ADLSCredentialsControllerService Controller Service
描述
定义 ADLS 处理器的凭据。
标签
属性
| 名称 | 默认值 | 可选值 | 描述 |
|---|---|---|---|
| Storage Account Name | | 存储帐户名称。 允许将帐户名称存储为 FlowFile 属性存在一定的风险。虽然它通过允许从 FlowFile 属性动态获取帐户名称来提供更灵活的流程，但必须注意限制对事件溯源数据的访问（例如，通过严格控制管理此处理器溯源的策略）。此外，溯源存储库可以放在加密的磁盘分区上。 敏感属性：是 支持表达式语言：是（使用 FlowFile 属性与环境/系统变量求值） | |
| Endpoint Suffix | dfs.core.windows.net | 公共 Azure 中的存储帐户始终使用通用 FQDN 后缀。在某些情况下（如 Azure Stack 或非公共 Azure 区域），使用不同的后缀覆盖此端点后缀。 支持表达式语言：是（仅使用环境/系统变量求值） | |
| Credentials Type | SAS_TOKEN |
| 用于向 Azure 进行身份验证的凭据类型 |
| Account Key | | 存储帐户密钥。这是一个类似管理员的密码，提供对此帐户中每个容器的访问权限。建议使用共享访问签名 (SAS) 令牌、托管标识或服务主体来获得更细粒度的策略控制。 允许将帐户密钥存储为 FlowFile 属性存在一定的风险。虽然它通过允许从 FlowFile 属性动态获取帐户密钥来提供更灵活的流程，但必须注意限制对事件溯源数据的访问（例如，通过严格控制管理此处理器溯源的策略）。此外，溯源存储库可以放在加密的磁盘分区上。 敏感属性：是 支持表达式语言：是（使用 FlowFile 属性与环境/系统变量求值） | |
| SAS Token | | 共享访问签名令牌（可以包含前导 '?'） 允许将 SAS 令牌存储为 FlowFile 属性存在一定的风险。虽然它通过允许从 FlowFile 属性动态获取 SAS 令牌来提供更灵活的流程，但必须注意限制对事件溯源数据的访问（例如，通过严格控制管理此处理器溯源的策略）。此外，溯源存储库可以放在加密的磁盘分区上。 敏感属性：是 支持表达式语言：是（使用 FlowFile 属性与环境/系统变量求值） | |
| Managed Identity Client ID | | 托管标识的客户端 ID。当使用用户分配的托管标识进行身份验证时，此属性为必填项。在系统分配的托管标识情况下必须为空。 敏感属性：是 | |
| Service Principal Tenant ID | | 托管服务主体的 Azure Active Directory 的租户 ID。 敏感属性：是 | |
| Service Principal Client ID | | 具有服务主体的客户端/应用程序的客户端 ID（或应用程序 ID）。 敏感属性：是 | |
| Service Principal Client Secret | | 客户端/应用程序的密码。 敏感属性：是 | |
| Identity Federation Token Provider | | 控制器服务 API：AzureIdentityFederationTokenProvidercn.org.acal.lynxus-lynxus-azure-services-api-nar-2.11.8 | 通过工作负载身份联合提供 Azure 凭据的Controller Service。 |
| Proxy Configuration Service | | 控制器服务 API：ProxyConfigurationServicecn.org.acal.lynxus-lynxus-standard-services-api-nar-2.11.8 | 指定代理配置 Controller Service 来代理网络请求。 对于 SOCKS，不保证处理器一定会使用所选的 SOCKS 版本。 |
状态管理
该组件不存储状态。
受限 (Restricted)
该组件不受限。
提供的 Service API
ADLSCredentialsService
详细说明
ADLSCredentialsControllerService
Azure Identity Federation Token Provider
当 Credentials Type 属性设为 Identity Federation 时，把
Azure Identity Federation Token Provider 配置为能够将工作负载
身份令牌交换为 Azure AD 访问令牌的 Controller Service。该提供器
必须返回由 Microsoft Entra ID 签发的 access_token（例如使用
StandardAzureIdentityFederationTokenProvider）。该访问令牌会被
转换为 Azure SDK 表示，并在内存中缓存直至过期。
该服务创建的 Azure 客户端实例自身不会执行额外的令牌刷新。请确保 所配置的 Azure Identity Federation Token Provider 会在令牌过期之前 自动刷新令牌，并且所配置的 scope 或 audience 能够授予对目标存储 资源的访问权限。
对敏感属性使用表达式语言的安全注意事项
允许属性使用表达式语言的优点是可以通过 FlowFile Attribute 或 Variable Registry 条目动态配置属性。对于敏感属性，缺点是会暴露 密码、安全密钥或令牌等敏感信息。当敏感属性的值来自 FlowFile Attribute 时，它以明文形式随 FlowFile 传递，并会保存在 provenance 仓库中。Variable Registry 同样不支持对敏感信息加密。 因此，敏感的凭据数据可能暴露给未授权方。
对敏感属性使用表达式语言的最佳实践：
- 只在必要时使用
- 控制对流程和 provenance 仓库的访问权限
- 对存储 FlowFile 和 provenance 数据的磁盘加密
- 如果敏感数据是临时令牌（例如 SAS 令牌），使用较短的有效期并 定期刷新令牌