Configurer l’identité managée pour Durable Task Scheduler

Créer une identité managée attribuée par l’utilisateur

az identity create -g RESOURCE_GROUP_NAME -n IDENTITY_NAME

Définir le destinataire sur la ressource d’identité créée

assignee=$(az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv) 

Définissez l’étendue. Utilisez l’étendue du hub de tâches pour un accès avec privilèges minimaux. Utilisez l’étendue du planificateur uniquement si l’identité a besoin d’accéder à tous les hubs de tâches dans un planificateur.

Étendue du hub de tâches (recommandé)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME/taskHubs/TASKHUB_NAME"

Étendue du planificateur (tous les hubs de tâches)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME"

Accorder l’accès. Exécutez la commande suivante pour créer l’attribution de rôle et accorder l’accès.

az role assignment create \
  --assignee "$assignee" \
  --role "Durable Task Data Contributor" \
  --scope "$scope"

Sortie attendue

L’exemple de sortie suivant montre une identité de développeur affectée au rôle Contributeur aux données des tâches durables au niveau du planificateur :

{
  "condition": null,
  "conditionVersion": null,
  "createdBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "createdOn": "2024-12-20T01:36:45.022356+00:00",
  "delegatedManagedIdentityResourceId": null,
  "description": null,
  "id": "/subscriptions/YOUR_SUBSCRIPTION_ID/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME/providers/Microsoft.Authorization/roleAssignments/ROLE_ASSIGNMENT_ID",
  "name": "ROLE_ASSIGNMENT_ID",
  "principalId": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "principalName": "YOUR_EMAIL",
  "principalType": "User",
  "resourceGroup": "YOUR_RESOURCE_GROUP",
  "roleDefinitionId": "/subscriptions/YOUR_SUBSCRIPTION/providers/Microsoft.Authorization/roleDefinitions/ROLE_DEFINITION_ID",
  "roleDefinitionName": "Durable Task Data Contributor",
  "scope": "/subscriptions/YOUR_SUBSCRIPTION/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME",
  "type": "Microsoft.Authorization/roleAssignments",
  "updatedBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "updatedOn": "2024-12-20T01:36:45.022356+00:00"
}

Créer une identité managée attribuée par l’utilisateur.

Accédez à la ressource Planificateur de tâches durables dans le portail.

Sélectionnez un nom de hub de tâches.

Dans le menu de gauche, sélectionnez Contrôle d’accès (IAM) .

Sélectionnez Ajouter pour ajouter une attribution de rôle.

Recherchez et sélectionnez Contributeur de données de tâche durable. Sélectionnez Suivant.

Sous l’onglet Membres , pour Affecter l’accès, sélectionnez Identité managée.

Pour les membres, sélectionnez + Sélectionner des membres.

Dans le volet Sélectionner des identités gérées, développez le menu déroulant Identité gérée et sélectionnez Identité gérée assignée par l’utilisateur.

Sélectionnez l’identité managée par l’utilisateur précédemment créée, puis sélectionnez Sélectionner.

Sélectionnez Vérifier + affecter pour terminer l’attribution du rôle.

Obtenir l’ID de ressource de l’identité managée.

resource_id=$(az resource show --resource-group RESOURCE_GROUP_NAME --name IDENTITY_NAME --resource-type Microsoft.ManagedIdentity/userAssignedIdentities --query id --output tsv)

Attribuez l’identité à l’app.

az functionapp identity assign --resource-group RESOURCE_GROUP_NAME --name FUNCTION_APP_NAME --identities "$resource_id"

az containerapp identity assign --resource-group RESOURCE_GROUP_NAME --name CONTAINER_APP_NAME --identities "$resource_id"

Obtenez les informations requises pour la chaîne de connexion.

Obtenez le point de terminaison du planificateur :

az durabletask scheduler show --resource-group RESOURCE_GROUP_NAME --name SCHEDULER_NAME --query 'properties.endpoint' --output tsv

Obtenez l’ID client de l’identité managée :

az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv

Définissez les deux variables d’environnement sur votre application.

az functionapp config appsettings set \
  --resource-group RESOURCE_GROUP_NAME \
  --name FUNCTION_APP_NAME \
  --settings \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

az containerapp update \
  --resource-group RESOURCE_GROUP_NAME \
  --name CONTAINER_APP_NAME \
  --set-env-vars \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

Obtenez les informations requises pour la chaîne de connexion.

Pour obtenir votre point de terminaison du planificateur, accédez à l’onglet Vue d’ensemble de votre ressource de planificateur et recherchez point de terminaison dans la section Essentials .

Pour obtenir votre ID client d’identité managée, accédez à l’onglet Vue d’ensemble de votre ressource d’identité managée et recherchez l’ID client dans la section Essentials .

Accédez à votre application dans le portail.

Dans le menu de gauche, sélectionnez Paramètres>Variables d'environnement.

Ajoutez une variable d’environnement nommée DURABLE_TASK_SCHEDULER_CONNECTION_STRING avec la valeur Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>.

Ajoutez une variable d’environnement nommée TASKHUB_NAME avec le nom de votre hub de tâches.

Sélectionnez Appliquer, puis Confirmez pour enregistrer les variables.