Konfigurieren der verwalteten Identität für einen dauerhaften Aufgabenplaner

Erstellen einer benutzerseitig zugewiesenen verwalteten Identität

az identity create -g RESOURCE_GROUP_NAME -n IDENTITY_NAME

Festlegen der zugewiesenen Person auf die erstellte Identitätsressource

assignee=$(az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv) 

Legen Sie den Bereich fest. Verwenden Sie den Aufgabenhubbereich für den Zugriff auf die geringsten Rechte. Verwenden Sie den Scheduler-Bereich nur, wenn die Identität Zugang zu allen Task Hubs in einem Scheduler benötigt.

Aufgabenhubbereich (empfohlen)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME/taskHubs/TASKHUB_NAME"

Scheduler-Bereich (alle Task Hubs)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME"

Gewähren des Zugriffs. Führen Sie den folgenden Befehl aus, um die Rollenzuweisung zu erstellen und Zugriff zu gewähren.

az role assignment create \
  --assignee "$assignee" \
  --role "Durable Task Data Contributor" \
  --scope "$scope"

Erwartete Ausgabe

Das folgende Ausgabebeispiel zeigt eine Entwickleridentität, der die Rolle „Mitwirkender an langlebigen Aufgabendaten“ auf Planerebene zugewiesen ist:

{
  "condition": null,
  "conditionVersion": null,
  "createdBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "createdOn": "2024-12-20T01:36:45.022356+00:00",
  "delegatedManagedIdentityResourceId": null,
  "description": null,
  "id": "/subscriptions/YOUR_SUBSCRIPTION_ID/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME/providers/Microsoft.Authorization/roleAssignments/ROLE_ASSIGNMENT_ID",
  "name": "ROLE_ASSIGNMENT_ID",
  "principalId": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "principalName": "YOUR_EMAIL",
  "principalType": "User",
  "resourceGroup": "YOUR_RESOURCE_GROUP",
  "roleDefinitionId": "/subscriptions/YOUR_SUBSCRIPTION/providers/Microsoft.Authorization/roleDefinitions/ROLE_DEFINITION_ID",
  "roleDefinitionName": "Durable Task Data Contributor",
  "scope": "/subscriptions/YOUR_SUBSCRIPTION/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME",
  "type": "Microsoft.Authorization/roleAssignments",
  "updatedBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "updatedOn": "2024-12-20T01:36:45.022356+00:00"
}

Erstellen einer benutzerseitig zugewiesenen verwalteten Identität.

Navigieren Sie im Portal zur Ressource "Durable Task Scheduler".

Wählen Sie einen Aufgabenhubnamen aus.

Wählen Sie im linken Menü Zugriffssteuerung (IAM) aus.

Wählen Sie "Hinzufügen" aus, um eine Rollenzuweisung hinzuzufügen.

Suchen Sie Mitwirkender an langlebigen Aufgabendaten, und wählen Sie die Rolle aus. Wählen Sie Weiteraus.

Wählen Sie auf der Registerkarte " Mitglieder " für "Zugriff zuweisen"die Option "Verwaltete Identität" aus.

Wählen Sie für Mitglieder die Option + Mitglieder auswählen aus.

Erweitern Sie im Bereich "Verwaltete Identitäten auswählen " die Dropdownliste "Verwaltete Identität " und wählen Sie "Vom Benutzer zugewiesene verwaltete Identität" aus.

Wählen Sie die zuvor erstellte vom Benutzer verwaltete Identität und dann "Auswählen" aus.

Wählen Sie "Überprüfen" und "Zuweisen " aus, um die Zuweisung der Rolle abzuschließen.

Erhalte die Ressourcen-ID der verwalteten Identität.

resource_id=$(az resource show --resource-group RESOURCE_GROUP_NAME --name IDENTITY_NAME --resource-type Microsoft.ManagedIdentity/userAssignedIdentities --query id --output tsv)

Weisen Sie der App die Identität zu.

az functionapp identity assign --resource-group RESOURCE_GROUP_NAME --name FUNCTION_APP_NAME --identities "$resource_id"

az containerapp identity assign --resource-group RESOURCE_GROUP_NAME --name CONTAINER_APP_NAME --identities "$resource_id"

Rufen Sie die erforderlichen Informationen für die Verbindungszeichenfolge ab.

Den Scheduler-Endpunkt abrufen:

az durabletask scheduler show --resource-group RESOURCE_GROUP_NAME --name SCHEDULER_NAME --query 'properties.endpoint' --output tsv

Client-ID der verwalteten Identität abrufen:

az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv

Legen Sie beide Umgebungsvariablen für Ihre App fest.

az functionapp config appsettings set \
  --resource-group RESOURCE_GROUP_NAME \
  --name FUNCTION_APP_NAME \
  --settings \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

az containerapp update \
  --resource-group RESOURCE_GROUP_NAME \
  --name CONTAINER_APP_NAME \
  --set-env-vars \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

Rufen Sie die erforderlichen Informationen für die Verbindungszeichenfolge ab.

Um Ihren Scheduler-Endpunkt zu erhalten, navigieren Sie zur Registerkarte "Übersicht" Ihrer Scheduler-Ressource und suchen Sie Endpunkt im Abschnitt "Essentials".

Um Ihre verwaltete Identitätsclient-ID abzurufen, navigieren Sie zur Registerkarte "Übersicht" Ihrer verwalteten Identitätsressource, und suchen Sie im Abschnitt "Essentials" die Client-ID.

Navigieren Sie im Portal zu Ihrer App.

Wählen Sie im linken Menü Einstellungen>Umgebungsvariablen aus.

Fügen Sie eine Umgebungsvariable mit dem Namen DURABLE_TASK_SCHEDULER_CONNECTION_STRING und dem Wert Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID> hinzu.

Fügen Sie eine Umgebungsvariable TASKHUB_NAME mit dem Namen Des Aufgabenhubs hinzu.

Wählen Sie "Übernehmen" und anschließend "Bestätigen" aus, um die Variablen zu speichern.