Een snelkoppeling voor Azure Data Lake Storage Gen2 maken

In dit artikel leert u hoe u een Azure Data Lake Storage (ADLS) Gen2-snelkoppeling maakt in een Fabric lakehouse. Wanneer u snelkoppelingen maakt naar Azure Data Lake Storage (ADLS) Gen2-opslagaccounts, kan het doelpad verwijzen naar elke map in de hiërarchische naamruimte. Het doelpad moet minimaal een containernaam bevatten.

Zie OneLake-snelkoppelingen voor een overzicht van snelkoppelingen. Als u programmatisch snelkoppelingen wilt maken, zie de REST API's voor OneLake-snelkoppelingen.

Vereisten

  • Een lakehouse. Als u er nog geen hebt, maakt u er een door deze stappen te volgen: Een lakehouse maken.
  • U moet hiërarchische naamruimten inschakelen in uw ADLS Gen2-opslagaccount.

Snelkoppeling maken

  1. Open een lakehouse.

  2. Klik met de rechtermuisknop op een map in de lake view van het lakehouse.

  3. Selecteer Nieuwe snelkoppeling.

    Dezelfde schermafbeelding als eerder, waarop te zien is waar u vanuit de Lake-weergave Nieuwe snelkoppeling selecteert.

  4. Selecteer onder Externe bronnen Azure Data Lake Storage Gen2.

  5. Voer de verbindingsinstellingen en verbindingsreferenties voor het opslagaccount in.

    Schermopname van het venster Nieuwe snelkoppeling met de verbindingsinstellingen en verbindingsreferenties.

    Veld Beschrijving
    URL Het DFS-eindpunt voor uw opslagaccount.

    https://<STORAGE_ACCOUNT_NAME>.dfs.core.windows.net
    Verbinding Selecteer een bestaande verbinding voor de opgegeven opslaglocatie in de vervolgkeuzelijst. Als er geen verbindingen bestaan, selecteert u Nieuwe verbinding maken.
    Verbindingsnaam Een naam voor uw Azure Data Lake Storage Gen2-verbinding.
    Authenticatietype Selecteer uw voorkeursautorisatiemodel in de vervolgkeuzelijst: Organisatieaccount, Accountsleutel, Sas (Shared Access Signature), Service-principal of Werkruimte-id. Zie Autorisatie voor meer informatie.

    Nadat u een verificatietype hebt geselecteerd, vult u de vereiste referenties in.

  6. Selecteer Volgende.

  7. Blader naar de doellocatie voor de snelkoppeling.

    Schermopname van het bladervenster voor opslag met meerdere mappen geselecteerd.

    Als u het opslagaccount zojuist hebt gebruikt in de verbindings-URL, worden al uw beschikbare containers weergegeven in de linkernavigatieweergave. Als u een container hebt opgegeven in de verbindings-URL, worden alleen de opgegeven container en de inhoud ervan weergegeven in de navigatieweergave.

    Navigeer door het opslagaccount door een map of de uitbreidingspijl naast een map te selecteren.

    In deze weergave kunt u een of meer doellocaties voor snelkoppelingen selecteren. Kies doellocaties door het selectievakje naast een map in de linkernavigatieweergave in te schakelen.

  8. Selecteer Volgende

    Schermopname van de snelkoppelingsbeoordelingspagina met opties om de naam van snelkoppelingen te wijzigen en snelkoppelingen te verwijderen.

    Op de controlepagina kunt u al uw selecties controleren. Hier ziet u elke snelkoppeling die zal worden gemaakt. In de actiekolom kunt u het potloodpictogram selecteren om de naam van de snelkoppeling te bewerken. U kunt het prullenbakpictogram selecteren om de snelkoppeling te verwijderen.

  9. Selecteer Aanmaken.

  10. Het lakehouse wordt automatisch vernieuwd. De snelkoppeling wordt weergegeven in het linkerdeelvenster van Explorer .

    Schermopname van een lijst met mappen met een Lake-weergave waarin het snelkoppelingsymbool wordt weergegeven.

Toegang

ADLS-snelkoppelingen moeten verwijzen naar het DFS-eindpunt voor het opslagaccount.

Voorbeeld: https://accountname.dfs.core.windows.net/

Als een opslagfirewall uw opslagaccount beveiligt, kunt u de toegang tot vertrouwde services configureren. Zie Toegang tot vertrouwde werkruimten voor meer informatie.

Authorization

ADLS-snelkoppelingen maken gebruik van een gedelegeerd autorisatiemodel. In dit model geeft de maker van de snelkoppeling een referentie op voor de ADLS-snelkoppeling en wordt alle toegang tot die snelkoppeling geautoriseerd met behulp van die referentie. ADLS-snelkoppelingen ondersteunen de volgende gedelegeerde autorisatietypen:

  • Organisatieaccount : moet de rol Opslagblobgegevenslezer, Bijdrager voor opslagblobgegevens of eigenaar van opslagblobgegevens hebben voor het opslagaccount; of de rol Delegator op het opslagaccount plus bestands- of maptoegang die is verleend binnen het opslagaccount.
  • Service-principal - moet de rol Opslagblobgegevenslezer, Opslagblobgegevensinzender of Opslagblobgegevens-eigenaar hebben voor het opslagaccount; of de Delegator-rol op het opslagaccount plus bestands- of maptoegang die is verleend binnen het opslagaccount.
  • Werkruimte-identiteit - moet de rol Opslagblobgegevenslezer, Opslagblobgegevensinzender of Opslagblobgegevens-eigenaar hebben voor het opslagaccount; of de rol Delegator op het opslagaccount, plus bestands- of maptoegang die is verleend binnen het opslagaccount.
  • Shared Access Signature (SAS): moet ten minste de volgende machtigingen bevatten: Lezen, Weergeven en Uitvoeren.
  • Accountsleutel : de toegangssleutel van het opslagaccount. Accountsleutels verlenen volledige toegang tot het opslagaccount. Gebruik deze optie dus voorzichtig en beveilig uw sleutels op de juiste manier.

Voor gedelegeerde autorisatietypen voor Microsoft Entra-id (organisatieaccount, service-principal of werkruimte-id) is de actie Een sleutelactie voor gebruikersdelegering genereren vereist op het niveau van het opslagaccount. Deze actie wordt opgenomen als onderdeel van de rollen Opslagblobgegevenslezer, Inzender voor opslagblobgegevens, Eigenaar van opslagblobgegevens en Delegator. Als u een gebruiker geen lezer-, inzender- of eigenaarmachtigingen voor het hele opslagaccount wilt geven, wijst u deze in plaats daarvan de rol van Delegator toe. Definieer vervolgens gedetailleerde toegangsrechten voor gegevens met behulp van toegangsbeheerlijsten (ACL's) in Azure Data Lake Storage.

Belangrijk

De vereiste een gebruikersdelegeringssleutel genereren wordt momenteel niet afgedwongen wanneer een werkruimte-id is geconfigureerd voor de werkruimte en het verificatietype ADLS-snelkoppeling organisatieaccount, service-principal of werkruimte-id is. Dit gedrag wordt echter in de toekomst beperkt. Zorg ervoor dat alle gedelegeerde identiteiten de actie Een sleutel voor gebruikersdelegering genereren hebben om ervoor te zorgen dat de toegang van uw gebruikers niet wordt beïnvloed wanneer dit gedrag verandert.

Gebruik toegangscontrolelijsten in Azure Data Lake Storage met ADLS-snelkoppelingen

Om toegangscontrolelijsten (ACL's) die aan een ADLS-snelkoppelingsdoel zijn toegewezen te hergebruiken en deze toe te passen op een ADLS-snelkoppeling, gebruik je een combinatie van de Storage Blob Delegator-rol en ACL's die zijn toegewezen aan de bestanden en mappen binnen het opslagaccount om de toegang tot ADLS-snelkoppelingen te controleren.

Een screenshot van een opslagaccount met een voorbeeld ACL-configuratie.

Door dit autorisatiemodel te gebruiken, kun je de toegang tot ADLS-snelkoppelingen met meer detail beheren. Het model combineert de rol van Storage Blob Delegator met ACL's die zijn toegewezen aan ADLS-mappen en bestanden binnen het opslagaccount. Dit autorisatiemodel heeft geen invloed op bestaande ADLS-snelkoppelingen. Klanten kunnen bestaande autorisatiemodellen blijven gebruiken. Het ACL-autorisatiemodel ondersteunt gebruikersidentiteit, service-principals en Fabric-werkruimte-identiteit.

  1. Ga naar het Azure Storage-account en selecteer Roltoewijzing toevoegen. Selecteer vervolgens de rol Storage Blob Delegator . Wijs deze rol toe aan een gebruikersidentiteit of een serviceprincipal (SPN).

    Screenshot van Azure Storage-roltoewijzing met Storage Blob Delegator-rol gemarkeerd in de afbeelding.

  2. Nadat je de roltoewijzing hebt voltooid, ga je naar het object (bestand of map) in ADLS en selecteer Manage ACL. Wijs de juiste ACL-rechten toe aan de beveiligingsprincipal die je gebruikt voor het configureren van de ADLS-snelkoppeling.

    Screenshot van ADLS-instellingen met ACL-configuratieopties.

  3. Schakel over naar Microsoft Fabric en selecteer Nieuwe snelkoppeling maken. Volg de instructies om de ADLS-snelkoppeling te configureren door gebruik te maken van de beveiligingsprincipal waaraan je de Storage Blob Delegator-rol en de bijbehorende ACL-rechten hebt toegewezen.

    Screenshot van 'maak een nieuwe snelkoppeling'-ervaring met verbindingsinstellingen gemarkeerd.

  4. Nadat je verbindingsgegevens en aanmeldingsgegevens hebt opgegeven, ga je naar de map op ADLS met de brongegevens voor de snelkoppeling. Je security principal die je gebruikt om de ADLS-snelkoppeling te configureren, heeft mogelijk geen toestemming om door mappen te bladeren. Als deze principal geen toestemming heeft, selecteer dan Path View rechtsboven in het dialoogvenster en typ de gewenste locatie in.

    Screenshot van de nieuwe ervaring voor het instellen van snelkoppelingen met de optie Path View gemarkeerd.

  5. Selecteer Snelkoppeling maken zodra je de gewenste locatie hebt opgegeven. De nieuwe snelkoppelingen verschijnen in OneLake wanneer je de snelkoppeling succesvol aanmaakt.

    Screenshot van Fabric lakehouse UX waarop te zien is dat ADLS-snelkoppelingen succesvol zijn gemaakt.

Nu stel je een ADLS-snelkoppeling in die ADLS-toegangscontrolelijsten gebruikt om de autorisatie voor de snelkoppelingsrepresentatie van dat object te beheren.

Beperkingen

De volgende beperkingen gelden voor ADLS-snelkoppelingen:

  • ADLS-snelkoppelingen naar opslagaccounts in een andere Microsoft Entra-tenant dan uw Fabric-tenant vereist het gebruik van een service-principal of SAS-token voor verificatie. Verificatie van organisatieaccounts en werkruimte-id's werkt niet tussen tenants. Voor het delen van gegevens tussen Fabric-tenants kunt u overwegen om in plaats daarvan externe gegevensdeling te gebruiken, waarvoor Fabric-capaciteit in beide tenants vereist is.
  • Doelpaden voor ADLS-snelkoppelingen kunnen geen gereserveerde tekens bevatten uit RFC 3986-sectie 2.2. Zie RFC 3968 sectie 2.3 voor toegestane tekens.
  • ADLS-snelkoppelingen bieden geen ondersteuning voor de Copy Blob-API.
  • De kopieerfunctie werkt niet op snelkoppelingen die rechtstreeks naar ADLS-containers verwijzen. Het is raadzaam om ADLS-snelkoppelingen te maken naar een map die ten minste één niveau lager is dan een container.
  • OneLake-snelkoppelingen bieden geen ondersteuning voor verbindingen met ADLS Gen2-opslagaccounts die gebruikmaken van beheerde privé-eindpunten. Voor meer informatie, zie beheerde privé-eindpunten voor Fabric.
  • U kunt geen meer snelkoppelingen maken in ADLS-snelkoppelingen.
  • ADLS Gen 2-snelkoppelingen worden niet ondersteund voor opslagaccounts die gebruikmaken van Microsoft Purview-gegevens delen.

Gerelateerde inhoud

  • Laatst bijgewerkt om