為您的 Azure 資料總管叢集設定受控識別

使用 Azure 入口網站 新增系統指派的身分識別

登入 Azure 入口網站。

新增 Azure 數據總管叢集

1. 建立 Azure 數據總管叢集

2. 在 [安全性] 索引標籤 >[系統指派的身分識別] 中，選取 [開啟]。 若要移除系統指派的身分識別，請選取 [ 關閉]。

3. 選取 [下一步：卷標 > ] 或 [檢閱 + 建立 ] 以建立叢集。

   

現有的 Azure 數據總管叢集

1. 開啟現有的 Azure 數據總管叢集。

2. 選取入口網站左窗格中的 [設定>身分識別]。

3. 在 [身分識別] 窗格 >[系統指派] 索引標籤中：

   1. 將 [ 狀態] 滑桿移至 [ 開啟]。
   2. 選取儲存
   3. 在彈出視窗中，選取 [ 是]

   

4. 幾分鐘后，畫面會顯示：

   • 物件識別碼 - 用於客戶管理的金鑰
   • 許可權 - 選取相關的角色指派

   

使用 C 新增系統指派的身分識別#

必要條件

若要使用 Azure 數據總管 C# 用戶端設定受控識別：

• 安裝 Azure 資料總管 NuGet 套件。
• 安裝 Azure.Identity NuGet 套件以進行驗證。
• 建立可存取資源的Microsoft Entra 應用程式和 服務主體。 您可以在訂用帳戶範圍新增角色指派，並取得必要的 Directory (tenant) ID、 Application ID和 Client Secret。

建立或更新您的叢集

1. 使用 Identity 屬性建立或更新您的叢集：

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Application ID
   var clientSecret = "PlaceholderClientSecret"; //Client Secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   var credentials = new ClientSecretCredential(tenantId, clientId, clientSecret);
   var resourceManagementClient = new ArmClient(credentials, subscriptionId);
   var resourceGroupName = "testrg";
   var subscription = await resourceManagementClient.GetDefaultSubscriptionAsync();
   var resourceGroup = (await subscription.GetResourceGroupAsync(resourceGroupName)).Value;
   var clusters = resourceGroup.GetKustoClusters();
   var clusterName = "mykustocluster";
   var clusterData = new KustoClusterData(
       location: AzureLocation.CentralUS,
       sku: new KustoSku(KustoSkuName.StandardE8adsV5, KustoSkuTier.Standard) { Capacity = 5 }
   ) { Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.SystemAssigned) };
   await clusters.CreateOrUpdateAsync(WaitUntil.Completed, clusterName, clusterData);
   

2. 執行下列命令來檢查您的叢集是否已使用身分識別成功建立或更新：

   clusterData = (await clusters.GetAsync(clusterName)).Value.Data;
   

   如果結果包含 ProvisioningState 值 Succeeded ，則叢集已建立或更新，且應該具有下列屬性：

   var principalGuid = clusterData.Identity.PrincipalId.GetValueOrDefault();
   var tenantGuid = clusterData.Identity.TenantId.GetValueOrDefault();
   

   PrincipalId 和 TenantId 會取代為 GUID。 屬性 TenantId 會識別身分識別所屬Microsoft Entra 租使用者。 PrincipalId是叢集新身分識別的唯一標識符。 在 Microsoft Entra ID 內，服務主體的名稱與您提供給 App Service 或 Azure Functions 執行個體的名稱相同。

使用 Azure Resource Manager 樣本新增系統指派的身分識別

您可以使用 Azure Resource Manager 範本來將 Azure 資源的部署自動化。 若要深入瞭解如何部署至 Azure 數據總管，請參閱 使用 Azure Resource Manager 範本建立 Azure 數據總管叢集和資料庫。

新增系統指派的類型會告知 Azure 建立和管理叢集的身分識別。 對於所有 Microsoft.Kusto/clusters 型別的資源來說，您可以在資源定義中加入以下屬性，以建立採用身分識別的資源：

{
   "identity": {
      "type": "SystemAssigned"
   }
}

例如：

{
   "identity": {
      "type": "SystemAssigned",
      "tenantId": "<TENANTID>",
      "principalId": "<PRINCIPALID>"
   }
}

建立叢集時，其具有下列其他屬性：

{
    "identity": {
        "type": "SystemAssigned",
        "tenantId": "<TENANTID>",
        "principalId": "<PRINCIPALID>"
    }
}

<TENANTID> 和 <PRINCIPALID> 會取代為 GUID。 屬性 TenantId 會識別身分識別所屬Microsoft Entra 租使用者。 PrincipalId是叢集新身分識別的唯一標識符。 在 Microsoft Entra ID 內，服務主體的名稱與您提供給 App Service 或 Azure Functions 執行個體的名稱相同。

使用 Azure 入口網站 移除系統指派的身分識別

1. 登入 Azure 入口網站。

2. 選取入口網站左窗格中的 [設定>身分識別]。

3. 在 [身分識別] 窗格 >[系統指派] 索引標籤中：

   1. 將 [ 狀態] 滑桿移至 [ 關閉]。
   2. 選取儲存
   3. 在彈出視窗中，選取 [ 是 ] 以停用系統指派的身分識別。 [ 身分 識別] 窗格會還原為與新增系統指派身分識別之前相同的條件。

   

使用 C 移除系統指派的身分識別#

執行下列命令以移除系統指派的身分識別：

var cluster = (await clusters.GetAsync(clusterName)).Value;
var clusterPatch = new KustoClusterPatch(clusterData.Location)
{
    Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.None)
};
await cluster.UpdateAsync(WaitUntil.Completed, clusterPatch);

使用 Azure Resource Manager 樣本移除系統指派的身分識別

執行下列命令以移除系統指派的身分識別：

{
   "identity": {
      "type": "None"
   }
}

使用 Azure 入口網站 新增使用者指派的身分識別

1. 登入 Azure 入口網站。

2. 建立使用者指派的受控識別資源。

3. 開啟現有的 Azure 數據總管叢集。

4. 選取入口網站左窗格中的 [設定>身分識別]。

5. 在 [ 使用者指派] 索引 標籤中，選取 [ 新增]。

6. 搜尋您之前建立的身分識別，並加以選取。 選取 [新增]。

   

使用 C 新增使用者指派的身分識別#

必要條件

若要使用 Azure 數據總管 C# 用戶端設定受控識別：

• 安裝 Azure 資料總管 NuGet 套件。
• 安裝 Azure.Identity NuGet 套件以進行驗證。
• 建立可存取資源的Microsoft Entra 應用程式和 服務主體。 您可以在訂用帳戶範圍新增角色指派，並取得必要的 Directory (tenant) ID、 Application ID和 Client Secret。

建立或更新您的叢集

1. 使用 Identity 屬性建立或更新您的叢集：

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Application ID
   var clientSecret = "PlaceholderClientSecret"; //Client Secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   var credentials = new ClientSecretCredential(tenantId, clientId, clientSecret);
   var resourceManagementClient = new ArmClient(credentials, subscriptionId);
   var resourceGroupName = "testrg";
   var subscription = await resourceManagementClient.GetDefaultSubscriptionAsync();
   var resourceGroup = (await subscription.GetResourceGroupAsync(resourceGroupName)).Value;
   var clusters = resourceGroup.GetKustoClusters();
   var clusterName = "mykustocluster";
   var userIdentityResourceId = new ResourceIdentifier($"/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identityName>");
   var clusterData = new KustoClusterData(
       location: AzureLocation.CentralUS,
       sku: new KustoSku(KustoSkuName.StandardE8adsV5, KustoSkuTier.Standard) { Capacity = 5 }
   )
   {
       Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.UserAssigned)
       {
           UserAssignedIdentities = { { userIdentityResourceId, new UserAssignedIdentity() } }
       }
   };
   await clusters.CreateOrUpdateAsync(WaitUntil.Completed, clusterName, clusterData);
   

2. 執行下列命令來檢查您的叢集是否已使用身分識別成功建立或更新：

   clusterData = (await clusters.GetAsync(clusterName)).Value.Data;
   

   如果結果包含 ProvisioningState 值 Succeeded ，則叢集已建立或更新，且應該具有下列屬性：

   var userIdentity = clusterData.Identity.UserAssignedIdentities[userIdentityResourceId];
   var principalGuid = userIdentity.PrincipalId.GetValueOrDefault();
   var clientGuid = userIdentity.ClientId.GetValueOrDefault();
   

   針對用於 Microsoft Entra 管理的身分識別，PrincipalId 是唯一識別碼。 ClientId是應用程式新身分識別的唯一標識碼，用於指定運行時間呼叫期間要使用的身分識別。

使用 Azure Resource Manager 樣本新增使用者指派的身分識別

您可以使用 Azure Resource Manager 範本來將 Azure 資源的部署自動化。 若要深入瞭解如何部署至 Azure 數據總管，請參閱 使用 Azure Resource Manager 範本建立 Azure 數據總管叢集和資料庫。

類型的任何資源 Microsoft.Kusto/clusters 都可以使用使用者指派的身分識別來建立，方法是在資源定義中包含下列屬性，並將 取代 <RESOURCEID> 為所需身分識別的資源識別碼：

{
   "identity": {
      "type": "UserAssigned",
      "userAssignedIdentities": {
         "<RESOURCEID>": {}
      }
   }
}

例如：

{
    "apiVersion": "2019-09-07",
    "type": "Microsoft.Kusto/clusters",
    "name": "[variables('clusterName')]",
    "location": "[resourceGroup().location]",
    "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
            "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]": {}
        }
    },
    "dependsOn": [
        "[resourceId('Microsoft.ManagedIdentity/userAssignedIdentities', variables('identityName'))]"
    ]
}

建立叢集時，其具有下列其他屬性：

{
   "identity": {
      "type": "UserAssigned",
      "userAssignedIdentities": {
         "<RESOURCEID>": {
            "principalId": "<PRINCIPALID>",
            "clientId": "<CLIENTID>"
         }
      }
   }
}

針對用於 Microsoft Entra 管理的身分識別，PrincipalId 是唯一識別碼。 ClientId是應用程式新身分識別的唯一標識碼，用於指定運行時間呼叫期間要使用的身分識別。

使用 Azure 入口網站 移除使用者指派的受控識別

1. 登入 Azure 入口網站。

2. 選取入口網站左窗格中的 [設定>身分識別]。

3. 選取 [使用者指派的] 索引標籤。

4. 搜尋您之前建立的身分識別，並加以選取。 選取 [移除]。

   

5. 在彈出視窗中，選取 [ 是 ] 以移除使用者指派的身分識別。 [ 身分 識別] 窗格會還原為與新增使用者指派身分識別之前相同的條件。

使用 C 移除使用者指派的身分識別#

執行下列命令以移除使用者指派的身分識別：

var cluster = (await clusters.GetAsync(clusterName)).Value;
var clusterUpdate = new KustoClusterPatch(clusterData.Location)
{
    Identity = new ManagedServiceIdentity(ManagedServiceIdentityType.UserAssigned)
    {
        UserAssignedIdentities = { { userIdentityResourceId, null } }
    }
};
await cluster.UpdateAsync(WaitUntil.Completed, clusterUpdate);

使用 Azure Resource Manager 樣本移除使用者指派的身分識別

執行下列命令以移除使用者指派的身分識別：

{
   "identity": {
      "type": "UserAssigned",
      "userAssignedIdentities": {
         "<RESOURCEID>": null
      }
   }
}