Erstellen einer Microsoft Entra Anwendungsregistrierung in Azure Data Explorer

Microsoft Entra Anwendungsauthentifizierung wird für Anwendungen verwendet, z. B. für einen unbeaufsichtigten Dienst oder einen geplanten Flow, die auf Azure Data Explorer zugreifen müssen, ohne dass ein Benutzer anwesend ist. Wenn Sie eine Verbindung mit einer Azure Data Explorer-Datenbank herstellen, indem Sie eine Anwendung wie eine Web-App verwenden, sollten Sie sich mit Dienstprinzipalauthentifizierung authentifizieren. In diesem Artikel wird beschrieben, wie Sie einen Microsoft Entra-Dienstprinzipal erstellen und registrieren und ihn dann für den Zugriff auf eine Azure Data Explorer-Datenbank autorisieren.

Erstellen Microsoft Entra Anwendungsregistrierung

Microsoft Entra Anwendungsauthentifizierung erfordert das Erstellen und Registrieren einer Anwendung bei Microsoft Entra ID. Ein Dienstprinzipal wird automatisch erstellt, wenn die Anwendungsregistrierung in einem Microsoft Entra Mandanten erstellt wird.

Die App-Registrierung kann entweder im Azure-Portal oder programmgesteuert mit der Azure CLI erstellt werden. Wählen Sie die Registerkarte aus, die zu Ihrem Szenario passt.

Konfigurieren delegierter Berechtigungen für die Anwendung – optional

Wenn Ihre Anwendung mithilfe der Anmeldeinformationen des aufrufenden Benutzers auf Ihre Datenbank zugreifen muss, konfigurieren Sie delegierte Berechtigungen für Ihre Anwendung. Wenn Sie beispielsweise eine Web-API erstellen und sich mit den Anmeldeinformationen des Benutzers authentifizieren möchten, der Ihre API aufruft .

Wenn Sie nur Zugriff auf eine autorisierte Datenressource benötigen, können Sie diesen Abschnitt überspringen und mit Gewähren des Zugriffs auf die Datenbank für einen Dienstprinzipal fortfahren.

1. Navigieren Sie zum Blatt "API-Berechtigungen " Ihrer App-Registrierung.

2. Wählen Sie Berechtigung hinzufügen aus.

3. Wählen Sie Von meiner Organisation verwendete APIs aus.

4. Suchen Sie nach Azure Data Explorer, und wählen Sie diese Option aus.

   

5. Wählen Sie unter Delegierte Berechtigungen das Feld user_impersonation aus.

6. Wählen Sie Berechtigungen hinzufügen aus.

   

Gewähren des Zugriffs auf die Datenbank durch einen Dienstprinzipal

Nachdem Ihre Anwendungsregistrierung erstellt wurde, müssen Sie dem entsprechenden Dienstprinzipal Zugriff auf Ihre Datenbank gewähren. Im folgenden Beispiel wird Zugriff zum Anzeigen gewährt. Informationen zu anderen Rollen finden Sie unter Verwalten von Datenbankberechtigungen.

1. Verwenden Sie die Werte der Anwendungs-ID und der Mandanten-ID, wie sie in einem vorherigen Schritt kopiert wurden.

2. Führen Sie den folgenden Befehl in Ihrem Abfrage-Editor aus, und ersetzen Sie dabei die Platzhalterwerte ApplicationID und TenantID durch Ihre tatsächlichen Werte:

   .add database <DatabaseName> viewers ('aadapp=<ApplicationID>;<TenantID>') '<Notes>'
   

   Beispiel:

   .add database Logs viewers ('aadapp=1234abcd-e5f6-g7h8-i9j0-1234kl5678mn;9876abcd-e5f6-g7h8-i9j0-1234kl5678mn') 'App Registration'
   

   Der letzte Parameter ist eine Zeichenfolge, die als Notizen angezeigt wird, wenn Sie die einer Datenbank zugeordneten Rollen abfragen.

   Hinweis

   Nach dem Erstellen der Anwendungsregistrierung kann es zu einer verzögerung von mehreren Minuten kommen, bis darauf verwiesen werden kann. Wenn Sie eine Fehlermeldung erhalten, dass die Anwendung nicht gefunden wurde, warten Sie, und versuchen Sie es erneut.

Weitere Informationen zu Rollen finden Sie unter Rollenbasierte Zugriffssteuerung.

Verwenden von Anwendungsanmeldeinformationen für den Zugriff auf eine Datenbank

Verwenden Sie die Anmeldeinformationen der Anwendung, um programmgesteuert mithilfe der Clientbibliothek auf Ihre Datenbank zuzugreifen.

. . .
string applicationClientId = "<myClientID>";
string applicationKey = "<myApplicationKey>";
string authority = "<myApplicationTenantID>";
. . .
var kcsb = new KustoConnectionStringBuilder($"https://{clusterName}.kusto.windows.net/{databaseName}")
    .WithAadApplicationKeyAuthentication(
        applicationClientId,
        applicationKey,
        authority);
var client = KustoClientFactory.CreateCslQueryProvider(kcsb);
var queryResult = client.ExecuteQuery($"{query}");

Weitere Informationen finden Sie unter Authentifizieren mit der Microsoft Authentication Library (MSAL) in Apps und Verwenden von Azure Key Vault mit .NET Core-Web-App.

Problembehandlung

Fehler „Ungültige Ressource“

Wenn Ihre Anwendung zum Authentifizieren von Benutzern oder Anwendungen für den Zugriff verwendet wird, müssen Sie delegierte Berechtigungen für die Dienstanwendung einrichten. Deklarieren Sie, dass Ihre Anwendung Benutzer oder Anwendungen für den Zugriff authentifizieren kann. Wenn dies nicht geschieht, führt dies zu einem Fehler, der dem folgenden ähnelt, wenn ein Authentifizierungsversuch erfolgt:

AADSTS650057: Invalid resource. The client has requested access to a resource which is not listed in the requested permissions in the client's application registration...

Sie müssen die Anweisungen befolgen, um delegierte Berechtigungen für die Anwendung zu konfigurieren.

Fehler „Benutzereinwilligung aktivieren“

Ihr Microsoft Entra Mandantenadministrator erlässt möglicherweise eine Richtlinie, die verhindert, dass Mandantenbenutzer Ihre Zustimmung zu Anwendungen erteilen. Diese Situation führt zu einem Fehler, der dem folgenden ähnelt, wenn ein Benutzer versucht, sich bei Ihrer Anwendung anzumelden:

AADSTS65001: The user or administrator has not consented to use the application with ID '<App ID>' named 'App Name'

Sie müssen sich an Ihren Microsoft Entra Administrator wenden, um allen Benutzern im Mandanten die Zustimmung zu erteilen oder die Benutzerzustimmung für Ihre spezifische Anwendung zu aktivieren.

Verwandte Inhalte

• Kusto-Verbindungszeichenfolgen
• Erstellen einer Microsoft Entra ID-Anwendung und eines Dienstprinzipals mit Zugriff auf Ressourcen