Configuración de la identidad administrada para el Durable Task Scheduler

Creación de una identidad administrada asignada por el usuario

az identity create -g RESOURCE_GROUP_NAME -n IDENTITY_NAME

Establezca el usuario asignado en el recurso de identidad creado

assignee=$(az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv) 

Establezca el ámbito. Use ambito de concentrador de tareas para acceso con privilegios mínimos. Use el ámbito del planificador solo si la identidad necesita acceso a todos los centros de tareas de un planificador.

Ámbito del centro de tareas (recomendado)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME/taskHubs/TASKHUB_NAME"

Ámbito del planificador (todos los concentradores de tareas)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME"

Conceder acceso. Ejecute el comando siguiente para crear la asignación de roles y conceder acceso.

az role assignment create \
  --assignee "$assignee" \
  --role "Durable Task Data Contributor" \
  --scope "$scope"

Salida prevista

En el ejemplo de salida siguiente, se muestra una identidad de desarrollador asignada con el rol Colaborador de datos de tareas duraderas a nivel del programador:

{
  "condition": null,
  "conditionVersion": null,
  "createdBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "createdOn": "2024-12-20T01:36:45.022356+00:00",
  "delegatedManagedIdentityResourceId": null,
  "description": null,
  "id": "/subscriptions/YOUR_SUBSCRIPTION_ID/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME/providers/Microsoft.Authorization/roleAssignments/ROLE_ASSIGNMENT_ID",
  "name": "ROLE_ASSIGNMENT_ID",
  "principalId": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "principalName": "YOUR_EMAIL",
  "principalType": "User",
  "resourceGroup": "YOUR_RESOURCE_GROUP",
  "roleDefinitionId": "/subscriptions/YOUR_SUBSCRIPTION/providers/Microsoft.Authorization/roleDefinitions/ROLE_DEFINITION_ID",
  "roleDefinitionName": "Durable Task Data Contributor",
  "scope": "/subscriptions/YOUR_SUBSCRIPTION/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME",
  "type": "Microsoft.Authorization/roleAssignments",
  "updatedBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "updatedOn": "2024-12-20T01:36:45.022356+00:00"
}

Creación de una identidad administrada asignada por el usuario.

Vaya al recurso Programador de tareas duraderas en el portal.

Seleccione un nombre del centro de tareas.

En el menú izquierdo, seleccione Control de acceso (IAM) .

Seleccione Agregar para agregar una asignación de roles.

Busque y seleccione Colaborador de datos de Durable Task. Seleccione Siguiente.

En la pestaña Miembros, para Asignar acceso a, seleccione Identidad administrada.

En Miembros, seleccione + Seleccionar miembros.

En el panel Seleccionar identidades administradas, expanda la lista desplegable Identidad administrada y seleccione Identidad administrada asignada por el usuario.

Elija la identidad administrada por el usuario creada anteriormente y seleccione Seleccionar.

Seleccione Revisar y asignar para terminar de asignar el rol.

Obtenga el identificador del recurso de la identidad administrada.

resource_id=$(az resource show --resource-group RESOURCE_GROUP_NAME --name IDENTITY_NAME --resource-type Microsoft.ManagedIdentity/userAssignedIdentities --query id --output tsv)

Asigne la identidad a la aplicación.

az functionapp identity assign --resource-group RESOURCE_GROUP_NAME --name FUNCTION_APP_NAME --identities "$resource_id"

az containerapp identity assign --resource-group RESOURCE_GROUP_NAME --name CONTAINER_APP_NAME --identities "$resource_id"

Obtenga la información necesaria para la cadena de conexión.

Obtenga el punto de conexión del programador:

az durabletask scheduler show --resource-group RESOURCE_GROUP_NAME --name SCHEDULER_NAME --query 'properties.endpoint' --output tsv

Obtenga el identificador de cliente de la identidad administrada:

az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv

Establezca ambas variables de entorno en la aplicación.

az functionapp config appsettings set \
  --resource-group RESOURCE_GROUP_NAME \
  --name FUNCTION_APP_NAME \
  --settings \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

az containerapp update \
  --resource-group RESOURCE_GROUP_NAME \
  --name CONTAINER_APP_NAME \
  --set-env-vars \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

Obtenga la información necesaria para la cadena de conexión.

Para obtener el punto de conexión del planificador, vaya a la pestaña Información general del recurso del planificador y busque Punto de conexión en la sección Esenciales.

Para obtener el ID de Cliente de la identidad administrada, vaya a la pestaña Resumen del recurso de identidad administrada y busque el ID de Cliente en la sección Elementos esenciales.

Navega a tu aplicación en el portal.

En el menú izquierdo, seleccione Configuración Variables> deentorno.

Agregue una variable de entorno denominada DURABLE_TASK_SCHEDULER_CONNECTION_STRING con el valor Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>.

Agregue una variable de entorno denominada TASKHUB_NAME con el nombre del centro de tareas.

Seleccione Aplicar y, a continuación, Confirmar para guardar las variables.