Есть ли реальное использование назначенного пользователем управляемого удостоверения, если все мои ресурсы находятся в одной подписке?

Question

Я пытаюсь создать кластер HDInsight в определенной подписке. Теперь тип хранилища по умолчанию, который я выбираю, имеет тип ADLS Gen2, и экземпляр хранилища существует в одной и той же подписке (здесь в любом случае пользовательский интерфейс будет перечислять только учетные записи хранения ADLS Gen2 в той же подписке). И затем, как вы можете видеть на скриншоте ниже, пользовательский интерфейс также запрашивает назначенный пользователем идентификатор службы в качестве обязательного поля. Я не понимаю реальной необходимости этой личности здесь. Поскольку кластер и ADLS Gen2 будут находиться в одной и той же подписке, кластер в любом случае сможет получить доступ к хранилищу, поскольку в ходе развертывания кластера ключи хранилища извлекаются динамически, поскольку они находятся вта же подписка. Вот как хранилище подключается. Так что, если это произойдет в любом случае, зачем нужно указывать назначенную пользователем управляемую идентификацию? Я также подтвердил, что возможность ввода назначенного пользователем управляемого удостоверения отображается только в том случае, если мы выбираем тип хранилища в качестве ADLS Gen2, а не для ADLS Gen1 и хранилища Azure. ADLS Gen2 имеет большой двоичный объект и интерфейс каталога. Но это всего лишь интерфейсы, в любом случае это хранилище больших двоичных объектов, которое имеет ключи доступа. На самом деле ADLS Gen1 не имеет ничего общего с ключами доступа, поскольку он только обеспечивает интерфейс каталога, но нам не нужно указывать назначенную пользователем управляемую идентификацию дляпоэтому мне интересно, почему для ADLS Gen2 он спрашивает, если все ресурсы находятся в одной подписке.

Answer 1

Общая проблема: При создании облачных приложений необходимо управлять учетными данными в вашем коде для аутентификации в облачных сервисах. Обеспечение безопасности учетных данных является важной задачей. В идеале учетные данные никогда не появляются на рабочих станциях разработчиков и не проверяются в системе контроля версий. Azure Key Vault предоставляет способ безопасного хранения учетных данных, секретов и других ключей, но ваш код должен пройти аутентификацию в Key Vault для их извлечения.

Функция управляемых удостоверений для ресурсов Azure в Azure Active Directory(Azure AD) решает эту проблему . Эта функция предоставляет службам Azure автоматически управляемую идентификацию в Azure AD. Вы можете использовать удостоверение для проверки подлинности в любой службе, которая поддерживает проверку подлинности Azure AD, включая Key Vault, без каких-либо учетных данных в вашем коде.

Управляемое удостоверение - это удостоверение, зарегистрированное в Azure Active Directory (Azure AD), чьи учетные данныеуправляются Azure. В случае управляемых удостоверений вам не нужно регистрировать участников службы в Azure AD или поддерживать учетные данные, такие как сертификаты.

Управляемые удостоверения можно использовать в Azure HDInsight, чтобы предоставить кластерам доступ к доменным службам Azure AD, доступ к Azure. Хранилище ключей или доступ к файлам в хранилище озера данных Azure Gen2.

Назначенный пользователем управляемый идентификатор создается как отдельный ресурс Azure. В процессе создания Azure создает удостоверение в клиенте Azure AD, которому доверяет используемая подписка. После создания удостоверения его можно назначить одному или нескольким экземплярам службы Azure. Жизненный цикл назначенного пользователем удостоверения управляется отдельно от жизненного цикла экземпляров службы Azure, которым он назначен.

Ссылка: Управляемые удостоверения в Azure HDInsight

Надеюсь, это поможет.