Role i wymagania dotyczące usługi Azure Data Share

W tym artykule opisano role i uprawnienia wymagane do udostępniania i odbierania danych przy użyciu usługi Azure Data Share.

Role i wymagania

Usługa Azure Data Share umożliwia udostępnianie danych bez wymiany poświadczeń między dostawcą danych a użytkownikiem. W przypadku udostępniania opartego na migawkach usługa Azure Data Share używa tożsamości zarządzanych (wcześniej nazywanych MSI) do uwierzytelniania się w magazynie danych Azure.

Aby utworzyć udziały w udziale danych platformy Azure, użytkownik musi mieć następujące uprawnienia:

• Uprawnienia konta udostępniania danych: Współtwórca
• Grupa zasobów magazynowania: Reader (Uprawnienia do odczytu w grupie zasobów, w której znajdują się konta magazynu lub bazy danych, umożliwiają przeglądanie ich w portalu.)
• Uprawnienia źródła w zależności od źródła:
  • Udostępnianie pamięci masowej i jeziora danych
  • Udostępnianie usługi Azure SQL
  • Udostępnianie analiz usługi Azure Synapse

Udostępnianie pamięci masowej i jeziora danych

* To uprawnienie istnieje w roli Właściciel .

Aby uzyskać więcej informacji na temat udostępniania do i z usługi Azure Storage, zobacz artykuł dotyczący udostępniania i odbierania danych z usług Azure Blob Storage i Azure Data Lake Storage.

Udostępnianie bazy danych SQL

Aby udostępnić dane z bazy danych SQL, możesz użyć jednej z następujących funkcji:

• Uwierzytelnianie Microsoft Entra
• Uwierzytelnianie SQL

Aby odbierać dane do bazy danych SQL, musisz przypisać uprawnienia do odbierania danych.

Uwierzytelnianie Microsoft Entra na potrzeby udostępniania

Te wymagania wstępne obejmują wymagane uwierzytelnianie, aby usługa Azure Data Share mogła nawiązać połączenie z usługą Azure SQL Database:

• Potrzebujesz uprawnień do zapisu w bazach danych na serwerze SQL: Microsoft.Sql/servers/databases/write. To uprawnienie istnieje w roli Współautor.
• Uprawnienia administratora Microsoft Entra programu SQL Server.
• Dostęp do zapory programu SQL Server:
  1. W witrynie Azure Portal przejdź do serwera SQL. Wybierz pozycję Zapory i sieci wirtualne w menu nawigacyjnym po lewej stronie.
  2. Wybierz pozycję Tak, aby zezwalać usługom i zasobom platformy Azure na dostęp do tego serwera.
  3. Wybierz pozycję +Dodaj adres IP klienta. Adres IP klienta może ulec zmianie, więc może być konieczne ponowne dodanie adresu IP klienta przy następnym udostępnieniu danych z portalu.
  4. Wybierz pozycję Zapisz.

Uwierzytelnianie SQL na potrzeby udostępniania

Aby skonfigurować uwierzytelnianie lub wykonać każdą z poniższych wymagań wstępnych, możesz wykonać czynności opisane w filmie pokazowym krok po kroku:

• Uprawnienie do zapisywania w bazach danych na serwerze SQL: Microsoft.Sql/servers/databases/write. To uprawnienie istnieje w roli Współautor.

• Uprawnienie dla tożsamości zarządzanej zasobu Azure Data Share do uzyskania dostępu do bazy danych:

  1. W witrynie Azure Portal przejdź do serwera SQL i ustaw się jako administrator firmy Microsoft Entra.

  2. Połącz się z usługą Azure SQL Database/Data Warehouse przy użyciu Edytora zapytań lub programu SQL Server Management Studio za pomocą uwierzytelniania Microsoft Entra.

  3. Wykonaj następujący skrypt, aby dodać tożsamość zarządzaną przez zasób usługi Data Share jako db_datareader. Nawiązywanie połączenia przy użyciu usługi Active Directory, a nie uwierzytelniania programu SQL Server.

     create user "<share_acct_name>" from external provider;     
     exec sp_addrolemember db_datareader, "<share_acct_name>"; 
     

     Uwaga

     <share_acc_name> to nazwa Twojego zasobu Data Share.

• Użytkownik usługi Azure SQL Database z dostępem "db_datareader" w celu nawigowania i wybierania tabel lub widoków, które chcesz udostępnić.

• Dostęp do zapory programu SQL Server:

  1. W witrynie Azure Portal przejdź do programu SQL Server. Wybierz pozycję Zapory i sieci wirtualne w menu nawigacyjnym po lewej stronie.
  2. Wybierz pozycję Tak, aby zezwalać usługom i zasobom platformy Azure na dostęp do tego serwera.
  3. Wybierz pozycję +Dodaj adres IP klienta. Adres IP klienta może ulec zmianie, więc może być konieczne ponowne dodanie adresu IP klienta przy następnym udostępnieniu danych z portalu.
  4. Wybierz pozycję Zapisz.

Uwierzytelnianie do odbierania w SQL

W przypadku serwera SQL, na którym jesteś administratorem programu Microsoft Entra serwera SQL, przed zaakceptowaniem udziału danych należy spełnić następujące wymagania wstępne:

• Usługa Azure SQL Database lub Azure Synapse Analytics (dawniej Azure SQL DW).
• Uprawnienie do zapisywania w bazach danych na serwerze SQL: Microsoft.Sql/servers/databases/write. To uprawnienie istnieje w roli Współautor.
• Dostęp do zapory programu SQL Server:
  1. W witrynie Azure Portal przejdź do serwera SQL. Wybierz pozycję Zapory i sieci wirtualne w menu nawigacyjnym po lewej stronie.
  2. Wybierz pozycję Tak, aby zezwalać usługom i zasobom platformy Azure na dostęp do tego serwera.
  3. Wybierz pozycję +Dodaj adres IP klienta. Adres IP klienta może ulec zmianie, więc może być konieczne ponowne dodanie adresu IP klienta przy następnym udostępnieniu danych z portalu.
  4. Wybierz pozycję Zapisz.

W przypadku serwera SQL, na którym nie jesteś administratorem usługi Microsoft Entra, przed zaakceptowaniem udziału danych spełnij następujące wymagania wstępne:

Aby skonfigurować wymagania wstępne, możesz wykonać czynności opisane w filmie pokazowym krok po kroku.

• Usługa Azure SQL Database lub Azure Synapse Analytics (dawniej Azure SQL DW).

• Uprawnienie do zapisywania w bazach danych na serwerze SQL: Microsoft.Sql/servers/databases/write. To uprawnienie istnieje w roli Współautor.

• Uprawnienie dla tożsamości zarządzanej zasobu Data Share na dostęp do usługi Azure SQL Database lub Azure Synapse Analytics:

  1. W witrynie Azure Portal przejdź do serwera SQL i ustaw się jako administrator firmy Microsoft Entra.

  2. Połącz się z usługą Azure SQL Database/Data Warehouse przy użyciu Edytora zapytań lub programu SQL Server Management Studio za pomocą uwierzytelniania Microsoft Entra.

  3. Wykonaj poniższy skrypt, aby nadać tożsamości zarządzanej usługi Data Share role 'db_datareader, db_datawriter, db_ddladmin'.

     create user "<share_acc_name>" from external provider; 
     exec sp_addrolemember db_datareader, "<share_acc_name>"; 
     exec sp_addrolemember db_datawriter, "<share_acc_name>"; 
     exec sp_addrolemember db_ddladmin, "<share_acc_name>";
     

     Uwaga

     <share_acc_name> to nazwa Twojego zasobu Data Share.

• Dostęp do zapory programu SQL Server:

  1. W witrynie Azure Portal przejdź do serwera SQL i wybierz pozycję Zapory i sieci wirtualne.
  2. Wybierz pozycję Tak, aby zezwalać usługom i zasobom platformy Azure na dostęp do tego serwera.
  3. Wybierz pozycję +Dodaj adres IP klienta. Adres IP klienta może ulec zmianie, więc może być konieczne ponowne dodanie adresu IP klienta przy następnym udostępnieniu danych z portalu.
  4. Wybierz pozycję Zapisz.

Aby uzyskać więcej informacji na temat udostępniania do i z usługi Azure SQL, zobacz artykuł dotyczący udostępniania i odbierania danych z usługi Azure SQL Database.

Udostępnianie analizy usługi Azure Synapse

Udostępnij

• Uprawnienie do zapisu w puli SQL w obszarze roboczym usługi Synapse: Microsoft.Synapse/workspaces/sqlPools/write. To uprawnienie istnieje w roli Współautor.

• Uprawnienie dla tożsamości zarządzanej zasobu Data Share do uzyskania dostępu do puli SQL obszaru roboczego Synapse:

  1. W witrynie Azure Portal przejdź do obszaru roboczego usługi Synapse. Wybierz pozycję Administrator usługi SQL Active Directory z lewej nawigacji i ustaw siebie jako administrator firmy Microsoft Entra.

  2. Otwórz program Synapse Studio, wybierz pozycję Zarządzaj w obszarze nawigacji po lewej stronie. Wybierz pozycję Kontrola dostępu w obszarze Zabezpieczenia. Przypisz sobie rolę administratora sql lub administratora obszaru roboczego.

  3. Wybierz pozycję Develop z menu nawigacyjnego po lewej stronie w aplikacji Synapse Studio. Wykonaj następujący skrypt w puli SQL, aby dodać tożsamość zarządzaną zasobu Data Share jako db_datareader.

     create user "<share_acct_name>" from external provider;     
     exec sp_addrolemember db_datareader, "<share_acct_name>"; 
     

     Uwaga

     <share_acc_name> to nazwa Twojego zasobu Data Share.

• Dostęp do zapory obszaru roboczego usługi Synapse:

  1. W witrynie Azure Portal przejdź do obszaru roboczego usługi Synapse. Wybierz pozycję Zapory w lewym panelu nawigacyjnym.
  2. Wybierz pozycję Wł. dla opcji Zezwalaj usługom i zasobom platformy Azure na dostęp do tego obszaru roboczego.
  3. Wybierz pozycję +Dodaj adres IP klienta. Adres IP klienta może ulec zmianie, więc może być konieczne ponowne dodanie adresu IP klienta przy następnym udostępnieniu danych z portalu.
  4. Wybierz pozycję Zapisz.

Pobierz

• Dedykowana pula SQL usługi Azure Synapse Analytics (obszar roboczy). Odbieranie danych do bezserwerowej puli SQL nie jest obecnie obsługiwane.

• Uprawnienie do zapisu w puli SQL w obszarze roboczym usługi Synapse: Microsoft.Synapse/workspaces/sqlPools/write. To uprawnienie istnieje w roli Współautor.

• Uprawnienie dla tożsamości zarządzanej zasobu Data Share do uzyskania dostępu do puli SQL w obszarze roboczym usługi Synapse:

  1. W witrynie Azure Portal przejdź do obszaru roboczego usługi Synapse.

  2. Wybierz pozycję Administrator usługi SQL Active Directory z lewej nawigacji i ustaw siebie jako administrator firmy Microsoft Entra.

  3. Otwórz program Synapse Studio, wybierz pozycję Zarządzaj w obszarze nawigacji po lewej stronie. Wybierz pozycję Kontrola dostępu w obszarze Zabezpieczenia. Przypisz sobie rolę administratora sql lub administratora obszaru roboczego.

  4. W programie Synapse Studio wybierz pozycję Develop w lewym panelu nawigacyjnym. Wykonaj poniższy skrypt w puli SQL, aby dodać tożsamość zarządzaną zasobu Data Share do ról „db_datareader, db_datawriter, db_ddladmin”.

     create user "<share_acc_name>" from external provider; 
     exec sp_addrolemember db_datareader, "<share_acc_name>"; 
     exec sp_addrolemember db_datawriter, "<share_acc_name>"; 
     exec sp_addrolemember db_ddladmin, "<share_acc_name>";
     

     Uwaga

     <share_acc_name> to nazwa Twojego zasobu Data Share.

• Dostęp do zapory obszaru roboczego usługi Synapse:

  1. W witrynie Azure Portal przejdź do obszaru roboczego usługi Synapse. Wybierz pozycję Zapory w lewym panelu nawigacyjnym.
  2. Wybierz pozycję Wł. dla opcji Zezwalaj usługom i zasobom platformy Azure na dostęp do tego obszaru roboczego.
  3. Wybierz pozycję +Dodaj adres IP klienta. Adres IP klienta może ulec zmianie. Ten proces może być powtarzany przy następnym udostępnianiu danych SQL z witryny Azure Portal.
  4. Wybierz pozycję Zapisz.

Aby uzyskać więcej informacji na temat udostępniania do i z usługi Azure Synapse Analytics, zobacz artykuł dotyczący udostępniania i odbierania danych z usługi Azure Synapse Analytics.

Ręcznie przypisz uprawnienia MI

Jeśli użytkownik ma uprawnienia Microsoft.Authorization/role assignments/write do źródłowego lub docelowego magazynu danych, tożsamości zarządzanej usługi Azure Data Share zostaną automatycznie przypisane uprawnienia wymagane do uwierzytelniania się w magazynie danych. Można również ręcznie przypisać uprawnienia tożsamości zarządzanej.

Jeśli zdecydujesz się ręcznie przypisać uprawnienia, przypisz je do tożsamości zarządzanej zasobu Azure Data Share w zależności od źródła i akcji:

Przykład dostawcy danych

Gdy udostępniasz dane z konta magazynu, tożsamości zarządzanej zasobu udziału danych jest przypisywana rola Czytelnik danych obiektów blob usługi Storage.

Jest to wykonywane automatycznie przez usługę Azure Data Share, gdy użytkownik dodaje zestaw danych za pośrednictwem witryny Azure Portal, a użytkownik jest właścicielem magazynu danych platformy Azure lub jest członkiem roli niestandardowej, która ma przypisane uprawnienia Microsoft.Authorization/role assignments/write .

Alternatywnie użytkownik może poprosić właściciela magazynu danych Azure o ręczne dodanie tożsamości zarządzanej zasobu udostępniania danych do magazynu danych Azure. Tę czynność należy wykonać tylko raz dla każdego zasobu udostępniania danych.

Aby ręcznie utworzyć przypisanie roli dla tożsamości zarządzanej zasobu udostępniania danych, wykonaj następujące kroki:

1. Przejdź do magazynu danych platformy Azure.

2. Wybierz pozycję Kontrola dostępu (IAM).

3. Wybierz pozycję Dodaj > Dodaj przypisanie roli.

   

4. Na karcie Rola wybierz jedną z ról wymienionych w tabeli przypisania roli w poprzedniej sekcji.

5. Na karcie Członkowie wybierz pozycję Tożsamość zarządzana, a następnie wybierz pozycję Wybierz członków.

6. Wybierz subskrypcję platformy Azure.

7. Wybierz Tożsamość zarządzaną przypisaną przez system, wyszukaj zasób Azure Data Share, a następnie wybierz go.

8. Na karcie Przeglądanie i przypisywanie wybierz pozycję Przejrzyj i przypisz, aby przypisać rolę.

Aby dowiedzieć się więcej na temat przypisań ról, zobacz Przypisywanie ról platformy Azure przy użyciu witryny Azure Portal. Jeśli udostępniasz dane przy użyciu interfejsów API REST, możesz utworzyć przypisanie roli za pomocą interfejsu API, odwołując się do Przypisywanie ról platformy Azure przy użyciu interfejsu API REST.

W przypadku udostępniania opartego na migawkach w SQL w usłudze SQL Database należy utworzyć użytkownika SQL od dostawcy zewnętrznego o takiej samej nazwie jak zasób Azure Data Share, łącząc się z bazą danych SQL przy użyciu uwierzytelniania Microsoft Entra. Ten użytkownik musi mieć przyznane db_datareader uprawnienia. Przykładowy skrypt wraz z innymi wymaganiami wstępnymi dotyczącymi udostępniania opartego na języku SQL można znaleźć w samouczku Udostępnianie z usługi Azure SQL Database lub Azure Synapse Analytics .

Przykład odbiorcy danych

Aby odbierać dane na konto magazynu, należy przyznać tożsamości zarządzanej zasobu udziału danych odbiorcy dostęp do docelowego konta magazynu. Tożsamości zarządzanej zasobu udostępniania danych musi zostać przyznana rola Storage Blob Data Contributor. Jest to wykonywane automatycznie przez usługę Azure Data Share, jeśli użytkownik określi docelowe konto magazynu danych za pośrednictwem portalu Azure oraz ma odpowiednie uprawnienia. Na przykład użytkownik jest właścicielem konta magazynowego lub jest członkiem roli niestandardowej, która ma przypisane uprawnienie Microsoft.Authorization/role assignments/write.

Alternatywnie użytkownik może poprosić właściciela konta magazynu o ręczne dodanie tożsamości zarządzanej zasobu udziału danych do konta magazynu. Tę czynność należy wykonać tylko raz dla każdego zasobu udostępniania danych. Aby ręcznie utworzyć przypisanie roli dla tożsamości zarządzanej zasobu udostępniania danych, wykonaj poniższe kroki.

1. Przejdź do magazynu danych platformy Azure.

2. Wybierz pozycję Kontrola dostępu (IAM).

3. Wybierz pozycję Dodaj > Dodaj przypisanie roli.

   

4. Na karcie Rola wybierz jedną z ról wymienionych w tabeli przypisania roli w poprzedniej sekcji. Na przykład w przypadku konta magazynu danych wybierz pozycję Storage Blob Data Reader.

5. Na karcie Członkowie wybierz pozycję Tożsamość zarządzana, a następnie wybierz pozycję Wybierz członków.

6. Wybierz subskrypcję platformy Azure.

7. Wybierz Tożsamość zarządzaną przypisaną przez system, wyszukaj zasób Azure Data Share, a następnie wybierz go.

8. Na karcie Przeglądanie i przypisywanie wybierz pozycję Przejrzyj i przypisz, aby przypisać rolę.

Aby dowiedzieć się więcej na temat przypisań ról, zobacz Przypisywanie ról platformy Azure przy użyciu witryny Azure Portal. Jeśli otrzymujesz dane przy użyciu interfejsów API REST, możesz utworzyć przypisanie roli za pomocą interfejsu API, odwołując się do artykułu Przypisywanie ról platformy Azure przy użyciu interfejsu API REST.

W przypadku obiektu docelowego opartego na SQL użytkownik SQL musi zostać utworzony z zewnętrznego dostawcy w bazie danych SQL Database i mieć tę samą nazwę co zasób Azure Data Share podczas łączenia się z bazą danych SQL przy użyciu uwierzytelniania Microsoft Entra. Ten użytkownik musi mieć uprawnienie db_datareader, db_datawriter, db_ddladmin . Przykładowy skrypt wraz z innymi wymaganiami wstępnymi dotyczącymi udostępniania opartego na języku SQL można znaleźć w samouczku Udostępnianie z usługi Azure SQL Database lub Azure Synapse Analytics .

Rejestracja dostawcy zasobów

W następujących scenariuszach może być konieczne ręczne zarejestrowanie dostawcy zasobów Microsoft.DataShare w ramach subskrypcji platformy Azure:

• Wyświetl zaproszenie usługi Azure Data Share po raz pierwszy w dzierżawie platformy Azure
• Udostępnianie danych z magazynu danych platformy Azure w innej subskrypcji platformy Azure z zasobu usługi Azure Data Share
• Odbieranie danych do magazynu danych platformy Azure w innej subskrypcji platformy Azure z zasobu usługi Azure Data Share

Wykonaj następujące kroki, aby zarejestrować dostawcę zasobów Microsoft.DataShare w ramach subskrypcji platformy Azure. Aby zarejestrować dostawcę zasobów, musisz mieć dostęp współautora do subskrypcji platformy Azure.

1. W portalu Azure przejdź do opcji Subskrypcje.
2. Wybierz subskrypcję używaną dla usługi Azure Data Share.
3. Wybierz Dostawcy zasobów.
4. Wyszukaj Microsoft.DataShare.
5. Wybierz pozycję Zarejestruj.

Aby dowiedzieć się więcej o dostawcy zasobów, zapoznaj się z tematem Dostawcy zasobów i typy zasobów platformy Azure.

Role niestandardowe dla funkcji Data Share

W tej sekcji opisano role niestandardowe i uprawnienia wymagane w ramach ról niestandardowych do udostępniania i odbierania danych specyficznych dla konta magazynu. Istnieją również wymagania wstępne niezależne od roli niestandardowej lub roli usługi Azure Data Share.

Wymagania wstępne dotyczące udostępniania danych, poza rolą niestandardową

• W przypadku udostępniania opartego na migawkach danych w usłudze Storage i Data Lake, aby dodać zestaw danych w usłudze Azure Data Share, tożsamość zarządzana zasobu udziału danych dostawcy musi otrzymać dostęp do źródłowego magazynu danych Azure. Na przykład, w przypadku korzystania z konta magazynu tożsamości zarządzanej zasobu udziału danych przypisuje się rolę Czytelnik danych obiektów blob usługi Storage.
• Aby odbierać dane na konto magazynowe, tożsamość zarządzana zasobu udziału danych odbiorcy musi mieć przyznany dostęp do docelowego konta magazynowego. Tożsamość zarządzana zasobu udostępniania danych musi mieć nadaną rolę Storage Blob Data Contributor.
• W niektórych scenariuszach może być również konieczne ręczne zarejestrowanie dostawcy zasobów Microsoft.DataShare w subskrypcji platformy Azure. Aby uzyskać szczegółowe informacje, zobacz sekcję Rejestracja dostawcy zasobów w tym artykule.

Tworzenie ról niestandardowych i wymaganych uprawnień

Role niestandardowe można utworzyć w subskrypcji lub grupie zasobów na potrzeby udostępniania i odbierania danych. Użytkownikom i grupom można następnie przypisać rolę niestandardową.

• W przypadku tworzenia roli niestandardowej wymagane są działania dotyczące Storage, udostępniania danych, grupy zasobów i autoryzacji. Zapoznaj się z dokumentem Dotyczącym operacji dostawcy zasobów platformy Azure dla usługi Data Share, aby poznać różne poziomy uprawnień i wybrać te istotne dla roli niestandardowej.
• Alternatywnie możesz użyć portalu Azure, aby przejść do pozycji IAM, Rola niestandardowa, Dodaj uprawnienia, Wyszukaj, a następnie wyszukać uprawnienia Microsoft.DataShare, aby wyświetlić listę dostępnych akcji.
• Aby dowiedzieć się więcej na temat przypisywania ról niestandardowych, zapoznaj się z tematem Role niestandardowe platformy Azure. Po utworzeniu roli niestandardowej przetestuj ją, aby sprawdzić, czy działa zgodnie z oczekiwaniami.

Poniżej przedstawiono przykład sposobu wyświetlania wymaganych akcji w widoku JSON dla roli niestandardowej do udostępniania i odbierania danych.

{
"Actions": [ 

"Microsoft.Storage/storageAccounts/read",  

"Microsoft.Storage/storageAccounts/write",  

"Microsoft.Storage/storageAccounts/blobServices/containers/read", 

"Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action",

"Microsoft.Storage/storageAccounts/listkeys/action",

"Microsoft.DataShare/accounts/read", 

"Microsoft.DataShare/accounts/providers/Microsoft.Insights/metricDefinitions/read", 

"Microsoft.DataShare/accounts/shares/listSynchronizations/action", 

"Microsoft.DataShare/accounts/shares/synchronizationSettings/read", 

"Microsoft.DataShare/accounts/shares/synchronizationSettings/write", 

"Microsoft.DataShare/accounts/shares/synchronizationSettings/delete", 

"Microsoft.DataShare/accounts/shareSubscriptions/*", 

"Microsoft.DataShare/listInvitations/read", 

"Microsoft.DataShare/locations/rejectInvitation/action", 

"Microsoft.DataShare/locations/consumerInvitations/read", 

"Microsoft.DataShare/locations/operationResults/read", 

"Microsoft.Resources/subscriptions/resourceGroups/read", 

"Microsoft.Resources/subscriptions/resourcegroups/resources/read", 

"Microsoft.Authorization/roleAssignments/read", 
 ] 
}

Powiązana zawartość

Dowiedz się więcej o rolach na platformie Azure — Omówienie definicji ról platformy Azure