创建 Microsoft Entra 应用程序注册

使用 “版本 ”下拉列表切换服务。 了解有关导航的详细信息。
适用于：✅ Azure Data Explorer

Microsoft Entra 应用程序身份验证要求创建应用程序并将其注册到Microsoft Entra ID。 在 Microsoft Entra 租户中创建应用程序注册时，会自动创建服务主体。

可以在Azure portal中创建应用注册，也可以以编程方式使用Azure CLI创建。 选择适合你的方案的选项卡。

为应用程序配置委托的权限 - 可选

如果应用程序需要使用调用用户的凭据access数据库，请为应用程序配置委派权限。 例如，如果要生成 Web API 并且想使用调用 API 的用户的凭据进行身份验证。

如果只需要对授权的数据资源access，可以跳过本部分并继续向数据库access对服务主体进行。

1. 浏览到“应用注册”的“API 权限”边栏选项卡。

2. 选择添加权限。

3. 选择“我的组织使用的 API”。

4. 搜索并选择Azure Data Explorer。

   

5. 在“委托的权限”中，选择“user_impersonation”框。

6. 选择“添加权限”。

   

向数据库授予服务主体access

创建应用程序注册后，需要向数据库授予相应的服务主体access。 以下示例为查看器提供access。 有关其他角色，请参阅 Kusto 基于角色的 access control。

1. 使用上一步骤中复制的应用程序 ID 和租户 ID 的值。

2. 在query editor中执行以下命令，将占位符值ApplicationID和TenantID替换为实际值：

   .add database <DatabaseName> viewers ('aadapp=<ApplicationID>;<TenantID>') '<Notes>'
   

   例如：

   .add database Logs viewers ('aadapp=00001111-aaaa-2222-bbbb-3333cccc4444;9876abcd-e5f6-g7h8-i9j0-1234kl5678mn') 'App Registration'
   

   最后一个参数是字符串，当查询与数据库关联的角色时，该字符串会显示为注释。

   注意

   创建完应用程序注册后，可能会有几分钟的延迟，之后才可以引用它。 如果收到了找不到应用程序的错误，请等待并重试。

有关角色的详细信息，请参阅基于基于Access control。

使用应用程序凭据access数据库

使用应用程序凭据通过 client 库以编程方式access数据库。

. . .
string applicationClientId = "<myClientID>";
string applicationKey = "<myApplicationKey>";
string authority = "<myApplicationTenantID>";
. . .
var kcsb = new KustoConnectionStringBuilder($"https://{clusterName}.kusto.chinacloudapi.cn/{databaseName}")
    .WithAadApplicationKeyAuthentication(
        applicationClientId,
        applicationKey,
        authority);
var client = KustoClientFactory.CreateCslQueryProvider(kcsb);
var queryResult = client.ExecuteQuery($"{query}");

有关详细信息，请参阅如何在应用中使用Microsoft身份验证库（MSAL）进行身份验证和通过 .NET Core Web 应用使用Azure Key Vault。

疑难解答

“资源无效”错误

如果应用程序用于对用户或access的应用程序进行身份验证，则必须为服务应用程序设置委派权限。 声明应用程序可以对用户或应用程序进行身份验证以进行access。 进行身份验证时，不这样做将导致出现类似于以下的错误：

AADSTS650057: Invalid resource. The client has requested access to a resource which is not listed in the requested permissions in the client's application registration...

你需要按照说明为应用程序配置委托的权限。

“启用用户同意”错误

你的 Microsoft Entra 租户管理员可以制定一种策略，阻止租户用户向应用程序提供同意。 用户尝试登录到应用程序时，这种情况将导致出现类似于以下的错误：

AADSTS65001: The user or administrator has not consented to use the application with ID '<App ID>' named 'App Name'

这时需要联系 Microsoft Entra 管理员，向租户中的所有用户授予同意，或者为特定应用程序启用用户同意。

相关内容

• Kusto 连接字符串
• 创建可以access资源的Microsoft Entra 应用程序和服务主体