Arbetsplatsidentitet

En Fabric-arbetsyteidentitet är ett automatiskt hanterat tjänstekonto som kan associeras med en Fabric-arbetsyta. Fabric-arbetsytor med en arbetsyteidentitet kan säkert läsa eller skriva till brandväggsaktiverade Azure Data Lake Storage Gen2-konton via betrodd arbetsyteåtkomst för OneLake-genvägar. Tygobjekt kan använda identiteten när de ansluter till resurser som stöder Microsoft Entra-autentisering. Fabric använder arbetsyteidentiteter för att hämta Microsoft Entra-token utan att kunden behöver hantera några autentiseringsuppgifter alls.

Identiteter för arbetsytor kan skapas i arbetsyteinställningarna i alla arbetsytor utom Mina arbetsytor.

När du skapar en arbetsyteidentitet skapar Fabric ett huvudnamn för tjänsten i Microsoft Entra-ID för att representera identiteten. En tillhörande appregistrering skapas också. Fabric hanterar automatiskt de autentiseringsuppgifter som är associerade med arbetsyteidentiteter, vilket förhindrar läckage av autentiseringsuppgifter och driftstopp på grund av felaktig hantering av autentiseringsuppgifter.

Identiteter på infrastrukturarbetsytor delar vissa likheter med hanterade Azure-identiteter, men deras livscykel, administration och styrning skiljer sig åt. Fabric hanterar den självständiga livscykeln för en arbetsplatsidentitet. Du kan valfritt koppla en Fabric-arbetsyta till en identitet. När du permanent raderar arbetsytan raderar Fabric identiteten. Namnet på arbetsytans identitet är alltid samma som namnet på arbetsytan som den är associerad med.

Skapa och hantera en arbetsyteidentitet

Du måste vara administratör för arbetsytan för att kunna skapa och hantera en arbetsyteidentitet. Den arbetsyta som du skapar identiteten för kan inte vara en Min arbetsyta.

1. Logga in på Microsoft Fabric-portalen.
2. Välj Arbetsytor och välj sedan den arbetsyta som du vill skapa en arbetsyteidentitet för.
3. På arbetsytan väljer du ikonen Inställningar för arbetsyta (kugghjul).
4. Välj fliken Arbetsytas identitet .
5. Välj knappen + Identitet för arbetsyta.

När arbetsytans identitet har skapats visar fliken information om arbetsytans identitet och listan över behöriga användare.

Avsnitten i identitetskonfigurationen för arbetsytan beskrivs i följande avsnitt.

Identitetsinformation

Behöriga användare

Mer information finns i Åtkomstkontroll.

Ta bort en arbetsplatsidentitet

När en identitet tas bort kommer Fabric-komponenter som förlitar sig på arbetsytans identitet för pålitlig åtkomst till arbetsytan eller autentisering sluta fungera. Det går inte att återställa borttagna arbetsyteidentiteter.

Så här använder du arbetsyteidentitet

Arbetsytans identitet kan för närvarande användas på två sätt:

• För autentisering: Information om hur den här identiteten visas som ett autentiseringsalternativ när du ansluter OneLake-genvägar, pipelines, semantiska modeller och Dataflöden Gen2 (CI/CD) till datakällor finns i Autentisera med arbetsyteidentitet.

• För betrodd åtkomst till arbetsytan: Genvägar i en arbetsyta som har en arbetsyteidentitet kan användas för åtkomst till betrodda tjänster. Mer information finns i åtkomst till betrodda arbetsytor.

Säkerhet, administration och styrning av arbetsyteidentiteten

I följande avsnitt beskrivs vem som kan använda arbetsyteidentiteten och hur du kan övervaka den i Microsoft Purview och Azure.

Åtkomstkontroll

Arbetsyteidentitet kan skapas och tas bort av arbetsyteadministratörer. Som standardinställning beviljas inte arbetsytsidentiteten någon arbetsyteroll.

Arbetsyteidentitet stöds för autentisering till målresurser i anslutningar. Endast användare med en administratörs-, medlems- eller deltagarroll på arbetsytan kan konfigurera arbetsytans identitet för autentisering i anslutningar.

Programadministratörer eller användare med högre roller kan visa, ändra och ta bort tjänstens huvudnamn och appregistrering som är associerad med arbetsytans identitet i Azure.

Administrera arbetsytans identitet i Fabric

Fabric-administratörer kan hantera de workspace-identiteter de skapar i sin tenant. Använd Fabric-identiteter under Konfigurationer i avsnittet Styr i OneLake-katalogen.

1. I OneLake-katalogen väljer du Govern>Configurations>Fabric identities.
2. Välj en arbetsyteidentitet och välj sedan Information.
3. På fliken Information kan du visa ytterligare information som rör arbetsytans identitet.
4. Du kan också ta bort en arbetsyteidentitet.

   Anmärkning

   Det går inte att återställa arbetsyteidentiteter efter borttagningen. Se till att granska konsekvenserna av att ta bort en arbetsyteidentitet som beskrivs i Ta bort en arbetsyteidentitet.

Granska identitetshändelser för arbetsytor i Microsoft Purview Granskning

Du kan se de revisionshändelser som genereras när du skapar och tar bort arbetsytidentiteter i Microsoft Purview Granskning. För att få tillgång till loggen:

1. Gå till Microsoft Purview Granskning.
2. I granskningssökningsformuläret som visas använder du fältet Aktiviteter – begripliga namn för att söka efter nätverksidentitet för att hitta aktiviteter som är relaterade till arbetsyteidentiteter. För närvarande är följande aktiviteter relaterade till arbetsplatsidentiteter:
   • Skapad Fabric-identitet för arbetsyta
   • Hämtad Fabric-identitet för arbetsyta
   • Deleted Fabric Identity för arbetsyta
   • Hämtad Fabric Identity Token för arbetsyta

Administrera arbetsytans identitet i Azure

Programmet som är associerat med arbetsytans identitet kan visas under både Enterprise-program och Appregistreringar i Azure-portalen.

Företagsprogram

Programmet som är associerat med arbetsytans identitet kan visas i Företagsprogram i Azure-portalen. Fabric Identity Management-appen är dess konfigurationsägare.

Så här visar du granskningsloggar och inloggningsloggar för den här identiteten:

1. Logga in på Azure-portalen.
2. Gå till Microsoft Entra ID > Enterprise-applikationer.
3. Välj antingen Granskningsloggar eller Inloggningsloggar efter behov.

Appregistreringar

Programmet som är associerat med arbetsytans identitet visas under Appregistreringar i Azure-portalen. Inga ändringar bör göras där, eftersom det gör att arbetsytans identitet slutar fungera.

Appregistreringen finns kvar i listan så länge arbetsytans identitet finns i Fabric, även under tiden en borttagen arbetsyta befinner sig i sin kvarhållningsperiod. För mer information, se Radera identiteten.

Avancerade scenarier

I följande avsnitt beskrivs scenarier med arbetsyteidentiteter som kan inträffa.

Ta bort identiteten

Arbetsyteidentiteten kan tas bort i inställningarna för arbetsytan. När en identitet tas bort kommer Fabric-komponenter som förlitar sig på arbetsytans identitet för pålitlig åtkomst till arbetsytan eller autentisering sluta fungera. Borttagna arbetsyteidentiteter kan inte återställas.

Fabric raderar också sin workspace-identitet men behåller arbetsytan i ett Raderat tillstånd under hela arbetsytans bevarandeperiod så att en administratör kan återställa den. Under lagringsperioden avprovisionerar inte Fabric arbetsytidentiteten, och dess tjänsteprincip och appregistrering förblir synliga i Azure-portalen.

Fabric avaktiverar workspace-identiteten när du permanent tar bort workspace. Denna permanenta borttagning sker på ett av följande sätt:

• Lagringsperioden löper ut och ett bakgrundsjobb raderar permanent arbetsytan.
• En Fabric-administratör raderar permanent arbetsytan under lagringsperioden. Mer information finns i Ta bort ett borttaget samarbetsutrymme permanent under bevarandeperioden.

När den permanenta raderingen har startat övergår arbetsytans identitet till tillståndet Deleting, och det kan ta en stund innan det associerade tjänsthuvudkontot och appregistreringen inte längre visas i Microsoft Entra ID.

Om du regelbundet raderar arbetsytor och återskapar dem med samma namn kan du se mer än en appregistrering med det namnet i din hyresgäst medan de borttagna arbetsytorna fortfarande är kvar i sin lagringstid. För att ta bort en arbetsytidentitet utan att vänta på att lagringsperioden ska löpa ut, använd ett av följande alternativ:

• Innan du tar bort arbetsytan, ta bort arbetsytans identitet under fliken Arbetsytans identitet i arbetsytans inställningar.
• Be en Fabric-administratör att permanent radera arbetsytan under lagringsperioden.

Om du återställer arbetsytan efter raderingen återställs inte arbetsytans identitet. Om du vill att den återställde arbetsytan ska ha en arbetsyteidentitet måste du skapa en ny.

Byta namn på arbetsytan

När en arbetsyta byter namn byts även arbetsytans identitet namn så att den matchar arbetsytans namn. Microsoft Entra-programmet och tjänstens huvudnamn är dock desamma. Observera att det kan finnas flera program- och appregistreringsobjekt med samma namn i en klientorganisation.

Överväganden och begränsningar

• Du kan skapa en arbetsyteidentitet på valfri arbetsyta förutom Min arbetsyta.

• Du kan skapa och använda en workspace-identitet oavsett vilken kapacitets-SKU som är tilldelad arbetsytan.

• Att använda arbetsytidentitet som legitimation i molnanslutningar stöds i alla former.

• Betrodd åtkomst till arbetsytan för brandväggsaktiverade Storage-konton kräver att arbetsytan har tilldelats en köpt Microsoft Fabric-kapacitet (F SKU).

• Om du migrerar en workspace med en workspace-identitet till en icke-Fabric-kapacitet, till en icke-F SKU Fabric-kapacitet eller till en testkapacitet, inaktiveras eller raderas inte identiteten, men Fabric-objekt som är beroende av betrodd workspace-åtkomst slutar fungera.

• Det är tillåtet att skapa upp till 10 000 arbetsyteidentiteter i en klientorganisation. Du kan också ange ditt eget maxvärde i klientinställningarna, vilket blir den övre gränsen för skapande av Fabric-identiteter i klientorganisationen. För mer information, se Definiera maximalt antal Fabric-identiteter i en klient.

• Fabric tar inte bort identiteten för en arbetsyta när du tar bort arbetsytan. Fabric tar bort den först efter att arbetsytan har raderats permanent. Därför kan din tenant innehålla flera appregistreringar med samma namn om du tar bort arbetsytor och skapar dem igen med samma namn. För mer information, se Radera identiteten.

• Azure Data Lake Storage Gen2-genvägar i en arbetsyta med en arbetsyteidentitet kommer att ha möjlighet till betrodd tjänståtkomst.

• Arbetsytaidentitet stöds inte i B2B- eller mellanorganisationella scenarier.

Felsöka problem med att skapa arbetsytans identitet

• Om du inte kan skapa en arbetsyteidentitet eftersom knappen för att skapa är inaktiverad kontrollerar du att du har rollen som arbetsyteadministratör.

• Om du stöter på problem första gången du skapar en arbetsyta-identitet i din klientorganisation, kan du prova följande steg:

  1. Om arbetsytans identitetstillstånd är misslyckat, vänta i en timme och ta sedan bort identiteten.
  2. När identiteten har tagits bort väntar du 5 minuter och skapar sedan identiteten igen.

Relaterat innehåll

• Autentisera med arbetsyteidentitet
• Åtkomst till betrodd arbetsyta
• Infrastrukturidentiteter