Доступ к Power BI Dataflow в сети ограничен Учетная запись хранения Azure

Я использую потоки данных Power BI для доступа к электронным таблицам в хранилище BLOB-объектов. Я настроил разрешения IAM для учетной записи хранения для себя и пользователя службы Power BI. Для конфигурации сети задано значение «Разрешить доверенным службам Microsoft доступ к этой учетной записи хранения» и предпочтения «Конечная точка сетевой маршрутизации Microsoft».

Первый тест: учетная запись хранения, разрешающая доступ из всех сетей.

Я могу получить доступ к электронной таблице из службы Power BI и выполнить преобразования.

Второй тест: учетная запись хранения, разрешающая только выбранные сети.

В этом случае я добавил группу блоков CIDR для других служб, которым необходим доступ к учетной записи хранения. Я также добавил белые списки для службы Power BI и PowerQueryOnline, используя как список устаревших и новый список json.

При запуске того же подключения из потоков данных службы Power BI теперь я получаю сообщение об ошибке «Недопустимые учетные данные». После включения ведения журнала для учетной записи хранения и выполнения еще одного успешного теста похоже, что запросы поступают с частных IP-адресов (10.0.1.6), а не с каких-либо общедоступных диапазонов.

2.0;2020-09-18T12:57:17.0000567Z;ListFilesystems;OAuthSuccess;200;4;4;bearer;restrictiedmobacc;restrictiedmobacc;blob;"https://restrictiedmobacc.dfs.core.windows.net/?resource=account";"/restrictiedmobacc";7a6efbbd-e01f-004c-31bb-8d39a9000000;0;10.0.1.6;2018-06-17;2185;0;184;108;0;;;"gzip, deflate";Monday, 01-Jan-01 00:00:00 GMT;;"Microsoft.Data.Mashup (https://go.microsoft.com/fwlink/?LinkID=304225)";;"f5d7d551-0291-e765-f20d-09a337164e19";"31cae3e8-e77a-4db2-9050-a69c0555d912";"2f6a613f-ba8c-4432-bdb8-9a0ea0a9f51d";"b52893c8-bc2e-47fc-918b-77022b299bbc";"https://storage.azure.com";"https://sts.windows.net/2f6a613f-ba8c-4432-bdb8-9a0ea0a9f51d/";"<MY EMAIL ADDRESS>";;"{&quot;action&quot;:&quot;Microsoft.Storage/storageAccounts/blobServices/containers/read&quot;, &quot;roleAssignmentId&quot;:&quot;9fe216db-d682-462c-b408-4133a454ef1a&quot;, &quot;roleDefinitionId&quot;:&quot;8e3af657-a8ff-443c-a75c-2fe8c4bcb635&quot;, &quot;principals&quot;: [{&quot;id&quot;: &quot;31cae3e8-e77a-4db2-9050-a69c0555d912&quot;, &quot;type&quot;:&quot;User&quot;}], &quot;denyAssignmentId&quot;:&quot;&quot;}"

Я не понимаю, что попробовать дальше, это требование, чтобы эта учетная запись хранения не была открыта для всех. У меня есть прочтите, что вы можете использовать локальный шлюз данных, чтобы можно было заблокировать диапазон адресов до этого устройства, но я действительно не хочу идти по этому пути.


azure powerbi azure-data-lake-gen2 azure-storage-account
person Garreth    schedule 18.09.2020    source источник

Ответы (2)


arrow_upward
0
arrow_downward

Вы пытались включить конечную точку службы для хранилища Azure в виртуальной сети? Конечная точка службы направляет трафик из виртуальной сети по оптимальному пути к службе хранилища Azure.

Не могли бы вы также проверить, внесли ли вы в белый список следующие ссылки, вы найдете их по этой ссылке:

https://docs.microsoft.com/en-us/power-bi/admin/power-bi-whitelist-urls

Kr,

Абдель

person Abdel Aneddame    schedule 18.09.2020
comment
Привет! В настоящее время в моей учетной записи хранения не развернута виртуальная сеть. Только адреса брандмауэра из белого списка. Я думаю, что список в вашем ответе предназначен для доступа к сервису powerbi, а не доступа из сервиса powerbi. Спасибо - person Garreth; 20.09.2020

arrow_upward
0
arrow_downward

После разговора со службой поддержки Microsoft мне сказали

Невозможно подключить службу Power BI с учетной записью хранения, для которой включен ограниченный доступ к сети.

Однако, прочитав информацию о фабрике данных Azure, я заметил утверждение ...

Службы, развернутые в том же регионе, что и учетная запись хранения, используют для связи частные IP-адреса. Таким образом, вы не можете ограничить доступ к определенным службам Azure на основе диапазона их общедоступных исходящих IP-адресов.

Поэтому я создал учетную запись хранения на западе Великобритании с помощью нашей службы Power BI на юге Великобритании. Просматривая журналы в учетной записи хранения, я теперь вижу, что запросы от Power BI поступают в диапазоне 51.0.0.0/8 вместо частных адресов. Добавив 51.0.0.0/8 к разрешенным CIDR, потоки данных службы Power BI теперь могут получать доступ к электронным таблицам, хранящимся в Datalake.

person Garreth    schedule 21.09.2020