Configurar a identidade gerenciada para o Agendador de Tarefas Duráveis

Criar uma identidade gerenciada atribuída ao usuário

az identity create -g RESOURCE_GROUP_NAME -n IDENTITY_NAME

Definir o atribuídor para o recurso de identidade criado

assignee=$(az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv) 

Defina o escopo. Use o escopo do hub de tarefas para acesso com privilégios mínimos. Use o escopo do agendador somente se a identidade precisar de acesso a todos os hubs de tarefas em um agendador.

Escopo do hub de tarefas (recomendado)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME/taskHubs/TASKHUB_NAME"

Escopo do agendador (todos os hubs de tarefas)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME"

Conceda acesso. Execute o comando a seguir para criar a atribuição de função e conceder acesso.

az role assignment create \
  --assignee "$assignee" \
  --role "Durable Task Data Contributor" \
  --scope "$scope"

Saída esperada

O exemplo de saída a seguir mostra uma identidade de desenvolvedor atribuída à função de Colaborador de Dados de Tarefas Duráveis no nível do agendador.

{
  "condition": null,
  "conditionVersion": null,
  "createdBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "createdOn": "2024-12-20T01:36:45.022356+00:00",
  "delegatedManagedIdentityResourceId": null,
  "description": null,
  "id": "/subscriptions/YOUR_SUBSCRIPTION_ID/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME/providers/Microsoft.Authorization/roleAssignments/ROLE_ASSIGNMENT_ID",
  "name": "ROLE_ASSIGNMENT_ID",
  "principalId": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "principalName": "YOUR_EMAIL",
  "principalType": "User",
  "resourceGroup": "YOUR_RESOURCE_GROUP",
  "roleDefinitionId": "/subscriptions/YOUR_SUBSCRIPTION/providers/Microsoft.Authorization/roleDefinitions/ROLE_DEFINITION_ID",
  "roleDefinitionName": "Durable Task Data Contributor",
  "scope": "/subscriptions/YOUR_SUBSCRIPTION/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME",
  "type": "Microsoft.Authorization/roleAssignments",
  "updatedBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "updatedOn": "2024-12-20T01:36:45.022356+00:00"
}

Criar uma identidade gerenciada atribuída pelo usuário.

Navegue até o recurso Agendador de Tarefas Duráveis no portal.

Selecione um nome de hub de tarefas.

No menu à esquerda, selecione Controle de acesso (IAM) .

Selecione Adicionar para adicionar uma atribuição de função.

Pesquise e selecione Colaborador de Dados da Tarefa Durável. Selecione Próximo.

Na guia Membros , para atribuir acesso, selecione Identidade gerenciada.

Para Membros, selecione + Selecionar membros.

No painel Selecionar identidades gerenciadas, expanda o menu suspenso identidade gerenciada e selecione identidade gerenciada atribuída ao usuário.

Escolha a identidade gerenciada pelo usuário criada anteriormente e selecione Selecionar.

Selecione Examinar + atribuir para concluir a atribuição da função.

Obter o ID do recurso da identidade gerenciada.

resource_id=$(az resource show --resource-group RESOURCE_GROUP_NAME --name IDENTITY_NAME --resource-type Microsoft.ManagedIdentity/userAssignedIdentities --query id --output tsv)

Atribua a identidade ao aplicativo.

az functionapp identity assign --resource-group RESOURCE_GROUP_NAME --name FUNCTION_APP_NAME --identities "$resource_id"

az containerapp identity assign --resource-group RESOURCE_GROUP_NAME --name CONTAINER_APP_NAME --identities "$resource_id"

Obtenha as informações necessárias para a cadeia de conexão.

Obter o ponto de extremidade do agendador:

az durabletask scheduler show --resource-group RESOURCE_GROUP_NAME --name SCHEDULER_NAME --query 'properties.endpoint' --output tsv

Obtenha a ID do cliente da identidade gerenciada:

az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv

Defina ambas as variáveis de ambiente em seu aplicativo.

az functionapp config appsettings set \
  --resource-group RESOURCE_GROUP_NAME \
  --name FUNCTION_APP_NAME \
  --settings \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

az containerapp update \
  --resource-group RESOURCE_GROUP_NAME \
  --name CONTAINER_APP_NAME \
  --set-env-vars \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

Obtenha as informações necessárias para a cadeia de conexão.

Para obter o ponto de extremidade do seu agendador, acesse a guia Visão geral do recurso do agendador e procure por Ponto de extremidade na seção Conceitos Básicos.

Para obter a ID do cliente da identidade gerenciada, navegue até a guia Visão geral do recurso de identidade gerenciada e localize a ID do cliente na seção Essenciais.

Acesse seu aplicativo no portal.

No menu à esquerda, selecioneVariáveis de Ambiente de >.

Adicione uma variável de ambiente nomeada DURABLE_TASK_SCHEDULER_CONNECTION_STRING com o valor Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>.

Adicione uma variável de ambiente nomeada TASKHUB_NAME com o nome do hub de tarefas.

Selecione Aplicar e confirme para salvar as variáveis.