azure - 如何使用 GUI 工具浏览 Azure Data Lake gen 2

Question

首先一些背景:我希望促进 Azure Data Lake gen 2 中不同数据科学家组的访问。但是，我们不想为他们提供整个数据湖的访问权限，因为出于安全原因，他们不应该看到所有数据。他们必须只能看到一些有限的文件/文件夹。我们通过将数据科学家的 AAD 组添加到数据湖文件夹的 ACL 来实现这一点。您可以引用以下链接来获得更多见解并了解我在说什么: https://learn.microsoft.com/en-us/azure/storage/blobs/data-lake-storage-access-control

现在的问题:由于数据科学家被授予访问非常特定/有限区域的权限，因此他们能够使用 Azure databricks(python 命令/代码等)访问/浏览这些文件夹/文件。但是，他们无法使用 Azure 存储资源管理器进行浏览。那么有什么方法可以让他们使用 Azure 存储资源管理器或其他一些 GUI 工具浏览数据湖。或者是否可以为这种场景创建一些自定义角色，并将该角色授予数据科学家 AAD 组，以便他们可以访问特定区域(即可以创建仅具有“执行”权限的自定义角色)访问 ADLS gen 2 文件系统。)

Answer 1

截至目前(2023 年 8 月)，使用不带 RBAC 的 ACLS 确实有效...我无法判断以前是否有效。

上下文:

• 存储帐户的公共(public)访问已关闭。
• 已启用 - 从选定的虚拟网络和 IP 地址启用
• 已启用 - 允许受信任服务列表中的 Azure 服务访问此存储帐户
• 已选择 Microsoft 网络路由
• 添加了客户 Vnet 所在的现有虚拟网络/子网

起初我不认为它能做到这一点，因为它对如何做到这一点相当挑剔，但它只需要以下内容:

1. 将默认的 EXECUTE ACL 添加到容器和所有子文件夹，直至客户将访问的文件夹级别。 (确保您添加的是 type = security 的组或单个 AAD 用户!)。
2. 在您希望客户进行文件管理的文件夹中添加所需的任何 ACL(我授予读/执行/写权限，默认情况相同)。
3. 让客户使用存储资源管理器从具有到存储帐户 vnet 的网络路由的 Azure 设备连接到容器 URL
4. 让他们打开连接对话框 - 选择 ADLS Gen2 容器或目录 - 使用 OAuth 登录(实际上是 AAD，是最终用户访问的首选方法)
5. 选择他们的帐户并创建保存的连接信息。使用 URL 到特定的文件夹名称!您可以仅使用容器，但如果没有上层文件夹的读取权限，他们将看不到子文件夹，因此必须在 URL 末尾手动放入子文件夹。