Créer une inscription d’application Microsoft Entra dans Azure Data Explorer

Microsoft Entra’authentification d’application est utilisée pour les applications, telles qu’un service sans assistance ou un flux planifié, qui doivent accéder à Azure Data Explorer sans qu’un utilisateur soit présent. Si vous vous connectez à une base de données Azure Data Explorer à l’aide d’une application telle qu’une application web, vous devez procéder à une authentification du principal du service. Cet article explique comment créer et inscrire un principal de service Microsoft Entra, puis l’autoriser à accéder à une base de données Azure Data Explorer.

Créer Microsoft Entra inscription d’application

Microsoft Entra’authentification d’application nécessite la création et l’inscription d’une application auprès de Microsoft Entra ID. Un principal de service est créé automatiquement lorsque l’inscription de l’application est créée dans un locataire Microsoft Entra.

L’inscription d’application peut être créée dans le Portail Azure ou programmatiquement avec Azure CLI. Choisissez l’onglet qui correspond à votre scénario.

Configurer des autorisations déléguées pour l’application - facultatif

Si votre application doit accéder à votre base de données à l’aide des informations d’identification de l’utilisateur appelant, configurez les autorisations déléguées pour votre application. Par exemple, si vous créez une API web et que vous souhaitez vous authentifier à l’aide des informations d’identification de l’utilisateur qui appelle votre API.

Si vous avez uniquement besoin d’accéder à une ressource de données autorisée, vous pouvez ignorer cette section et continuer à accorder à un principal de service l’accès à la base de données.

1. Accédez au panneau Autorisations d’API de votre inscription d’application.

2. Sélectionnez Ajouter une autorisation.

3. Sélectionnez API utilisées par mon organisation.

4. Recherchez et sélectionnez Azure Data Explorer.

   

5. Dans Autorisations déléguées, sélectionnez la zone user_impersonation .

6. Sélectionnez Ajouter des autorisations.

   

Accorder à un principal de service l’accès à la base de données

Une fois l’inscription de votre application créée, vous devez accorder au principal de service correspondant l’accès à votre base de données. L’exemple suivant donne accès à l’observateur. Pour d’autres rôles, consultez Gérer les autorisations de base de données.

1. Utilisez les valeurs id d’application et ID de locataire telles qu’elles ont été copiées à l’étape précédente.

2. Exécutez la commande suivante dans votre éditeur de requête, en remplaçant les valeurs d’espace réservé ApplicationID et TenantID par vos valeurs réelles :

   .add database <DatabaseName> viewers ('aadapp=<ApplicationID>;<TenantID>') '<Notes>'
   

   Par exemple :

   .add database Logs viewers ('aadapp=1234abcd-e5f6-g7h8-i9j0-1234kl5678mn;9876abcd-e5f6-g7h8-i9j0-1234kl5678mn') 'App Registration'
   

   Le dernier paramètre est une chaîne qui s’affiche sous la forme de notes lorsque vous interrogez les rôles associés à une base de données.

   Notes

   Après avoir créé l’inscription de l’application, il peut y avoir un délai de plusieurs minutes jusqu’à ce qu’elle puisse être référencée. Si vous recevez une erreur indiquant que l’application est introuvable, attendez et réessayez.

Pour plus d’informations sur les rôles, consultez Contrôle d’accès en fonction du rôle.

Utiliser les informations d’identification de l’application pour accéder à une base de données

Utilisez les informations d’identification de l’application pour accéder par programmation à votre base de données à l’aide de la bibliothèque cliente.

. . .
string applicationClientId = "<myClientID>";
string applicationKey = "<myApplicationKey>";
string authority = "<myApplicationTenantID>";
. . .
var kcsb = new KustoConnectionStringBuilder($"https://{clusterName}.kusto.windows.net/{databaseName}")
    .WithAadApplicationKeyAuthentication(
        applicationClientId,
        applicationKey,
        authority);
var client = KustoClientFactory.CreateCslQueryProvider(kcsb);
var queryResult = client.ExecuteQuery($"{query}");

Pour plus d’informations, consultez Comment s’authentifier auprès de la bibliothèque d’authentification Microsoft (MSAL) dans les applications et utiliser Azure Key Vault avec l’application web .NET Core.

Dépannage

Erreur de ressource non valide

Si votre application est utilisée pour authentifier des utilisateurs ou des applications pour l’accès, vous devez configurer des autorisations déléguées pour l’application de service. Déclarez que votre application peut authentifier les utilisateurs ou les applications pour y accéder. Si vous ne le faites pas, une erreur semblable à la suivante se produit en cas de tentative d’authentification :

AADSTS650057: Invalid resource. The client has requested access to a resource which is not listed in the requested permissions in the client's application registration...

Vous devez suivre les instructions pour configurer les autorisations déléguées pour l’application.

Activer l’erreur de consentement de l’utilisateur

Votre administrateur de locataire Microsoft Entra peut adopter une stratégie qui empêche les utilisateurs clients de donner leur consentement aux applications. Dans cette situation, une erreur similaire à la suivante se produit quand un utilisateur tente de se connecter à votre application :

AADSTS65001: The user or administrator has not consented to use the application with ID '<App ID>' named 'App Name'

Vous devez contacter votre administrateur Microsoft Entra pour accorder le consentement de tous les utilisateurs du locataire, ou activer le consentement de l’utilisateur pour votre application spécifique.

Contenu connexe

• Chaînes de connexion Kusto
• Créez une application Microsoft Entra et un principal de service ayant accès aux ressources