為持久任務排程器設定管理身份

建立使用者指派的管理型身分識別

az identity create -g RESOURCE_GROUP_NAME -n IDENTITY_NAME

將受託人設定至新建立的身分識別資源

assignee=$(az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv) 

設定範圍。 使用 任務樞紐範圍 來進行最低權限存取。 只有當身份需要存取排程器中的所有任務樞紐時，才使用排程範圍。

任務中心範圍（建議）

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME/taskHubs/TASKHUB_NAME"

排程範圍（所有任務中心）

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME"

授與存取權。 執行下列命令以建立角色指派並授與存取權。

az role assignment create \
  --assignee "$assignee" \
  --role "Durable Task Data Contributor" \
  --scope "$scope"

預期的輸出

下列輸出範例顯示排程器層級上，獲指派耐久性工作資料參與者角色的開發人員身分識別：

{
  "condition": null,
  "conditionVersion": null,
  "createdBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "createdOn": "2024-12-20T01:36:45.022356+00:00",
  "delegatedManagedIdentityResourceId": null,
  "description": null,
  "id": "/subscriptions/YOUR_SUBSCRIPTION_ID/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME/providers/Microsoft.Authorization/roleAssignments/ROLE_ASSIGNMENT_ID",
  "name": "ROLE_ASSIGNMENT_ID",
  "principalId": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "principalName": "YOUR_EMAIL",
  "principalType": "User",
  "resourceGroup": "YOUR_RESOURCE_GROUP",
  "roleDefinitionId": "/subscriptions/YOUR_SUBSCRIPTION/providers/Microsoft.Authorization/roleDefinitions/ROLE_DEFINITION_ID",
  "roleDefinitionName": "Durable Task Data Contributor",
  "scope": "/subscriptions/YOUR_SUBSCRIPTION/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME",
  "type": "Microsoft.Authorization/roleAssignments",
  "updatedBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "updatedOn": "2024-12-20T01:36:45.022356+00:00"
}

建立使用者指派的受控識別。

請前往入口網站中的「持久任務排程器」資源。

選擇一個任務中心名稱。

在左側功能表中，選取 [存取控制 (IAM)]。

選擇 新增 以新增角色分配。

搜尋並選取 [長期工作資料參與者]。 選取 下一步。

在 [ 成員] 索引標籤上，針對 [ 指派存取權] 選取 [ 受控識別]。

對於 成員，請選擇 + 選擇成員。

在 [ 選取受控識別 ] 窗格中，展開 [ 受控識別 ] 下拉式清單，然後選取 [ 使用者指派的受控識別]。

選擇先前建立的使用者管理身份，並選擇選擇。

選擇 Review + 指派 以完成角色指派。

取得受控識別的資源識別碼。

resource_id=$(az resource show --resource-group RESOURCE_GROUP_NAME --name IDENTITY_NAME --resource-type Microsoft.ManagedIdentity/userAssignedIdentities --query id --output tsv)

將身分識別指派給應用程式。

az functionapp identity assign --resource-group RESOURCE_GROUP_NAME --name FUNCTION_APP_NAME --identities "$resource_id"

az containerapp identity assign --resource-group RESOURCE_GROUP_NAME --name CONTAINER_APP_NAME --identities "$resource_id"

獲取連線字串所需的資訊。

取得排程器端點：

az durabletask scheduler show --resource-group RESOURCE_GROUP_NAME --name SCHEDULER_NAME --query 'properties.endpoint' --output tsv

取得受控識別的用戶端識別碼：

az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv

在你的應用程式中設定兩個環境變數。

az functionapp config appsettings set \
  --resource-group RESOURCE_GROUP_NAME \
  --name FUNCTION_APP_NAME \
  --settings \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

az containerapp update \
  --resource-group RESOURCE_GROUP_NAME \
  --name CONTAINER_APP_NAME \
  --set-env-vars \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

獲取連線字串所需的資訊。

要取得你的排程器端點，請前往排程資源的「概覽」標籤，並在「Essentials」區塊中找到端點。

要取得你的受管理身份客戶 ID，請前往你管理身份資源的「概覽」標籤，並在 Essentials 區塊中找到 Client ID。

在入口網站導航至你的應用程式。

在左側選單中，選擇 設定>環境變數。

新增一個名為 DURABLE_TASK_SCHEDULER_CONNECTION_STRING 的環境變數，並將其值設定為 Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>。

新增一個以任務中心名稱命名 TASKHUB_NAME 的環境變數。

選擇 套用，然後 確認 以儲存變數。