Configurar identidade gerida para o Durable Task Scheduler

Criar uma identidade gerenciada atribuída pelo usuário

az identity create -g RESOURCE_GROUP_NAME -n IDENTITY_NAME

Defina o cessionário para o recurso de identidade criado

assignee=$(az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv) 

Defina o escopo. Use o âmbito do hub de tarefas para acesso com privilégios mínimos. Use o âmbito do agendador apenas se a identidade precisar de acesso a todos os centros de tarefas num agendador.

Escopo do hub de tarefas (recomendado)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME/taskHubs/TASKHUB_NAME"

Âmbito do agendador (todos os centros de tarefas)

scope="/subscriptions/SUBSCRIPTION_ID/resourceGroups/RESOURCE_GROUP_NAME/providers/Microsoft.DurableTask/schedulers/SCHEDULER_NAME"

Conceder acesso. Execute o seguinte comando para criar a atribuição de função e conceder acesso.

az role assignment create \
  --assignee "$assignee" \
  --role "Durable Task Data Contributor" \
  --scope "$scope"

Resultados esperados

O exemplo de saída a seguir mostra uma identidade de desenvolvedor atribuída com a função de Colaborador de Dados de Tarefa Durável no nível do agendador :

{
  "condition": null,
  "conditionVersion": null,
  "createdBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "createdOn": "2024-12-20T01:36:45.022356+00:00",
  "delegatedManagedIdentityResourceId": null,
  "description": null,
  "id": "/subscriptions/YOUR_SUBSCRIPTION_ID/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME/providers/Microsoft.Authorization/roleAssignments/ROLE_ASSIGNMENT_ID",
  "name": "ROLE_ASSIGNMENT_ID",
  "principalId": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "principalName": "YOUR_EMAIL",
  "principalType": "User",
  "resourceGroup": "YOUR_RESOURCE_GROUP",
  "roleDefinitionId": "/subscriptions/YOUR_SUBSCRIPTION/providers/Microsoft.Authorization/roleDefinitions/ROLE_DEFINITION_ID",
  "roleDefinitionName": "Durable Task Data Contributor",
  "scope": "/subscriptions/YOUR_SUBSCRIPTION/resourceGroups/YOUR_RESOURCE_GROUP/providers/Microsoft.DurableTask/schedulers/YOUR_DTS_NAME",
  "type": "Microsoft.Authorization/roleAssignments",
  "updatedBy": "YOUR_DEVELOPER_CREDENTIAL_ID",
  "updatedOn": "2024-12-20T01:36:45.022356+00:00"
}

Crie uma identidade gerenciada atribuída pelo usuário.

Navegue até ao recurso Durable Task Scheduler no portal.

Selecione o nome do hub de tarefas.

No menu à esquerda, selecione Controle de acesso (IAM).

Selecione Adicionar para adicionar uma atribuição de funções.

Pesquise e selecione Colaborador de Dados de Tarefa Durável. Selecione Avançar.

Na guia Membros , para Atribuir acesso a, selecione Identidade gerenciada.

Para Membros, selecione + Selecionar membros.

No painel Selecionar identidades gerenciadas , expanda a lista suspensa Identidade gerenciada e selecione Identidade gerenciada atribuída pelo usuário.

Escolha a identidade gerida pelo utilizador previamente criada e selecione Selecionar.

Selecione Rever e atribuir para terminar a atribuição do papel.

Obtenha o identificador de recurso da identidade gerida.

resource_id=$(az resource show --resource-group RESOURCE_GROUP_NAME --name IDENTITY_NAME --resource-type Microsoft.ManagedIdentity/userAssignedIdentities --query id --output tsv)

Atribua a identidade ao aplicativo.

az functionapp identity assign --resource-group RESOURCE_GROUP_NAME --name FUNCTION_APP_NAME --identities "$resource_id"

az containerapp identity assign --resource-group RESOURCE_GROUP_NAME --name CONTAINER_APP_NAME --identities "$resource_id"

Obtenha a informação necessária para a cadeia de conexão.

Obtenha o endpoint do agendador:

az durabletask scheduler show --resource-group RESOURCE_GROUP_NAME --name SCHEDULER_NAME --query 'properties.endpoint' --output tsv

Obter o ID de cliente da identidade gerida:

az identity show --name IDENTITY_NAME --resource-group RESOURCE_GROUP_NAME --query 'clientId' --output tsv

Define ambas as variáveis de ambiente na tua aplicação.

az functionapp config appsettings set \
  --resource-group RESOURCE_GROUP_NAME \
  --name FUNCTION_APP_NAME \
  --settings \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

az containerapp update \
  --resource-group RESOURCE_GROUP_NAME \
  --name CONTAINER_APP_NAME \
  --set-env-vars \
    DURABLE_TASK_SCHEDULER_CONNECTION_STRING="Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>" \
    TASKHUB_NAME="<TASKHUB_NAME>"

Obtenha a informação necessária para a cadeia de conexão.

Para obter o seu endpoint do agendador, navegue até ao separador Overview do recurso do agendador e encontre Endpoint na secção Essenciais.

Para obter o ID do cliente de identidade gerida, navegue até ao separador Visão Geral do seu recurso de identidade gerida e encontre o ID do Cliente na secção Essenciais.

Navegue até à sua aplicação no portal.

No menu à esquerda, selecione Definições>Variáveis de Ambiente.

Adicione uma variável de ambiente chamada DURABLE_TASK_SCHEDULER_CONNECTION_STRING com o valor Endpoint=<SCHEDULER_ENDPOINT>;Authentication=ManagedIdentity;ClientID=<IDENTITY_CLIENT_ID>.

Adiciona uma variável de ambiente com o TASKHUB_NAME nome do teu hub de tarefas.

Seleciona Aplicar, depois Confirma para guardar as variáveis.