Konfigurowanie strumieniowania zdarzeń zmiany (wersja zapoznawcza)

Zasady dostępu współdzielonego zapewniają uwierzytelnianie i autoryzację w usłudze Azure Event Hubs. Każda zasada dostępu współdzielonego wymaga nazwy, poziomu dostępu (Manage, Send lub Listen) i powiązania zasobu (przestrzeni nazw usługi Event Hubs lub określonego wystąpienia Event Hub). Zasady na poziomie wystąpienia zapewniają większe bezpieczeństwo, postępując zgodnie z zasadą minimalnych uprawnień. Zarówno program SQL Server 2025, jak i usługa Azure SQL Database obsługują tę metodę. Jednak używaj uwierzytelniania firmy Microsoft Entra zawsze, gdy jest to możliwe w usłudze Azure SQL Database, ponieważ zapewnia lepsze zabezpieczenia.

Jeśli używasz zasad dostępu współdzielonego do uwierzytelniania i autoryzacji, klienci wysyłający dane do centrum zdarzeń platformy Azure muszą podać nazwę zasad, których chcą użyć, wraz z tokenem SAS wygenerowanym na podstawie zasad lub klucza usługi zasad.

Tokeny SAS mają przewagę zabezpieczeń nad kluczami usług: jeśli klient zostanie naruszony, token SAS jest ważny tylko do momentu wygaśnięcia, a naruszony klient nie może utworzyć nowych tokenów SAS. Z kolei klucze usługi nie wygasają automatycznie. Naruszony klient z kluczem usługi może generować nowe tokeny SAS przy użyciu klucza.

Aby skonfigurować przesyłanie strumieniowe do usługi Azure Event Hubs przy użyciu protokołu AMQP (domyślnego natywnego protokołu usługi Azure Event Hubs), utwórz lub ponownie użyj zasad dostępu współdzielonego z uprawnieniem Wyślij i wygeneruj token SAS. Token można wygenerować programowo przy użyciu dowolnego języka programowania lub skryptu. W przykładzie w tym artykule pokazano, jak wygenerować token SAS na podstawie nowych lub istniejących zasad przy użyciu skryptu programu PowerShell.

Instalowanie wymaganych modułów

Do zarządzania zasobami usługi Azure Event Hubs za pomocą skryptów programu PowerShell potrzebne są następujące moduły:

• Moduł Az programu PowerShell
• Moduł Az.EventHub programu PowerShell

Poniższy skrypt instaluje wymagane moduły:

Install-Module -Name Az -AllowClobber -Scope CurrentUser -Repository PSGallery -Force
Install-Module -Name Az.EventHub -Scope CurrentUser -Force

Jeśli masz już wymagane moduły i chcesz zaktualizować je do najnowszej wersji, uruchom następujący skrypt:

Update-Module -Name Az -Force
Update-Module -Name Az.EventHub -Force

Łączenie się z platformą Azure

Możesz użyć usługi Azure Cloud Shell lub zalogować się i ustawić kontekst subskrypcji.

Aby korzystać z usługi Azure Cloud Shell, zapoznaj się z artykułem Logowanie do platformy Azure.

Definiowanie zasad

Aby utworzyć token SAS, potrzebujesz zasad z uprawnieniami do wysyłania . Masz dwie możliwości:

• Tworzenie nowych zasad

  lub

• Korzystanie z istniejących zasad

Tworzenie tokenu SAS dla nowych lub istniejących zasad

Podczas tworzenia nowych zasad upewnij się, że ma ona prawo do wysyłania . Jeśli używasz istniejącej polityki, sprawdź, czy zawiera prawo do wysyłania.

Poniższy skrypt tworzy nowe zasady lub pobiera istniejącą, a następnie generuje pełny token SAS w formacie nagłówka autoryzacji HTTP.

Zastąp wartości w nawiasach kątowych (<value>) wartościami odpowiednimi dla twojego środowiska.

function Generate-SasToken {
$subscriptionId = "<Azure-Subscription-ID>"
$resourceGroupName = "<Resource-group-name>"
$namespaceName = "<Azure-Event-Hub-Namespace-name>"
$eventHubName = "<Azure-Event-Hubs-instance-name>"
$policyName = "<Policy-name>"
$tokenExpireInDays = "<number-of-days-token-will-be-valid>"

# Modifying the rest of the script is not necessary.

# Login to Azure and set Azure Subscription.
Connect-AzAccount

# Get current context and check subscription
$currentContext = Get-AzContext
if ($currentContext.Subscription.Id -ne $subscriptionId) {
    Write-Host "Current subscription is $($currentContext.Subscription.Id), switching to $subscriptionId..."
    Set-AzContext -SubscriptionId $subscriptionId | Out-Null
} else {
    Write-Host "Already using subscription $subscriptionId."
}

# Try to get the authorization policy (it should have Send rights)
$rights = @("Send")
$policy = Get-AzEventHubAuthorizationRule -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName -ErrorAction SilentlyContinue

# If the policy does not exist, create it
if (-not $policy) {
    Write-Output "Policy '$policyName' does not exist. Creating it now..."

    # Create a new policy with the Manage, Send and Listen rights
    $policy = New-AzEventHubAuthorizationRule -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName -Rights $rights
    if (-not $policy) {
        throw "Error. Policy was not created."
    }
    Write-Output "Policy '$policyName' created successfully."
} else {
    Write-Output "Policy '$policyName' already exists."
}

if ("Send" -in $policy.Rights) {
    Write-Host "Authorization rule has required right: Send."
} else {
    throw "Authorization rule is missing Send right."
}

$keys = Get-AzEventHubKey -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName

if (-not $keys) {
    throw "Could not obtain Azure Event Hub Key. Script failed and will end now."
}
if (-not $keys.PrimaryKey) {
    throw "Could not obtain Primary Key. Script failed and will end now."
}

# Get the Primary Key of the Shared Access Policy
$primaryKey = ($keys.PrimaryKey)
Write-Host $primaryKey

## Check that the primary key is not empty.

# Define a function to create a SAS token (similar to the C# code provided)
function Create-SasToken {
    param (
        [string]$resourceUri, [string]$keyName, [string]$key
    )

$sinceEpoch = [datetime]::UtcNow - [datetime]"1970-01-01"
    $expiry = [int]$sinceEpoch.TotalSeconds + ((60 * 60 * 24) * [int]$tokenExpireInDays) # seconds since Unix epoch
    $stringToSign = [System.Web.HttpUtility]::UrlEncode($resourceUri) + "`n" + $expiry
    $hmac = New-Object System.Security.Cryptography.HMACSHA256
    $hmac.Key = [Text.Encoding]::UTF8.GetBytes($key)
    $signature = [Convert]::ToBase64String($hmac.ComputeHash([Text.Encoding]::UTF8.GetBytes($stringToSign)))
    $sasToken = "SharedAccessSignature sr=$([System.Web.HttpUtility]::UrlEncode($resourceUri))&sig=$([System.Web.HttpUtility]::UrlEncode($signature))&se=$expiry&skn=$keyName"
    return $sasToken
}

# Construct the resource URI for the SAS token
$resourceUri = "https://$namespaceName.servicebus.windows.net/$eventHubName"

# Generate the SAS token using the primary key from the new policy
$sasToken = Create-SasToken -resourceUri $resourceUri -keyName $policyName -key $primaryKey

# Output the SAS token
Write-Output @"
-- Generated SAS Token --
$sasToken
-- End of generated SAS Token --
"@
}

Generate-SasToken

Dane wyjściowe poprzedniego polecenia powinny wyglądać podobnie do następującego tekstu:

-- Generated SAS Token --
SharedAccessSignature sr=https%3a%2f%YourEventHubNamespace.servicebus.windows.net%2fYourEventHub&sig=xxxxxxxxxxxxxxxxxxxxxxx&se=2059133074&skn=SharedKeyNameIsHERE
-- End of generated SAS Token --

Skopiuj całą wartość tokenu SAS (wiersz rozpoczynający się od SharedAccessSignature) do późniejszego użycia podczas konfigurowania CES, jak w poniższym przykładzie:

SharedAccessSignature sr=https%3a%2f%YourEventHubNamespace.servicebus.windows.net%2fYourEventHub&sig=xxxxxxxxxxxxxxxxxxxxxxx&se=2059133074&skn=SharedKeyNameIsHERE

Użyj tożsamości zarządzanych firmy Microsoft Entra, aby kontrolować dostęp do usługi Azure Event Hubs. Jest to najprostszy i najbezpieczniejszy sposób udzielania dostępu do usługi Azure Event Hubs. Obecnie tylko Azure SQL Database obsługuje uwierzytelnianie Microsoft Entra dla usługi CES.

Aby zezwolić na dostęp do zapisu tożsamości zarządzanej usługi Azure SQL Database w centrum zdarzeń, wykonaj następujące kroki:

1. Skonfiguruj tożsamość zarządzaną dla serwera logicznego usługi Azure SQL Database, jeśli jeszcze tego nie zrobiono.
2. Dodaj przypisanie roli Azure Event Hubs Data Sender do zarządzanej tożsamości serwera logicznego dla wystąpienia usługi Azure Event Hub. Można to zrobić programowo za pomocą dowolnego języka programowania lub skryptu albo na stronie Kontrola dostępu (IAM) dla wystąpienia usługi Azure Event Hub w witrynie Azure Portal.

Aby postępować zgodnie z zasadą najniższych uprawnień, przyznaj dostęp do określonego wystąpienia usługi Event Hubs, które odbiera zdarzenia zmiany. Udzielanie dostępu do zapisu całej przestrzeni nazw usługi Event Hubs jest technicznie dozwolone, ale nie jest zalecane, ponieważ dotyczy ono dowolnego wystąpienia usługi Event Hubs w przestrzeni nazw.

W przykładzie w tej sekcji użyto tokenu SAS do uwierzytelniania w wystąpieniu usługi Azure Event Hubs za pośrednictwem protokołu AMQP. Jeśli uwierzytelnianie Microsoft Entra nie jest dostępne, użyj tokenu SAS zamiast wartości klucza usługi w celu zwiększenia bezpieczeństwa.

Zastąp wartości w nawiasach kątowych (<value>) wartościami odpowiednimi dla twojego środowiska.

USE <database name>;

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>';

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
    SECRET = '<Generated SAS Token>' -- Be sure to copy the entire token. The SAS token starts with "SharedAccessSignature sr="

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PartitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

W przykładzie w tej sekcji użyto uwierzytelniania Microsoft Entra w celu uwierzytelnienia wystąpienia usługi Azure Event Hubs za pośrednictwem protokołu AMQP. Ta metoda jest najbezpieczniejsza, ale obecnie jest obsługiwana tylko przez usługę Azure SQL Database for CES.

Zastąp wartości w nawiasach kątowych (<value>) wartościami środowiska.

USE <database name>;

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>';

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'Managed Identity'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PartitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

W przykładzie w tej sekcji użyto wartości klucza zasad dostępu współdzielonego do uwierzytelniania w wystąpieniu usługi Azure Event Hubs za pośrednictwem protokołu AMQP. Jeśli uwierzytelnianie Microsoft Entra nie jest dostępne, użyj tokenu SAS zamiast wartości klucza usługi w celu zwiększenia bezpieczeństwa.

Zastąp wartości w nawiasach kątowych (<value>) wartościami środowiska.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = '<Azure Event Hubs SAS Policy name>',
    SECRET = '<Primary or Secondary key value>'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

W przykładzie w tej sekcji użyto tokenu SAS do uwierzytelniania w wystąpieniu usługi Azure Event Hubs za pomocą protokołu Apache Kafka. Jeśli uwierzytelnianie Microsoft Entra nie jest dostępne, użyj tokenu SAS zamiast wartości klucza usługi w celu zwiększenia bezpieczeństwa.

Zastąp wartości w nawiasach kątowych (<value>) wartościami odpowiednimi dla twojego środowiska.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
    SECRET = '<Event Hubs Namespace – Primary or Secondary connection string>'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

W przykładzie w tej sekcji wykorzystano usługę uwierzytelniania Microsoft Entra do zautoryzowania dostępu do wystąpienia usługi Azure Event Hubs za pomocą protokołu Apache Kafka. Ta metoda jest najbezpieczniejsza, ale obecnie jest obsługiwana tylko przez usługę Azure SQL Database for CES.

Zastąp wartości w nawiasach kątowych (<value>) wartościami środowiska.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'Managed Identity'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

W przykładzie w tej sekcji użyto wartości klucza zasad dostępu współdzielonego do uwierzytelnienia w instancji Azure Event Hubs za pomocą protokołu Apache Kafka. Jeśli uwierzytelnianie Microsoft Entra nie jest dostępne, użyj tokenu SAS zamiast wartości klucza usługi w celu zwiększenia bezpieczeństwa.

Zastąp wartości w nawiasach kątowych (<value>) wartościami środowiska.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = '<Azure Event Hubs SAS Policy name>',
    SECRET = '<Primary or Secondary key value>' -- BVFnT3baC/K6I8xNZzio4AeoFt6nHeK0i+ZErNGsxiw=

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',  -- myStreamGroup
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,       -- 1024
    @partition_key_scheme =   N'<PatitionKeyScheme>'  -- N'None'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>' -- dbo.myTable