在 Azure 数据资源管理器中创建 Microsoft Entra 应用程序注册

对需要访问 Azure 数据资源管理器且没有用户存在的应用程序（例如无人参与服务或计划流）使用 Microsoft Entra 应用程序身份验证 。 如果使用应用程序（例如 Web 应用）连接到 Azure 数据资源管理器数据库，请使用服务主体身份验证进行身份验证。 本文介绍如何创建和注册Microsoft Entra 服务主体，然后授权其访问 Azure 数据资源管理器数据库。

创建 Microsoft Entra 应用程序注册

Microsoft Entra 应用程序身份验证要求创建应用程序并将其注册到 Microsoft Entra ID。 在 Microsoft Entra 租户中创建应用程序注册时，会自动创建服务主体。

可以在 Azure 门户中创建应用注册，也可以使用 Azure CLI 以编程方式创建。 选择适合你的方案的选项卡。

为应用程序配置委托的权限 - 可选

如果应用程序需要使用调用用户的凭据访问数据库，请为应用程序配置委派权限。 例如，如果要生成 Web API，并且想要使用 调用 API 的用户的凭据进行身份验证。

如果只需要访问授权的数据资源，则可以跳过本部分并继续向服务主体授予访问数据库的权限。

1. 浏览到应用注册的 API 权限部分。

2. 选择“添加权限”。

3. 选择“我的组织使用的 API”。

4. 搜索并选择“Azure 数据资源管理器”。

   

5. 在“委托的权限”中，选择“user_impersonation”选项框。

6. 选择“添加权限”。

   

向服务主体授予访问数据库的权限

创建应用程序注册后，向相应的服务主体授予对数据库的访问权限。 以下示例授予查看器访问权限。 对于其他角色，请参阅管理数据库权限。

1. 使用上一步骤中复制的应用程序 ID 和租户 ID 的值。

2. 在查询编辑器中执行以下命令，将占位符值 ApplicationID 和 TenantID 替换为实际值：

   .add database <DatabaseName> viewers ('aadapp=<ApplicationID>;<TenantID>') '<Notes>'
   

   例如：

   .add database Logs viewers ('aadapp=1234abcd-e5f6-g7h8-i9j0-1234kl5678mn;9876abcd-e5f6-g7h8-i9j0-1234kl5678mn') 'App Registration'
   

   最后一个参数是字符串，当查询与数据库关联的角色时，该字符串会显示为注释。

   注释

   创建应用程序注册后，可能需要等待几分钟才能引用它。 如果收到找不到应用程序的错误，请等待并重试。

有关角色的详细信息，请参阅基于角色的访问控制。

使用应用程序凭据访问数据库

使用应用程序凭据通过客户端库以编程方式访问数据库。

. . .
string applicationClientId = "<myClientID>";
string applicationKey = "<myApplicationKey>";
string authority = "<myApplicationTenantID>";
. . .
var kcsb = new KustoConnectionStringBuilder($"https://{clusterName}.kusto.chinacloudapi.cn/{databaseName}")
    .WithAadApplicationKeyAuthentication(
        applicationClientId,
        applicationKey,
        authority);
var client = KustoClientFactory.CreateCslQueryProvider(kcsb);
var queryResult = client.ExecuteQuery($"{query}");

有关详细信息，请参阅如何在应用中使用 Microsoft 身份验证库 (MSAL) 进行身份验证、将 Azure Key Vault 与 .NET Core Web 应用配合使用。

故障排除

“资源无效”错误

如果应用程序对用户或应用程序进行身份验证以访问，请为服务应用程序设置委派权限。 声明应用程序可以对用户或应用程序进行身份验证以进行访问。 否则，尝试身份验证时将发生错误。 错误消息类似于以下消息：

AADSTS650057: Invalid resource. The client has requested access to a resource which is not listed in the requested permissions in the client's application registration...

请遵循在 为应用程序配置委派权限中的说明。

“启用用户同意”错误

你的 Microsoft Entra 租户管理员可以制定一种策略，阻止租户用户向应用程序提供同意。 当用户尝试登录你的应用程序时，会出现类似以下错误的情况：

AADSTS65001: The user or administrator has not consented to use the application with ID '<App ID>' named 'App Name'

请联系Microsoft Entra 管理员，为租户中的所有用户授予许可，或为特定应用程序启用用户同意。

相关内容

• Kusto 连接字符串
• 创建可访问资源的 Microsoft Entra 应用程序和服务主体