet som er knyttet til leieren. Når Dataverse kobler til lagringsplass på vegne av deg, tar det med ekstra kontekstinformasjon for å bevise at forespørselen kommer fra et sikkert, klarert miljø. Dette gjør at lageret kan gi Dataverse tilgang til lagringskontoen. Administrerte identiteter brukes til å signere kontekstinformasjonen for å opprette klarering. Dette legger til sikkerhet på programnivå i tillegg til nettverks- og infrastruktursikkerheten som leveres av Azure for tilkoblinger mellom Azure tjenester.

Før du starter

• Du trenger følgende PowerShell-moduler. Hvis du ikke har dem, åpner du PowerShell og kjører disse kommandoene:
  • Azure Az PowerShell-modul: Install-Module -Name Az
  • Azure Az.Resources PowerShell-modul: Install-Module -Name Az.Resources
  • PowerShell-modul for Power Platform-administratorer: Install-Module -Name Microsoft.PowerApps.Administration.PowerShell
  • Power Platform Enterprise Policies-modul: Install-Module -Name Microsoft.PowerPlatform.EnterprisePolicies
• Vi anbefaler at du oppretter en ny lagringsbeholder i den samme Azure-ressursgruppen for å komme i gang med denne funksjonen.

Opprett virksomhetspolicy

1. Importer Power Platform Enterprise Policies-modulen i PowerShell, og opprett virksomhetspolicyen. Cmdlet registrerer de nødvendige ressursleverandørene for abonnementet:

   Import-Module Microsoft.PowerPlatform.EnterprisePolicies
   New-IdentityEnterprisePolicy `
      -SubscriptionId <subscription-id> `
      -ResourceGroupName <resource-group-name> `
      -PolicyName <enterprise-policy-name> `
      -PolicyLocation <location>
   

   • Angi Azure abonnements-ID.
   • Angi navnet på Azure-ressursgruppen.
   • Angi foretrukket navn på bedriftspolicyen.
   • Angi plasseringen for Azure-ressursgruppen.

2. Lagre kopien av ResourceId etter at policyen er opprettet.

Steder som er tilgjengelige for bedriftspolicy

• USA EUAP
• USA
• Sør-Afrika
• Storbritannia
• Australia
• Sør-Korea
• Japan
• India
• Frankrike
• Europa
• Asia
• Norge
• Tyskland
• Sveits
• Canada
• Brasil
• Forente arabiske emirater
• Singapore

Gi leseren tilgang til bedriftspolicyen via Azure

Dynamics 365 administratorer og Power Platform-administratorer kan få tilgang til administrasjonssenteret for Power Platform for å tilordne miljøer til virksomhetspolicyen. For å få tilgang til virksomhetspolicyene kreves det Azure Key vault-administratormedlemskap for å gi Leser-rollen til Dynamics 365- eller Power Platform-administratoren. Når leserrollen er gitt, ser Dynamics 365- eller Power Platform-administratorene virksomhetspolicyene i administrasjonssenteret for Power Platform.

Bare Dynamics 365- og Power Platform-administratorene som ble tildelt leserrollen i virksomhetspolicyen, kan legge til et miljø i policyen. Andre Dynamics 365- eller Power Platform-administratorer kan vise bedriftspolicyen, men de får en feilmelding når de prøver å legge til et miljø.

1. Logg på Azure-portalen.
2. Hent Dynamics 365- eller Power Platform-administratorbrukerens ObjectID.
   1. Gå til Brukere-området.
   2. Åpne administratorbrukeren for Dynamics 365 eller Power Platform.
   3. Kopier ObjectID under oversiktssiden for brukeren.
3. Hent ID for virksomhetspolicyene:
   1. Gå til Resource Graph Explorer i Azure.
   2. Kjør denne spørringen: resources | where type == 'microsoft.powerplatform/enterprisepolicies'
   3. Rull til høyre for resultatsiden, og velg koblingen Se detaljer.
   4. På Detaljer-siden kopierer du ID-en.
4. Åpne PowerShell, og kjør følgende kommando, og <objId> erstatte med brukerens ObjectID og <EP Resource Id> med ID-en for virksomhetspolicy.
   • New-AzRoleAssignment -ObjectId <objId> -RoleDefinitionName Reader -Scope <EP Resource Id>

Koble bedriftspolicyen til et Dataverse-miljø

1. Hent ID-en til Dataverse-miljøet.
   1. Logg på Power Platform-administrasjonssenteret.
   2. Velg Administrer>Miljøer, og åpne deretter miljøet.
   3. I Detaljer-delen kopierer du Miljø-ID.
2. Kjør i PowerShell Enable-Identity -EnvironmentId <environment-id> -PolicyArmId <ResourceId>.
   • Erstatt <environment-id> med miljø-ID-en for dataverse.
   • Erstatt <ResourceId> med ressurs-ID-en for virksomhetspolicyen som du lagret tidligere.
   • Cmdleten venter på at koblingsoperasjonen skal fullføres og returneres $true når operasjonen lykkes.
3. Logg på Power Platform-administrasjonssenteret.
4. Velg Administrer>Miljøer, og åpne deretter miljøet du angav tidligere.
5. I området Nylige operasjoner velger du Fullstendig logg for å validere tilkoblingen til den nye identiteten.

Konfigurer nettverkstilgang til Azure Data Lake Storage Gen2

1. Gå til Azure-portalen.

2. Åpne lagringskontoen som er koblet til Azure Synapse Link for Dataverse-profilen.

3. I navigasjonsruten til venstre velger du Nettverk. Velg deretter følgende innstillinger i fanen Brannmurer og virtuelle nettverk:

   1. Aktivert fra valgte virtuelle nettverk og IP-adresser.
   2. Velg Gi Azure-tjenester i listen over klarerte tjenester tilgang til denne lagringskontoen under Ressursforekomster.

4. Velg Lagre.

Konfigurer nettverkstilgang til Azure Synapse Workspace

1. Gå til Azure-portalen.
2. Åpne det Azure Synapse arbeidsområdet som er koblet til Azure Synapse Link for Dataverse-profilen.
3. I navigasjonsruten til venstre velger du Nettverk.
4. Velg Tillat Azure-tjenester og -ressurser for å få tilgang til dette arbeidsområdet.
5. Hvis IP-brannmurregler er opprettet for alle IP-områder, sletter du dem for å begrense tilgang til offentlig nettverk.
6. Legg til en ny IP-brannmurregel basert på klientens IP-adresse.
7. Velg Lagre når du er ferdig. Mer informasjon: IP-brannmurregler for Azure Synapse Analytics

Opprett en ny Azure Synapse Link for Dataverse med administrert identitet

Når du oppretter koblingen, får Azure Synapse Link for Dataverse detaljer om den gjeldende koblede virksomhetspolicyen under Dataverse-miljøet, og bufrer deretter den hemmelige url-adressen for identitetsklienten for å koble til Azure.

1. Logg deg på Power Apps, og velg miljøet.
2. Velg Koble data i venstre navigasjonsrute, og velg deretter Andre koblinger. Velg + Ny kobling, og velg deretter Azure Synapse. Hvis elementet ikke finnes i sideruten, velger du ...Mer og deretter elementet du vil ha.
3. Fyll ut de aktuelle feltene, i henhold til det tiltenkte oppsettet. Velg Abonnementet, Ressursgruppe og Lagringskonto. Hvis du vil koble Dataverse til Synapse workspace, velger du alternativet Koble til Azure Synapse workspace. For Delta Lake-datakonvertering velger du en Spark-gruppe.
4. Velg Velg bedriftspolicy med identiteten for administrert tjeneste, og velg deretter Neste.
5. Legg til tabellene du vil eksportere, og velg deretter Lagre.

Aktiver administrert identitet for en eksisterende Azure Synapse Link-profil

1. Gå til en eksisterende Synapse Link-profil fra Power Apps (make.powerapps.com).
2. Velg Bruk administrert identitet, og bekreft.

Feilsøking

Hvis du får en 403-feil under opprettingen av koblingen:

• Administrerte identiteter bruker ekstra tid på å gi midlertidig tillatelse under første synkronisering. Vent litt, og prøv på nytt senere.
• Kontroller at det koblede lageret ikke har den eksisterende Dataverse-beholderen (dataverse-environmentName-organizationUniqueName) fra det samme miljøet.
• Kjør Get-IdentityEnterprisePolicy -EnvironmentId <environment-id> for å identifisere den koblede virksomhetspolicyen.
• Kjør Disable-Identity -EnvironmentId <environment-id> for å koble fra virksomhetspolicyen.
• Kjør Remove-IdentityEnterprisePolicy -PolicyResourceId <policy-resource-id> for å fjerne en ukoblet virksomhetspolicy.

Kjent begrensning

Bare én virksomhetspolicy kan kobles til Dataverse-miljøet samtidig. Hvis du må opprette flere Azure Synapse Link-koblinger med administrert identitet aktivert, må du kontrollere at alle koblede Azure-ressurser er under samme ressursgruppe.

Se også

Hva er Azure Synapse Link for Dataverse?