使用 Automation RunAs 服务主体连接到 Azure Analysis Services 并处理

Question

TL;DR

总的来说，步骤是：

1. 使用正确的代码（本文最后的代码）
2. 以服务器管理员或数据库管理员的身份在 SSMS 中手动添加您的应用 ID

然后您可以从 Azure 自动化帐户处理 Azure Analysis Services 多维数据集，而无需创建另一个单独的服务帐户

实际问题：

我正在尝试使用 Azure 自动化 RunAs 服务主体处理 Azure Analysis Services 多维数据集。这是在 Azure 自动化帐户中运行的

这段代码

#Get the existing AzureRunAsConnection connection
$Conn = Get-AutomationConnection -Name AzureRunAsConnection

# Login with service principal account
Login-AzureRMAccount 
    -ServicePrincipal 
    -Tenant $Conn.TenantID 
    -ApplicationId $Conn.ApplicationID 
    -CertificateThumbprint $Conn.CertificateThumbprint

# Process cube
Invoke-ProcessASDatabase -databasename "DB" -server "Server" -RefreshType "Full"

结果

身份验证失败：用户界面不可用时需要用户 ID 和密码 可用。

我的理解是，当您创建 Azure 自动化帐户时，它还会创建一个“RunAs”帐户，进而创建一个服务主体帐户。 （虽然 doco 好像有点亮了）

我尝试在 Azure AD 中找到此主体帐户并将其添加到 Azure 门户中的 SSAS 管理员，但我找不到实际帐户。服务主体是否实际上显示为帐户？

下面的代码可以正常工作，但它使用预先保存的凭据，但我不想再管理另一个帐户。

# Purpose: Run a full process the SSAS cube
$AzureCred = Get-AutomationPSCredential -Name "MyCredential"

Add-AzureRmAccount -Credential $AzureCred | Out-Null
Invoke-ProcessASDatabase -databasename "MyDB" -server "MyServer" -RefreshType "Full" -Credential $AzureCred 

更新 1

我还尝试在 SSMS 会员区域中手动添加这些（在自动化帐户的 RunAs 帐户 区域中查找 guid 之后）：

app:applicationid@tenantid

obj:serviceprincipalobjectid@tenantid

我得到同样的错误信息。

我还用非管理员用户运行了脚本并得到了

服务器上不存在“zzz”数据库。

所以看来我的问题是身份验证，而不是授权。换句话说，不是我无法访问，而是我无法登录。我正在考虑基于该错误，-credential 在针对 Azure 分析服务调用 Invoke-ProcessAsDatabase 时不是可选的

另外，我注意到对于-credential 选项，帮助说明

如果未指定凭据，则假定运行脚本的用户的默认 Windows 帐户

鉴于 Azure Analysis Services 似乎只能在连接到数据源时使用 SQL 凭据（没有 AD 凭据），我只能推测 Azure Analysis Services 无法使用任何类型的 Azure Ad 身份验证内部流程。

令人讨厌的是，这在任何地方都没有说明。

更新 2

所以我没有仔细阅读链接。有效的代码主要在两个回答者here 发布的网站上。要对 Azure 分析服务器进行预身份验证，您需要使用 Add-AzureAnalysisServicesAccount（链接的博客使用 Login-AzureAsAccount，但我无法使其正常工作并且找不到 doco）。您需要安装 powershell 模块“Azure.AnalysisServices”才能使用它。

$Conn = Get-AutomationConnection -Name AzureRunAsConnection
Add-AzureAnalysisServicesAccount -RolloutEnvironment "australiasoutheast.asazure.windows.net" -ServicePrincipal -Tenant $Conn.TenantID -ApplicationId $Conn.ApplicationID -CertificateThumbprint $Conn.CertificateThumbprint
Invoke-ProcessASDatabase -databasename "MYDB" -server "MyServerEndpoint" -RefreshType "Full"

这个可以用RunAs账号，之后就不用-credential

所以.. 这实际上可以在不需要单独的凭据的情况下登录，但现在它无法访问数据库。我得到的不是登录错误，而是

服务器上不存在“ZZZZ”数据库。

我认为 RunAs 帐户可以访问服务器但不能访问数据库，我无法找到它来授予它访问权限。

更新 3：

这是关于如何让应用访问模型以便构建模型的更直接指南：

Azure analysis service connection using Service principal not working

请注意，您无法在 Azure 门户中添加，因为它不会找到它。在 SSMS 中“手动”添加它，它会起作用，它也会作为管理员出现在 Azure 门户中

现在一切正常。

更新 4：

这已成为存储我在通过 MSI 进行身份验证时发现的一个方便的地方

虽然这个问题已经解决，但我想使用 MSI 安全性从其他东西连接到 SQL Azure。没有连接字符串支持这一点 - 任何连接字符串中的身份验证方法都不支持 MSI 身份验证。我确实找到了这个有趣的链接，这意味着您可以创建一个支持作为 MSI 身份验证的连接字符串：

https://docs.microsoft.com/en-us/azure/app-service/app-service-web-tutorial-connect-msi

感兴趣的代码是：

az webapp config connection-string set 
--resource-group myResourceGroup 
--name <app name> 
--settings MyDbConnection='Server=tcp:<server_name>.database.windows.net,1433;Database=<db_name>;' 
--connection-string-type SQLAzure

我找不到对参数--connection-string-type 的任何引用。但看起来您只是完全排除了身份验证部分。

Answer 1

在您的示例 1 中，您的登录 Azure Login-AzureRMAccount 似乎没有得到错误日志。据我所知，Invoke-ProcessASDatabase 不是 Azure Power Shell cmdlet。事实上，您无需登录您的 Azure 订阅。只有Invoke-ProcessASDatabase -databasename "MyDB" -server "MyServer" -RefreshType "Full" -Credential $AzureCred 适合您。

是的，如果我提供凭据，它可以工作，但我想使用 RunAs 凭据。如果我不能，那还有什么意义呢。

RunAs credential 仅适用于登录您的 Azure 订阅，它不存储您的 SQL 凭据。在您的场景中，您可以将 SQL 凭据存储在运行手册 PSCredential 中，例如您的示例 2。实际上，在您的示例中，您可以删除 Add-AzureRmAccount -Credential $AzureCred | Out-Null。

更新：

您应该在运行手册中使用以下脚本。

$Conn = Get-AutomationConnection -Name AzureRunAsConnection 
Login-AzureASAccount -RolloutEnvironment "southcentralus.asazure.windows.net" -ServicePrincipal -ApplicationId $Conn.ApplicationID -CertificateThumbprint $Conn.CertificateThumbprint -TenantId $Conn.TenantID 
Invoke-ProcessTable -Server "asazure://southcentralus.asazure.windows.net/myserver" -TableName "MyTable" -Database "MyDb" -RefreshType "Full"

更多信息请查看blog。

Answer 2

根据官方文档：

创建服务主体后，可以使用以下语法为其应用程序 ID 分配 Azure Analysis Services 服务器或模型角色中的权限。下面的示例将服务主体添加到 SSMS 中的服务器管理员组。

我没有看到 Run-as 选项的使用，我建议检查一下 blog

它还包含有关在 azure 自动化中存储凭据的信息，这将帮助您在代码中不硬写凭据。