สร้างทางลัด Azure Data Lake Storage รุ่น2

ในบทความนี้ คุณจะได้เรียนรู้วิธีสร้างทางลัด Azure Data Lake Storage (ADLS) Gen2 ภายในเลคเฮาส์ Fabric เมื่อคุณสร้างทางลัดไปยังบัญชีที่เก็บข้อมูล Azure Data Lake Storage (ADLS) Gen2 เส้นทางเป้าหมายสามารถชี้ไปยังโฟลเดอร์ใด ๆ ภายในเนมสเปซแบบลําดับชั้น อย่างน้อยที่สุด เส้นทางเป้าหมายต้องมีชื่อคอนเทนเนอร์

สําหรับภาพรวมของทางลัด ให้ดู ทางลัด OneLake หากต้องการสร้างทางลัดทางโปรแกรม โปรดดู ทางลัด OneLake REST API

ข้อกำหนดเบื้องต้น

  • เลคเฮ้าส์ หากคุณยังไม่มี ให้สร้างโดยทําตามขั้นตอนเหล่านี้: สร้างเลคเฮาส์
  • คุณต้องเปิดใช้งาน Namespaces แบบลําดับชั้นในบัญชีที่เก็บข้อมูล ADLS Gen2 ของคุณ

สร้างทางลัด

  1. เปิดเลคเฮ้าส์

  2. คลิกขวาบนไดเรกทอรีภายใน มุมมอง ทะเลสาบของเลคเฮ้าส์

  3. เลือก ทางลัดใหม่

    สกรีนช็อตเดียวกันที่แสดงไว้ก่อนหน้านี้แสดงตําแหน่งที่จะเลือกทางลัดใหม่จากมุมมองทะเลสาบ

  4. ภายใต้ แหล่งข้อมูลภายนอก ให้เลือก Azure Data Lake Storage รุ่น2

  5. ป้อน การตั้งค่าการเชื่อมต่อ และ ข้อมูลรับรองการเชื่อมต่อ สําหรับบัญชีที่เก็บข้อมูล

    ภาพหน้าจอของหน้าต่างทางลัดใหม่ที่แสดงการตั้งค่าการเชื่อมต่อและข้อมูลประจําตัวการเชื่อมต่อ

    เขตข้อมูล คำอธิบาย
    URL ปลายทาง DFS สําหรับบัญชีพื้นที่เก็บข้อมูลของคุณ

    https://<STORAGE_ACCOUNT_NAME>.dfs.core.windows.net
    การเชื่อมต่อ เลือกการเชื่อมต่อที่มีอยู่สําหรับตําแหน่งที่เก็บข้อมูลที่ระบุจากเมนูแบบเลื่อนลง หรือถ้าไม่มีการเชื่อมต่อ ให้เลือก สร้างการเชื่อมต่อใหม่
    ชื่อการเชื่อมต่อ ชื่อสําหรับการเชื่อมต่อ Azure Data Lake Storage รุ่น2 ของคุณ
    ชนิดของการรับรองความถูกต้อง เลือกรูปแบบการให้สิทธิ์ที่คุณต้องการจากเมนูแบบเลื่อนลง: บัญชีองค์กร, คีย์บัญชี, ลายเซ็นการเข้าถึงที่ใช้ร่วมกัน (SAS), บริการหลัก หรือ ข้อมูลประจําตัวของพื้นที่ทํางาน หากต้องการข้อมูลเพิ่มเติม โปรดดู การให้สิทธิ์

    เมื่อคุณเลือกชนิดการรับรองความถูกต้อง ให้กรอกข้อมูลประจําตัวที่จําเป็น

  6. เลือก ถัดไป

  7. เรียกดูตําแหน่งที่ตั้งเป้าหมายสําหรับทางลัด

    สกรีนช็อตของหน้าต่างเรียกดูที่เก็บข้อมูลที่เลือกหลายโฟลเดอร์

    ถ้าคุณเพิ่งใช้บัญชีเก็บข้อมูลใน URL การเชื่อมต่อ คอนเทนเนอร์ที่พร้อมใช้งานทั้งหมดของคุณจะปรากฏในมุมมองการนําทางด้านซ้าย ถ้าคุณระบุคอนเทนเนอร์ใน URL การเชื่อมต่อ เฉพาะคอนเทนเนอร์ที่ระบุและเนื้อหาจะปรากฏในมุมมองการนําทาง

    นําทางบัญชีที่เก็บข้อมูลโดยเลือกโฟลเดอร์หรือลูกศรขยายถัดจากโฟลเดอร์

    ในมุมมองนี้ คุณสามารถเลือกสถานที่ของเป้าหมายทางลัดอย่างน้อยหนึ่งแห่ง เลือกตําแหน่งเป้าหมายโดยเลือกช่องทําเครื่องหมายถัดจากโฟลเดอร์ในมุมมองการนําทางด้านซ้าย

  8. เลือก ถัดไป

    สกรีนช็อตของหน้าตรวจสอบทางลัดพร้อมตัวเลือกในการเปลี่ยนชื่อและลบทางลัด

    หน้าการตรวจสอบอนุญาตให้คุณตรวจสอบการเลือกทั้งหมดของคุณ ที่นี่คุณสามารถดูทางลัดแต่ละรายการที่จะสร้างขึ้น ในคอลัมน์การดําเนินการ คุณสามารถเลือกไอคอนดินสอเพื่อแก้ไขชื่อทางลัดได้ คุณสามารถเลือกไอคอนถังขยะเพื่อลบทางลัดได้

  9. เลือก สร้าง

  10. เลคเฮ้าส์จะรีเฟรชโดยอัตโนมัติ ทางลัดจะปรากฏในแผง Explorer ด้านซ้าย

    สกรีนช็อตที่แสดงรายการมุมมอง Lake ของโฟลเดอร์ที่แสดงสัญลักษณ์ทางลัด

เข้าถึง

ทางลัด ADLS ต้องชี้ไปยังจุดสิ้นสุด DFS สําหรับบัญชีเก็บข้อมูล

ตัวอย่าง: https://accountname.dfs.core.windows.net/

หากไฟร์วอลล์ที่เก็บข้อมูลปกป้องบัญชีพื้นที่เก็บข้อมูล คุณจะกําหนดค่าการเข้าถึงบริการที่เชื่อถือได้ได้ สําหรับข้อมูลเพิ่มเติม โปรดดู การเข้าถึงพื้นที่ทํางานที่เชื่อถือได้

การอ นุ ญาต

ทางลัด ADLS ใช้แบบจําลองการให้สิทธิ์ที่ได้รับมอบหมาย ในโมเดลนี้ ผู้สร้างคําสั่งลัดจะระบุข้อมูลประจําตัวสําหรับคําสั่งลัด ADLS และการเข้าถึงคําสั่งลัดนั้นทั้งหมดได้รับอนุญาตโดยใช้ข้อมูลประจําตัวนั้น ทางลัด ADLS สนับสนุนประเภทการให้สิทธิ์ที่ได้รับมอบหมายต่อไปนี้:

  • บัญชีองค์กร - ต้องมีตัวอ่าน Blob Data Storage, Storage Blob Data Contributor หรือบทบาทเจ้าของ Blob Data Storage บนบัญชีเก็บข้อมูล หรือบทบาทผู้มอบสิทธิ์บนบัญชีเก็บข้อมูลบวกไฟล์หรือการเข้าถึงไดเรกทอรีที่ได้รับภายในบัญชีเก็บข้อมูล
  • บริการหลัก - ต้องมีบทบาท ตัวอ่าน Blob Data Storage, ตัวสนับสนุนข้อมูล Blob ของที่เก็บข้อมูล หรือ เจ้าของ Blob Data Storage บนบัญชีเก็บข้อมูล หรือบทบาทผู้มอบสิทธิ์บนบัญชีเก็บข้อมูลบวกไฟล์หรือการเข้าถึงไดเรกทอรีที่ได้รับภายในบัญชีเก็บข้อมูล
  • ข้อมูลประจําตัวของพื้นที่ทํางาน - ต้องมีบทบาท ที่เก็บข้อมูล Blob Data Reader, ตัวสนับสนุนข้อมูล Blob ของที่เก็บข้อมูล หรือ เจ้าของ Blob Data Storage บนบัญชีเก็บข้อมูล หรือบทบาทผู้มอบสิทธิ์บนบัญชีเก็บข้อมูลบวกไฟล์หรือการเข้าถึงไดเรกทอรีที่ได้รับภายในบัญชีเก็บข้อมูล
  • ลายเซ็นการเข้าถึงที่ใช้ร่วมกัน (SAS) - ต้องมีอย่างน้อยสิทธิ์ต่อไปนี้: อ่าน, รายการ และ ดําเนินการ
  • รหัสบัญชี - คีย์การเข้าถึงบัญชีที่เก็บข้อมูล คีย์บัญชีให้สิทธิ์การเข้าถึงบัญชีพื้นที่เก็บข้อมูลอย่างเต็มรูปแบบ ดังนั้นโปรดใช้ตัวเลือกนี้ด้วยความระมัดระวังและปกป้องคีย์ของคุณอย่างเหมาะสม

Microsoft Entra ID ชนิดการให้สิทธิ์ที่ได้รับมอบหมาย (บัญชีองค์กร โครงร่างสําคัญของบริการ หรือข้อมูลประจําตัวของพื้นที่ทํางาน) จําเป็นต้องมีการดําเนินการ สร้างคีย์การมอบสิทธิ์ของผู้ใช้ ในระดับบัญชีเก็บข้อมูล การดําเนินการนี้รวมเป็นส่วนหนึ่งของตัวอ่าน Blob Data Storage, ตัวสนับสนุนข้อมูล Blob ของที่เก็บข้อมูล, เจ้าของ Blob Data Storage และบทบาทของตัวมอบสิทธิ์ ถ้าคุณไม่ต้องการให้สิทธิ์แก่ผู้อ่าน ผู้สนับสนุน หรือเจ้าของบัญชีที่เก็บข้อมูลทั้งหมด ให้มอบหมายบทบาทผู้มอบสิทธิ์ให้พวกเขาแทน จากนั้นกําหนดสิทธิ์การเข้าถึงข้อมูลโดยละเอียดโดยใช้รายการควบคุมการเข้าถึง (ACL) ใน Azure Data Lake Storage

สําคัญ

ข้อกําหนด สร้างคีย์การมอบหมายผู้ใช้ ยังไม่มีการบังคับใช้ในขณะนี้เมื่อมีการกําหนดค่าข้อมูลประจําตัวของพื้นที่ทํางานสําหรับพื้นที่ทํางาน และชนิดการรับรองความถูกต้องของทางลัด ADLS คือ บัญชีองค์กร บริการหลัก หรือ ข้อมูลประจําตัวของพื้นที่ทํางาน อย่างไรก็ตาม ลักษณะการทํางานนี้จะถูกจํากัดในอนาคต ตรวจสอบว่าข้อมูลประจําตัวที่ได้รับมอบสิทธิ์ทั้งหมดมีการดําเนินการ สร้างคีย์การมอบสิทธิ์ผู้ใช้ เพื่อให้แน่ใจว่าการเข้าถึงของผู้ใช้จะไม่ได้รับผลกระทบเมื่อลักษณะการทํางานนี้เปลี่ยนแปลง

ใช้รายการควบคุมการเข้าถึงใน Azure Data Lake Storage ด้วยทางลัด ADLS

หากต้องการนํารายการควบคุมการเข้าถึง (ACLs) ที่กําหนดให้กับเป้าหมายทางลัด ADLS มาใช้ซ้ํา ให้ใช้บทบาท Storage Blob Delegator และ ACL ที่กําหนดให้กับไฟล์และไดเรกทอรีภายในบัญชีจัดเก็บข้อมูลเพื่อควบคุมการเข้าถึงทางลัด ADLS

ภาพหน้าจอของบัญชีจัดเก็บข้อมูลพร้อมตัวอย่างการกําหนดค่า ACL

ด้วยการใช้โมเดลการอนุญาตนี้ คุณสามารถควบคุมการเข้าถึงทางลัด ADLS ได้อย่างละเอียดมากขึ้น โมเดลนี้รวมบทบาท Storage Blob Delegator กับ ACL ที่กําหนดไว้ในไดเรกทอรีและไฟล์ของ ADLS ภายในบัญชีจัดเก็บข้อมูล โมเดลการอนุญาตนี้ไม่ส่งผลกระทบต่อทางลัด ADLS ที่มีอยู่ ลูกค้าสามารถใช้รูปแบบการอนุญาตที่มีอยู่ได้ต่อไป โมเดลการอนุญาต ACL รองรับตัวตนผู้ใช้ หลักการบริการ และตัวตนของพื้นที่ทํางาน Fabric

  1. ไปที่บัญชี Azure Storage แล้วเลือก เพิ่มการกําหนดบทบาท จากนั้นเลือกบทบาท Storage Blob Delegator กําหนดบทบาทนี้ให้กับตัวตนผู้ใช้หรือผู้ให้บริการหลัก (SPN)

    ภาพหน้าจอของการกําหนดบทบาท Azure Storage พร้อมบทบาท Storage Blob Delegator ที่เน้นในภาพ

  2. หลังจากที่คุณเสร็จสิ้นการกําหนดบทบาทแล้ว ให้ไปที่วัตถุ (ไฟล์หรือไดเรกทอรี) ใน ADLS และเลือก จัดการ ACL กําหนดสิทธิ์ ACL ที่เหมาะสมให้กับหลักความปลอดภัยที่คุณใช้ในการกําหนดค่าทางลัด ADLS

    ภาพหน้าจอการตั้งค่า ADLS พร้อมตัวเลือกการตั้งค่า ACL

  3. สลับไปที่ Microsoft Fabric แล้วเลือก ทางลัดใหม่ ทําตามคําแนะนําเพื่อกําหนดค่าทางลัด ADLS โดยใช้หลักความปลอดภัยที่คุณกําหนดบทบาท Storage Blob Delegator และสิทธิ์ ACL ที่เหมาะสม

    ภาพหน้าจอของประสบการณ์สร้างทางลัดใหม่โดยเน้นการตั้งค่าการเชื่อมต่อ

  4. หลังจากระบุรายละเอียดการเชื่อมต่อและข้อมูลรับรองที่จะใช้แล้ว ให้ไปที่ไดเรกทอรีบน ADLS ที่มีข้อมูลต้นทางสําหรับทางลัด หลักความปลอดภัยที่คุณใช้กําหนดค่าทางลัด ADLS อาจไม่มีสิทธิ์เรียกดูไดเรกทอรี หาก principal นี้ไม่มีสิทธิ์ ให้เลือก Path View ที่มุมขวาบนของกล่องโต้ตอบและพิมพ์ตําแหน่งที่ต้องการ

    ภาพหน้าจอของประสบการณ์การตั้งค่าทางลัดใหม่พร้อมตัวเลือกมุมมองเส้นทางที่เน้นไว้

  5. เลือก สร้างทางลัด เมื่อคุณระบุตําแหน่งที่ต้องการ ทางลัดใหม่จะปรากฏใน OneLake เมื่อคุณสร้างทางลัดสําเร็จ

    ภาพหน้าจอของ Fabric Lakehouse UX ที่แสดงทางลัด ADLS ถูกสร้างขึ้นสําเร็จแล้ว

ตอนนี้คุณตั้งค่าทางลัด ADLS ที่ใช้รายการควบคุมการเข้าถึง ADLS เพื่อจัดการการอนุญาตสําหรับการแสดงทางลัดของวัตถุนั้น

Limitations

ข้อจํากัดต่อไปนี้ใช้กับทางลัด ADLS:

  • ทางลัด ADLS ไปยังบัญชีที่เก็บข้อมูลในผู้เช่า Microsoft Entra ที่แตกต่างจากผู้เช่า Fabric ของคุณจําเป็นต้องใช้บริการหลักหรือโทเค็น SAS สําหรับการรับรองความถูกต้อง การรับรองความถูกต้องของบัญชีองค์กรและข้อมูลประจําตัวของพื้นที่ทํางานไม่ทํางานข้ามผู้เช่า สําหรับการแชร์ข้อมูลระหว่างผู้เช่า Fabric ให้พิจารณาใช้ การแชร์ข้อมูลภายนอก แทน ซึ่งต้องใช้ความจุ Fabric ในผู้เช่าทั้งสอง
  • เส้นทางเป้าหมายทางลัด ADLS ต้องไม่มีอักขระที่สงวนไว้จาก RFC 3986 ส่วน 2.2 สําหรับอักขระที่อนุญาต ให้ดู RFC 3968 ส่วนที่ 2.3
  • ทางลัด ADLS ไม่รองรับ Copy Blob API
  • ฟังก์ชันคัดลอกจะไม่ทํางานบนทางลัดที่ชี้ไปยังคอนเทนเนอร์ ADLS โดยตรง ขอแนะนําให้สร้างทางลัด ADLS ไปยังไดเรกทอรีที่ต่ํากว่าคอนเทนเนอร์อย่างน้อยหนึ่งระดับ
  • ทางลัด OneLake ไม่สนับสนุนการเชื่อมต่อกับบัญชีที่เก็บข้อมูล ADLS Gen2 ที่ใช้จุดสิ้นสุดส่วนตัวที่มีการจัดการ สําหรับข้อมูลเพิ่มเติม โปรดดู ปลายทางส่วนตัวที่มีการจัดการสําหรับ Fabric
  • คุณไม่สามารถสร้างคําสั่งลัดเพิ่มเติมภายในคําสั่งลัด ADLS ได้
  • ทางลัด ADLS gen 2 ไม่ได้รับการสนับสนุนสําหรับบัญชีที่เก็บข้อมูลที่ใช้ Microsoft Purview Data Sharing

เนื้อหาที่เกี่ยวข้อง

  • อัปเดตล่าสุดเมื่อ