Настройка потоковой передачи событий изменений (предварительная версия)

Политики общего доступа предоставляют проверку подлинности и авторизацию в Центрах событий Azure. Для каждой политики общего доступа требуется имя, уровень доступа (Manage, Send, или Listen), и привязка ресурсов (пространство имен Центров событий или определенный экземпляр Центра событий). Политики уровня экземпляра обеспечивают большую безопасность, следуя принципу наименьших привилегий. Как SQL Server 2025, так и База данных SQL Azure поддерживают этот метод. Однако при возможности используйте проверку подлинности Microsoft Entra с базой данных SQL Azure, так как она обеспечивает более высокую безопасность.

Если вы используете политику общего доступа для проверки подлинности и авторизации, клиенты, отправляя данные в Концентратор событий Azure, должны указать имя используемой политики, а также маркер SAS , созданный из политики или ключа службы политики.

Маркеры SAS имеют преимущество безопасности по сравнению с ключами службы: если клиент скомпрометирован, маркер SAS действителен только до истечения срока его действия, и скомпрометированный клиент не может создавать новые маркеры SAS. В отличие от этого, ключи службы не истекают автоматически. Скомпрометированный клиент с ключом службы может создавать новые маркеры SAS с помощью ключа.

Чтобы настроить потоковую передачу в Центры событий Azure с помощью протокола AMQP (протокола по умолчанию для Центров событий Azure), создайте или повторно используйте политику общего доступа с разрешением отправка и создайте маркер SAS. Маркер можно создавать программным способом с помощью любого языка программирования или скриптов. В примере в этой статье показано, как создать маркер SAS из новой или существующей политики с помощью скрипта PowerShell.

Установка необходимых модулей

Чтобы управлять ресурсами Центров событий Azure с помощью скриптов PowerShell, вам потребуется следующее:

• Модуль Az PowerShell
• Модуль Az.EventHub PowerShell

Следующий скрипт устанавливает необходимые модули:

Install-Module -Name Az -AllowClobber -Scope CurrentUser -Repository PSGallery -Force
Install-Module -Name Az.EventHub -Scope CurrentUser -Force

Если у вас уже есть необходимые модули и хотите обновить их до последней версии, выполните следующий сценарий:

Update-Module -Name Az -Force
Update-Module -Name Az.EventHub -Force

Подключение к Azure

Вы можете использовать Azure Cloud Shell или войти и задать контекст подписки.

Чтобы запустить Azure Cloud Shell, просмотрите вход в Azure.

Определение политики

Чтобы создать маркер SAS, вам потребуется политика с правами отправки . Вы можете сделать одно из двух:

• Создание новой политики

  или

• Использование существующей политики

Создание маркера SAS для новой или существующей политики

При создании новой политики убедитесь, что она имеет право на отправку. Если вы используете существующую политику, убедитесь, что она имеет право отправки.

Следующий скрипт создает новую политику или получает существующую, а затем создает полный маркер SAS в формате заголовка авторизации HTTP.

Замените значения в угловых скобках (<value>) значениями для вашей среды.

function Generate-SasToken {
$subscriptionId = "<Azure-Subscription-ID>"
$resourceGroupName = "<Resource-group-name>"
$namespaceName = "<Azure-Event-Hub-Namespace-name>"
$eventHubName = "<Azure-Event-Hubs-instance-name>"
$policyName = "<Policy-name>"
$tokenExpireInDays = "<number-of-days-token-will-be-valid>"

# Modifying the rest of the script is not necessary.

# Login to Azure and set Azure Subscription.
Connect-AzAccount

# Get current context and check subscription
$currentContext = Get-AzContext
if ($currentContext.Subscription.Id -ne $subscriptionId) {
    Write-Host "Current subscription is $($currentContext.Subscription.Id), switching to $subscriptionId..."
    Set-AzContext -SubscriptionId $subscriptionId | Out-Null
} else {
    Write-Host "Already using subscription $subscriptionId."
}

# Try to get the authorization policy (it should have Send rights)
$rights = @("Send")
$policy = Get-AzEventHubAuthorizationRule -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName -ErrorAction SilentlyContinue

# If the policy does not exist, create it
if (-not $policy) {
    Write-Output "Policy '$policyName' does not exist. Creating it now..."

    # Create a new policy with the Manage, Send and Listen rights
    $policy = New-AzEventHubAuthorizationRule -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName -Rights $rights
    if (-not $policy) {
        throw "Error. Policy was not created."
    }
    Write-Output "Policy '$policyName' created successfully."
} else {
    Write-Output "Policy '$policyName' already exists."
}

if ("Send" -in $policy.Rights) {
    Write-Host "Authorization rule has required right: Send."
} else {
    throw "Authorization rule is missing Send right."
}

$keys = Get-AzEventHubKey -ResourceGroupName $resourceGroupName -NamespaceName $namespaceName -EventHubName $eventHubName -AuthorizationRuleName $policyName

if (-not $keys) {
    throw "Could not obtain Azure Event Hub Key. Script failed and will end now."
}
if (-not $keys.PrimaryKey) {
    throw "Could not obtain Primary Key. Script failed and will end now."
}

# Get the Primary Key of the Shared Access Policy
$primaryKey = ($keys.PrimaryKey)
Write-Host $primaryKey

## Check that the primary key is not empty.

# Define a function to create a SAS token (similar to the C# code provided)
function Create-SasToken {
    param (
        [string]$resourceUri, [string]$keyName, [string]$key
    )

$sinceEpoch = [datetime]::UtcNow - [datetime]"1970-01-01"
    $expiry = [int]$sinceEpoch.TotalSeconds + ((60 * 60 * 24) * [int]$tokenExpireInDays) # seconds since Unix epoch
    $stringToSign = [System.Web.HttpUtility]::UrlEncode($resourceUri) + "`n" + $expiry
    $hmac = New-Object System.Security.Cryptography.HMACSHA256
    $hmac.Key = [Text.Encoding]::UTF8.GetBytes($key)
    $signature = [Convert]::ToBase64String($hmac.ComputeHash([Text.Encoding]::UTF8.GetBytes($stringToSign)))
    $sasToken = "SharedAccessSignature sr=$([System.Web.HttpUtility]::UrlEncode($resourceUri))&sig=$([System.Web.HttpUtility]::UrlEncode($signature))&se=$expiry&skn=$keyName"
    return $sasToken
}

# Construct the resource URI for the SAS token
$resourceUri = "https://$namespaceName.servicebus.windows.net/$eventHubName"

# Generate the SAS token using the primary key from the new policy
$sasToken = Create-SasToken -resourceUri $resourceUri -keyName $policyName -key $primaryKey

# Output the SAS token
Write-Output @"
-- Generated SAS Token --
$sasToken
-- End of generated SAS Token --
"@
}

Generate-SasToken

Выходные данные предыдущей команды должны выглядеть следующим образом:

-- Generated SAS Token --
SharedAccessSignature sr=https%3a%2f%YourEventHubNamespace.servicebus.windows.net%2fYourEventHub&sig=xxxxxxxxxxxxxxxxxxxxxxx&se=2059133074&skn=SharedKeyNameIsHERE
-- End of generated SAS Token --

Скопируйте все значение маркера SAS (строка, которая начинается с SharedAccessSignature), чтобы использовать его позже при настройке CES, например в следующем примере:

SharedAccessSignature sr=https%3a%2f%YourEventHubNamespace.servicebus.windows.net%2fYourEventHub&sig=xxxxxxxxxxxxxxxxxxxxxxx&se=2059133074&skn=SharedKeyNameIsHERE

Используйте управляемые удостоверения Microsoft Entra для управления доступом к Центрам событий Azure. Это самый простой и самый безопасный способ предоставления доступа к Центрам событий Azure. В настоящее время только база данных SQL Azure поддерживает проверку подлинности Microsoft Entra для CES.

Чтобы разрешить управляемому удостоверению Базы данных SQL Azure доступ на запись в Концентратор событий, выполните следующие действия.

1. Настройте управляемое удостоверение для логического сервера Базы данных SQL Azure, если вы еще не сделали этого.
2. Добавьте назначение роли для управляемого удостоверения Azure Event Hubs Data Sender вашего логического сервера в экземпляре Концентратора событий Azure. Это можно сделать программным способом с помощью любого языка программирования или скрипта или на странице управления доступом (IAM) для экземпляра Концентратора событий Azure на портале Azure.

Чтобы следовать принципу наименьших привилегий, предоставьте доступ к конкретному экземпляру Event Hubs для получения событий изменений. Предоставление доступа на запись ко всему пространству имен Event Hubs технически разрешено, но не рекомендуется, так как оно применяется к любому экземпляру Event Hubs в пространстве имен.

В данном разделе используется токен SAS для аутентификации вашего экземпляра Центров событий Azure через протокол AMQP. Если проверка подлинности Microsoft Entra недоступна, используйте маркер SAS вместо значения ключа службы для повышения безопасности.

Замените значения в угловых скобках (<value>) значениями для вашей среды.

USE <database name>;

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>';

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
    SECRET = '<Generated SAS Token>' -- Be sure to copy the entire token. The SAS token starts with "SharedAccessSignature sr="

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PartitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

В этом разделе используется проверка подлинности Microsoft Entra для подключения к экземпляру Azure Event Hubs с помощью протокола AMQP. Этот метод является наиболее безопасным, но в настоящее время поддерживается только базой данных SQL Azure для CES.

Замените значения в угловых скобках (<value>) значениями для вашей среды.

USE <database name>;

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>';

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'Managed Identity'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PartitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

В этом разделе используется значение ключа политики общего доступа для проверки подлинности в экземпляре Центров событий Azure с помощью протокола AMQP. Если проверка подлинности Microsoft Entra недоступна, используйте маркер SAS вместо значения ключа службы для повышения безопасности.

Замените значения в угловых скобках (<value>) значениями для вашей среды.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = '<Azure Event Hubs SAS Policy name>',
    SECRET = '<Primary or Secondary key value>'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsAmqp',
    @destination_location =   N'<AzureEventHubsHostName>/<EventHubsInstance>',
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

В этом разделе используется токен SAS для аутентификации к вашему экземпляру Azure Event Hubs с помощью протокола Apache Kafka. Если проверка подлинности Microsoft Entra недоступна, используйте маркер SAS вместо значения ключа службы для повышения безопасности.

Замените значения в угловых скобках (<value>) значениями для вашей среды.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
    SECRET = '<Event Hubs Namespace – Primary or Secondary connection string>'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

В этом разделе используется аутентификация Microsoft Entra для аутентификации вашего экземпляра Центров событий Azure с помощью протокола Apache Kafka. Этот метод является наиболее безопасным, но в настоящее время поддерживается только базой данных SQL Azure для CES.

Замените значения в угловых скобках (<value>) значениями для вашей среды.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = 'Managed Identity'

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,
    @partition_key_scheme =   N'<PatitionKeyScheme>'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>'

В данном разделе используется значение ключа политики общего доступа для аутентификации в вашем экземпляре Azure Event Hubs через протокол Apache Kafka. Если проверка подлинности Microsoft Entra недоступна, используйте маркер SAS вместо значения ключа службы для повышения безопасности.

Замените значения в угловых скобках (<value>) значениями для вашей среды.

USE <database name>

-- Create the Master Key with a password.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Password>'

CREATE DATABASE SCOPED CREDENTIAL <CredentialName>
    WITH IDENTITY = '<Azure Event Hubs SAS Policy name>',
    SECRET = '<Primary or Secondary key value>' -- BVFnT3baC/K6I8xNZzio4AeoFt6nHeK0i+ZErNGsxiw=

EXEC sys.sp_enable_event_stream

EXEC sys.sp_create_event_stream_group
    @stream_group_name =      N'<EventStreamGroupName>',  -- myStreamGroup
    @destination_type =       N'AzureEventHubsApacheKafka',
    @destination_location =   N'<AzureEventHubsHostName>:<port>/<EventHubsInstance>', -- myEventHubsNamespace.servicebus.windows.net:9093/myEventHubsInstance
    @destination_credential = <CredentialName>,
    @max_message_size_kb =    <MaxMessageSize>,       -- 1024
    @partition_key_scheme =   N'<PatitionKeyScheme>'  -- N'None'

EXEC sys.sp_add_object_to_event_stream_group
    N'<EventStreamGroupName>',
    N'<SchemaName>.<TableName>' -- dbo.myTable