Skapa en Genväg till Azure Data Lake Storage Gen2

I den här artikeln får du lära dig hur du skapar en genväg Azure Data Lake Storage (ADLS) Gen2 i ett Fabric lakehouse. När du skapar genvägar till Azure Data Lake Storage (ADLS) Gen2-lagringskonton kan målsökvägen peka på valfri mapp i det hierarkiska namnområdet. Målsökvägen måste minst innehålla ett containernamn.

En översikt över genvägar finns i OneLake-genvägar. Information om hur du skapar genvägar programmatiskt finns i Rest-API:er för OneLake-genvägar.

Förutsättningar

  • Ett sjöhus. Om du inte har en skapar du en genom att följa dessa steg: Skapa ett sjöhus.
  • Du måste aktivera hierarkiska namnområden på ditt ADLS Gen2-lagringskonto.

Skapa en genväg

  1. Öppna ett sjöhus.

  2. Högerklicka på en mapp i Lake view i lakehouse.

  3. Välj Ny genväg.

    Samma skärmbild som visades tidigare och som visar var du väljer Ny genväg i Lake-vyn.

  4. Under Externa källor väljer du Azure Data Lake Storage Gen2.

  5. Ange anslutningsinställningar och autentiseringsuppgifter för anslutning för lagringskontot.

    Skärmbild av fönstret Ny genväg som visar anslutningsinställningar och autentiseringsuppgifter för anslutning.

    Fält Beskrivning
    URL DFS-slutpunkten för ditt lagringskonto.

    https://<STORAGE_ACCOUNT_NAME>.dfs.core.windows.net
    Anslutning Välj en befintlig anslutning för den angivna lagringsplatsen i den nedrullningsbara menyn. Om det inte finns några anslutningar väljer du Skapa ny anslutning.
    Anslutningens namn Ett namn på din Azure Data Lake Storage Gen2-anslutning.
    Typ av autentisering Välj önskad auktoriseringsmodell i den nedrullningsbara menyn: Organisationskonto, Kontonyckel, Signatur för delad åtkomst (SAS), Tjänstens huvudnamn eller Arbetsyteidentitet. Mer information finns i Auktorisering.

    När du har valt en autentiseringstyp fyller du i de nödvändiga autentiseringsuppgifterna.

  6. Välj Nästa.

  7. Bläddra till målplatsen för genvägen.

    Skärmbild av lagringsfönstret med flera mappar valda.

    Om du precis har använt lagringskontot i anslutnings-URL:en visas alla tillgängliga containrar i den vänstra navigeringsvyn. Om du har angett en container i anslutnings-URL visas endast den angivna containern och dess innehåll i navigeringsvyn.

    Navigera till lagringskontot genom att välja en mapp eller expansionspilen bredvid en mapp.

    I den här vyn kan du välja en eller flera målplatser för genvägar. Välj målplatser genom att markera kryssrutan bredvid en mapp i den vänstra navigeringsvyn.

  8. Välj Nästa

    Skärmbild av sidan för genvägsgranskning med alternativ för att byta namn på och ta bort genvägar.

    På granskningssidan kan du verifiera alla dina val. Här kan du se varje genväg som skapas. I åtgärdskolumnen kan du välja pennikonen för att redigera genvägsnamnet. Du kan välja papperskorgsikonen för att ta bort genvägen.

  9. Välj Skapa.

  10. Sjöhuset uppdateras automatiskt. Genvägen visas i det vänstra explorer-fönstret .

    Skärmbild som visar en lista över mappar i Lake-vyn som visas med genvägssymbolen.

Åtkomst

ADLS-genvägar måste peka på DFS-slutpunkten för lagringskontot.

Exempel: https://accountname.dfs.core.windows.net/

Om en lagringsbrandvägg skyddar ditt lagringskonto kan du konfigurera åtkomst till betrodda tjänster. Mer information finns i Åtkomst till betrodd arbetsyta.

Authorization

ADLS-genvägar använder en delegerad auktoriseringsmodell. I den här modellen anger genvägsskapare en autentiseringsuppgift för ADLS-genvägen och all åtkomst till genvägen auktoriseras med hjälp av den autentiseringsuppgiften. ADLS-genvägar stöder följande delegerade auktoriseringstyper:

  • Organisationskonto – måste ha rollen Storage Blob Data Reader, Storage Blob Data Contributor eller Storage Blob Data Owner för lagringskontot. eller Delegerarroll på lagringskontot plus fil- eller katalogåtkomst som beviljats i lagringskontot.
  • Tjänsthuvudman – måste ha rollen Storage Blob Data Reader, Storage Blob Data Contributor eller Storage Blob Data Owner för lagringskontot; eller Delegerarroll på lagringskontot plus beviljad fil- eller katalogåtkomst inom lagringskontot.
  • Arbetsyteidentitet – måste ha rollen Storage Blob Data Reader, Storage Blob Data Contributor eller Storage Blob Data Owner för lagringskontot, eller Delegerarroll på lagringskontot plus fil- eller katalogåtkomst som beviljats i lagringskontot.
  • Signatur för delad åtkomst (SAS) – måste innehålla minst följande behörigheter: Läsa, Lista och Kör.
  • Kontonyckel – åtkomstnyckeln för lagringskontot. Kontonycklar ger fullständig åtkomst till lagringskontot, så använd det här alternativet med försiktighet och skydda dina nycklar på rätt sätt.

Delegerade auktoriseringstyper för Microsoft Entra-ID (organisationskonto, tjänstens huvudnamn eller arbetsyteidentitet) kräver åtgärden Generera en nyckel för användardelegering på lagringskontonivå. Den här åtgärden ingår som en del av rollerna Storage Blob Data Reader, Storage Blob Data Contributor, Storage Blob Data Owner och Delegator. Om du inte vill ge en användarläsare, deltagare eller ägare behörighet för hela lagringskontot tilldelar du dem rollen Delegerare i stället. Definiera sedan detaljerade behörigheter för dataåtkomst med hjälp av åtkomstkontrollistor (ACL: er) i Azure Data Lake Storage.

Viktigt!

Kravet på att generera en nyckel för användardelegering tillämpas för närvarande inte när en arbetsyteidentitet har konfigurerats för arbetsytan och ADLS-genvägsautentiseringstypen är organisationskonto, tjänsthuvudnamn eller arbetsyteidentitet. Det här beteendet kommer dock att begränsas i framtiden. Kontrollera att alla delegerade identiteter har åtgärden Generera en nyckel för användardelegering för att säkerställa att användarnas åtkomst inte påverkas när det här beteendet ändras.

Använd åtkomstkontrolllistor i Azure Data Lake Storage med ADLS shortcuts

För att återanvända åtkomstkontrollistor (ACL:er) som tilldelats ett ADLS-genvägsmål och tillämpa dem på en ADLS-genväg, använd en kombination av rollen Storage Blob Delegator och ACL:er som tilldelats filerna och katalogerna i lagringskontot för att kontrollera åtkomsten till ADLS-genvägar.

En skärmdump av ett lagringskonto med exempelkonfiguration av ACL.

Genom att använda denna auktorisationsmodell kan du kontrollera åtkomsten till ADLS-genvägar med mer detaljrikedom. Modellen kombinerar Storage Blob Delegator-rollen med ACL:er som tilldelats på ADLS-kataloger och filer inom lagringskontot. Denna auktorisationsmodell påverkar inte befintliga ADLS-genvägar. Kunder kan fortsätta använda befintliga auktoriseringsmodeller. ACL-auktorisationsmodellen stödjer användaridentitet, tjänsthuvudnamn och Fabric-arbetsytidentitet.

  1. Gå till Azure Storage-kontot och välj Lägg till rolltilldelning. Välj sedan rollen Storage Blob Delegator . Tilldela denna roll till en användaridentitet eller en service principal (SPN).

    Skärmdump av Azure Storage-rolltilldelning med Storage Blob Delegator-rollen markerad i bilden.

  2. När du har slutfört rolltilldelningen, gå till objektet (filen eller katalogen) i ADLS och välj Hantera ACL. Tilldela lämpliga ACL-behörigheter till säkerhetsobjektet du använder för att konfigurera ADLS-genvägen.

    Skärmdump av ADLS-inställningar med ACL-konfigurationsalternativ.

  3. Byt till Microsoft Fabric och välj Ny genväg. Följ instruktionerna för att konfigurera ADLS-genvägen genom att använda säkerhetshuvudobjektet som du tilldelat Storage Blob Delegator-rollen och relevanta ACL-behörigheter.

    Skärmdump av dialogen för att skapa en ny genväg med anslutningsinställningarna markerade.

  4. Efter att du specificerat anslutningsdetaljer och inloggningsuppgifter, gå till katalogen på ADLS med källdata för genvägen. Ditt säkerhetsobjekt som du använder för att konfigurera ADLS-genvägen kanske inte har behörighet att bläddra i kataloger. Om denna identitet inte har behörighet, välj Path View uppe i högra hörnet av dialogrutan och skriv in önskad plats.

    Skärmdump av konfigurationen för den nya genvägen med alternativet Path View markerat.

  5. Välj Skapa genväg när du har angett önskad plats. De nya genvägarna dyker upp i OneLake när du skapar genvägen framgångsrikt.

    Skärmdump av Fabric lakehouse UX som visar ADLS-genvägar har skapats framgångsrikt.

Nu sätter du upp en ADLS-genväg som använder ADLS-åtkomstkontrolllistor för att hantera auktorisation för genvägsrepresentationen av det objektet.

Begränsningar

Följande begränsningar gäller för ADLS-genvägar:

  • ADLS-genvägar till lagringskonton i en annan Microsoft Entra-klientorganisation än din Infrastruktur-klientorganisation kräver användning av en tjänsthuvudprincip eller en SAS-token för autentisering. Identitetsautentisering för organisationskonto och arbetsyta fungerar inte mellan klienter. Om du vill dela data mellan Fabric-användare bör du överväga att använda extern datadelning i stället, vilket kräver kapacitet i Fabric i båda klientorganisationerna.
  • ADLS-kortkommandomålsökvägar får inte innehålla några reserverade tecken från RFC 3986 avsnitt 2.2. Tillåtna tecken finns i RFC 3968 avsnitt 2.3.
  • ADLS-genvägar stöder inte API för kopieringsblob.
  • Kopieringsfunktionen fungerar inte på genvägar som pekar direkt på ADLS-containrar. Vi rekommenderar att du skapar ADLS-genvägar till en katalog som är minst en nivå under en container.
  • OneLake-genvägar stöder inte anslutningar till ADLS Gen2-lagringskonton som använder hanterade privata slutpunkter. Mer information finns i Hanterade privata slutpunkter för Fabric.
  • Du kan inte skapa fler genvägar i ADLS-genvägar.
  • ADLS genvägar för gen 2 stöds inte för molnlagringskonton som använder Microsoft Purview Data Sharing.

Relaterat innehåll

  • Uppdaterades senast