IoT Hub-Unterstützung für verwaltete Identitäten

Artikel
09/05/2023

Verwaltete Identitäten stellen für Azure-Dienste eine automatisch verwaltete Identität in Microsoft Entra ID auf sichere Weise bereit. Dadurch entfällt die Notwendigkeit, dass Entwickler Anmeldeinformationen durch Bereitstellung einer Identität verwalten müssen. Es gibt zwei Arten von verwalteten Identitäten: systemseitig und benutzerseitig zugewiesene Identitäten. IoT Hub unterstützt beides.

In IoT Hub können verwaltete Identitäten für ausgehende Konnektivität von IoT Hub und anderen Azure-Diensten für Features wie Nachrichtenrouting,Dateiupload und Massenimport/-export von Geräten verwendet werden. In diesem Artikel erfahren Sie, wie Sie systemseitig zugewiesene und benutzerseitig zugewiesene verwaltete Identitäten in Ihrem IoT Hub für verschiedene Funktionen verwenden können.

Voraussetzungen

Um die Unterschiede zwischen systemseitig und benutzerseitig zugewiesener verwalteter Identität zu verstehen, siehe Was sind verwaltete Identitäten für Azure-Ressourcen?
Ein IoT-Hub

Systemseitig zugewiesene verwaltete Identität

Aktivieren oder deaktivieren der systemseitig zugewiesenen verwalteten Identität im Azure-Portal

Melden Sie sich beim Azure-Portal an, und navigieren Sie zu Ihrem IoT Hub.
Wählen Sie im Navigationsmenü im Abschnitt Sicherheitseinstellungen die Option Identität aus.
Wählen Sie die Registerkarte Systemseitig zugewiesen aus.
Ändern Sie den Status unter systemseitig zugewiesene verwaltete Identität zu Ein oder Aus, und wählen Sie dann Speichern aus.

Hinweis

Sie können die systemseitig zugewiesene verwaltete Identität nicht deaktivieren, während sie verwendet wird. Stellen Sie sicher, dass keine benutzerdefinierten Endpunkte die systemseitig zugewiesene Authentifizierung der verwalteten Identität verwenden, bevor Sie das Feature deaktivieren.

Aktivieren der systemseitig zugewiesenen verwalteten Identität zum Zeitpunkt der Huberstellung mithilfe einer ARM-Vorlage

Wenn Sie die systemseitig zugewiesene verwaltete Identität in Ihrem IoT Hub zum Zeitpunkt der Ressourcenbereitstellung aktivieren möchten, verwenden Sie die folgende ARM-Vorlage (Azure Resource Manager).

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": 
    {
      "iotHubName": {
        "type": "string",
        "metadata": {
          "description": "Name of iothub resource"
        }
      },
      "skuName": {
        "type": "string",
        "defaultValue": "S1",
        "metadata": {
          "description": "SKU name of iothub resource, by default is Standard S1"
        }
      },
      "skuTier": {
        "type": "string",
        "defaultValue": "Standard",
        "metadata": {
          "description": "SKU tier of iothub resource, by default is Standard"
        }
      },
      "location": {
        "type": "string",
        "defaultValue": "[resourceGroup().location]",
        "metadata": {
          "description": "Location of iothub resource. Please provide any of supported-regions of iothub"
        }
      }
    },
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2020-10-01",
      "name": "createIotHub",
      "properties": {
        "mode": "Incremental",
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "resources": [
            {
              "type": "Microsoft.Devices/IotHubs",
              "apiVersion": "2021-03-31",
              "name": "[parameters('iotHubName')]",
              "location": "[parameters('location')]",
              "identity": {
                "type": "SystemAssigned"
              },
              "sku": {
              "name": "[parameters('skuName')]",
              "tier": "[parameters('skuTier')]",
              "capacity": 1
              }
            }
          ] 
        }
      }
    }
  ]
}

Nachdem Sie die Werte für Ihre Ressourcen name, location, SKU.name und SKU.tier ersetzt haben, können Sie die Ressource mithilfe der Azure CLI in einer vorhandenen Ressourcengruppe bereitstellen, indem Sie Folgendes verwenden:

az deployment group create --name <deployment-name> --resource-group <resource-group-name> --template-file <template-file.json> --parameters iotHubName=<valid-iothub-name> skuName=<sku-name> skuTier=<sku-tier> location=<any-of-supported-regions>

Nachdem die Ressource erstellt wurde, können Sie die systemseitig zugewiesene verwaltete Identität, die Ihrem Hub zugewiesen wurde, mithilfe der Azure CLI abrufen:

az resource show --resource-type Microsoft.Devices/IotHubs --name <iot-hub-resource-name> --resource-group <resource-group-name>

Benutzerseitig zugewiesene verwaltete Identität

In diesem Abschnitt erfahren Sie, wie Sie eine benutzerseitig zugewiesene verwaltete Identität über das Azure-Portal einer VM hinzufügen und von ihr entfernen können.

Zuerst müssen Sie eine benutzerseitig zugewiesene verwaltete Identität als eigenständige Ressource erstellen. Dazu können Sie die Anleitungen unter Erstellen einer benutzerseitig zugewiesenen verwalteten Identität ausführen.
Wechseln Sie zu Ihrem IoT-Hub, und navigieren Sie im Io Hub-Portal zur Identität.
Klicken Sie unter der Registerkarte Benutzerzugeordnet auf Zuordnen einer benutzerzugeordneten verwalteten Identität. Wählen Sie die benutzerseitig zugewiesene verwaltete Identität aus, die Sie Ihrem Hub hinzufügen möchten, und klicken Sie auf Auswählen.
Sie können eine benutzerseitig zugewiesene Identität aus einem IoT-Hub entfernen. Wählen Sie die benutzerseitig zugewiesene Identität aus, die Sie entfernen möchten, und klicken Sie auf die Schaltfläche Entfernen. Beachten Sie, dass Sie die benutzerseitig zugewiesene Identität nur aus IoT-Hub entfernen; sie wird dadurch nicht als Ressource gelöscht. Zum Löschen der benutzerseitig zugewiesenen Identität als Ressource führen Sie die Anleitungen unter Löschen einer benutzerseitig zugewiesenen verwalteten Identität aus.

Aktivieren der benutzerseitig zugewiesenen verwalteten Identität zum Zeitpunkt der Huberstellung mithilfe einer ARM-Vorlage

Die folgende Beispielvorlage kann verwendet werden, um einen Hub mit benutzerzugeordneter verwalteter Identität zu erstellen. Diese Vorlage erstellt eine vom Benutzer zugewiesene Identität mit dem Namen [iothub-name-provided]-identity und wird dem erstellten IoT-Hub zugewiesen. Sie können die Vorlage ändern, um bei Bedarf mehrere benutzerzugeordnete Identitäten hinzuzufügen.

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "iotHubName": {
      "type": "string",
      "metadata": {
        "description": "Name of iothub resource"
      }
    },
  "skuName": {
    "type": "string",
    "defaultValue": "S1",
    "metadata": {
      "description": "SKU name of iothub resource, by default is Standard S1"
    }
  },
  "skuTier": {
    "type": "string",
    "defaultValue": "Standard",
    "metadata": {
      "description": "SKU tier of iothub resource, by default is Standard"
    }
  },
  "location": {
    "type": "string",
    "defaultValue": "[resourceGroup().location]",
    "metadata": {
      "description": "Location of iothub resource. Please provide any of supported-regions of iothub"
    }
  }
},
  "variables": {
    "identityName": "[concat(parameters('iotHubName'), '-identity')]"
  },
  "resources": [
    {
      "type": "Microsoft.Resources/deployments",
      "apiVersion": "2020-10-01",
      "name": "createIotHub",
      "properties": {
        "mode": "Incremental",
        "template": {
          "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
          "contentVersion": "1.0.0.0",
          "resources": [
            {
              "type": "Microsoft.ManagedIdentity/userAssignedIdentities",
              "name": "[variables('identityName')]",
              "apiVersion": "2018-11-30",
              "location": "[resourceGroup().location]"
            },
            {
              "type": "Microsoft.Devices/IotHubs",
              "apiVersion": "2021-03-31",
              "name": "[parameters('iotHubName')]",
              "location": "[parameters('location')]",
              "identity": {
                "type": "UserAssigned",
                "userAssignedIdentities": {
                  "[resourceID('Microsoft.ManagedIdentity/userAssignedIdentities/',variables('identityName'))]": {}
                }
              },
              "sku": {
                "name": "[parameters('skuName')]",
                "tier": "[parameters('skuTier')]",
                "capacity": 1
              },
              "dependsOn": [
                "[resourceID('Microsoft.ManagedIdentity/userAssignedIdentities/',variables('identityName'))]"
              ]
            }
          ]
        }
      }
    }
  ]
}

az deployment group create --name <deployment-name> --resource-group <resource-group-name> --template-file <template-file.json> --parameters iotHubName=<valid-iothub-name> skuName=<sku-name> skuTier=<sku-tier> location=<any-of-supported-regions>

Nachdem die Ressource erstellt wurde, können Sie die benutzerseitig zugewiesene verwaltete Identität in Ihrem Hub mithilfe der Azure CLI abrufen:

az resource show --resource-type Microsoft.Devices/IotHubs --name <iot-hub-resource-name> --resource-group <resource-group-name>

Ausgehende Konnektivität von IoT Hub zu anderen Azure-Ressourcen

Verwaltete Identitäten können für die ausgehende Konnektivität von IoT Hub zu anderen Azure-Diensten für Nachrichtenweiterleitung, Datei-Upload und Massengeräteimport/-export verwendet werden. Sie können auswählen, welche verwaltete Identität für jede ausgehende IoT Hub-Konnektivität mit kundeneigenen Endpunkten verwendet werden soll, einschließlich Speicherkonten, Event Hubs und Service Bus-Endpunkten.

Hinweis

Nur die vom System zugewiesene verwaltete Identität gewährt IoT Hub Zugriff auf private Ressourcen. Wenn Sie eine vom Benutzer zugewiesene verwaltete Identität verwenden möchten, muss der öffentliche Zugriff auf diese privaten Ressourcen aktiviert werden, um Konnektivität zu ermöglichen.

Konfigurieren des Nachrichtenroutings mit verwalteten Identitäten

In diesem Abschnitt verwenden Sie das Nachrichten-Routing zu einem benutzerdefinierten Event Hubs-Endpunkt als Beispiel. Das Beispiel gilt auch für andere benutzerdefinierte Routing-Endpunkte.

Wechseln Sie im Azure-Portal zu Ihrem Event Hub, um der verwalteten Identität den richtigen Zugriff zuzuweisen.
Wählen Sie die Option Zugriffssteuerung (IAM) aus.
Wählen Sie Hinzufügen > Rollenzuweisung hinzufügen aus.
Wählen Sie auf der Registerkarte Rolle die Option Azure Event Hubs-Datensender aus.

Hinweis

Wählen Sie für ein Speicherkonto Mitwirkender an Storage-Blobdaten (nicht „Mitwirkender“ oder „Speicherkontomitwirkender“) als Rolle aus. Wählen Sie für einen Service Bus Azure Service Bus-Datensender aus.
Wählen Sie auf der Registerkarte Mitglieder die Option Verwaltete Identität und dann Mitglieder auswählen aus.
Wählen Sie für benutzerseitig zugewiesene verwaltete Identitäten Ihr Abonnement, anschließend Benutzerseitig zugewiesene verwaltete Identität und dann Ihre benutzerseitig zugewiesene verwaltete Identität aus.
Wählen Sie für vom System zugewiesene verwaltete Identitäten Ihr Abonnement, anschließend Alle systemseitig zugewiesenen verwalteten Identitäten und dann den Ressourcennamen Ihres IoT-Hubs aus.
Wählen Sie auf der Registerkarte Überprüfen und zuweisen die Option Überprüfen und zuweisen aus, um die Rolle zuzuweisen.

Weitere Informationen zu Rollenzuweisungen finden Sie unter Zuweisen von Azure-Rollen über das Azure-Portal.
Wenn Sie die Konnektivität mit Ihrem benutzerdefinierten Endpunkt über ein VNet einschränken müssen, müssen Sie die Ausnahme des vertrauenswürdigen Erstanbieters von Microsoft aktivieren, um Ihrem IoT-Hub Zugriff auf den spezifischen Endpunkt zu gewähren. Wenn Sie beispielsweise einen benutzerdefinierten Event Hub-Endpunkt hinzufügen, navigieren Sie in Ihrem Event Hub zur Registerkarte Firewalls und virtuelle Netzwerke, und aktivieren Sie die Option Zugriff aus ausgewählten Netzwerken erlauben. Aktivieren Sie unter Ausnahmen das Kontrollkästchen für Allow trusted Microsoft services to access event hubs (Vertrauenswürdigen Microsoft-Diensten den Zugriff auf Event Hubs erlauben). Klicken Sie auf die Schaltfläche Save . Dies gilt auch für Speicherkonto und Service Bus. Informieren Sie sich genauer über IoT Hub-Unterstützung für virtuelle Netzwerke.

Hinweis

Sie müssen die vorstehenden Schritte ausführen, um der verwalteten Identität den richtigen Zugriff zuzuweisen, bevor Sie in IoT Hub den Event Hub als benutzerdefinierten Endpunkt hinzufügen. Bitte warten Sie einige Minuten, bis die Rollenzuweisung weitergegeben wurde.
Wechseln Sie als Nächstes zu Ihrem IoT-Hub. Navigieren Sie in Ihrem Hub zu Nachrichtenrouting, und wählen Sie Hinzufügen aus.

Erstellen Sie auf der Registerkarte Endpunkt einen Endpunkt für Ihren Event Hub, indem Sie die folgenden Informationen angeben:

Parameter	Wert
Endpunkttyp	Klicke auf Event Hubs.
Endpunktname	Geben Sie einen eindeutigen Namen für einen neuen Endpunkt an, oder wählen Sie Vorhandene auswählen aus, um einen vorhandenen Event Hubs-Endpunkt auszuwählen.
Event Hubs-Namespace	Verwenden Sie das Dropdownmenü zum Auswählen eines vorhandenen Event Hubs-Namespaces in Ihrem Abonnement.
Event Hub-Instanz	Verwenden Sie das Dropdownmenü zum Auswählen eines vorhandenen Event Hubs in Ihrem Namespace.
Authentifizierungstyp	Wählen Sie Benutzerseitig zugewiesen und dann im Dropdownmenü die benutzerseitig zugewiesene Identität aus, die Sie in Ihrem Event Hub erstellt haben.

Screenshot that shows event hub endpoint with user assigned authentication.

Wählen Sie Erstellen + weiter aus. Sie können den Vorgang mit dem Assistenten fortsetzen, um eine Route zu erstellen, die auf diesen Endpunkt verweist, oder Sie können den Assistenten schließen.

Sie können den Authentifizierungstyp eines vorhandenen benutzerdefinierten Endpunkts ändern. Führen Sie die folgenden Schritte zum Ändern eines Endpunkts aus:

Wählen Sie in Ihrem IoT-Hub im linken Navigationsbereich Nachrichtenrouting und dann Benutzerdefinierte Endpunkte aus.
Aktivieren Sie das Kontrollkästchen für den benutzerdefinierten Endpunkt, den Sie ändern möchten, und wählen Sie Authentifizierungstyp ändern aus.
Wählen Sie den neuen Authentifizierungstyp für diesen Endpunkt und dann Speichern aus.

Konfigurieren des Dateiuploads mit verwalteten Identitäten

Das IoT Hub-Feature Dateiupload ermöglicht Geräten das Hochladen von Dateien in ein kundeneigenes Speicherkonto. IoT Hub muss mit dem Speicherkonto verbunden sein, damit der Dateiuploadvorgang funktioniert. Ähnlich wie beim Nachrichtenrouting können Sie den bevorzugten Authentifizierungstyp und die verwaltete Identität für ausgehende IoT Hub-Konnektivität mit Ihrem Azure Storage-Konto auswählen.

Navigieren Sie im Azure-Portal zu Ihrem Speicherkonto.
Wählen Sie die Option Zugriffssteuerung (IAM) aus.
Wählen Sie Hinzufügen > Rollenzuweisung hinzufügen aus.
Wählen Sie auf der Registerkarte Rolle die Option Mitwirkender an Storage-Blobdaten aus. (Wählen Sie nicht Mitwirkender oder Speicherkontomitwirkender aus.)
Wählen Sie auf der Registerkarte Mitglieder die Option Verwaltete Identität und dann Mitglieder auswählen aus.
Wählen Sie für benutzerseitig zugewiesene verwaltete Identitäten Ihr Abonnement, anschließend Benutzerseitig zugewiesene verwaltete Identität und dann Ihre benutzerseitig zugewiesene verwaltete Identität aus.
Wählen Sie für vom System zugewiesene verwaltete Identitäten Ihr Abonnement, anschließend Alle systemseitig zugewiesenen verwalteten Identitäten und dann den Ressourcennamen Ihres IoT-Hubs aus.
Wählen Sie auf der Registerkarte Überprüfen und zuweisen die Option Überprüfen und zuweisen aus, um die Rolle zuzuweisen.

Weitere Informationen zu Rollenzuweisungen finden Sie unter Zuweisen von Azure-Rollen über das Azure-Portal.

Wenn Sie die Konnektivität mit Ihrem Speicherkonto über ein VNet einschränken müssen, müssen Sie die Ausnahme des vertrauenswürdigen Erstanbieters von Microsoft aktivieren, um Ihrem IoT-Hub Zugriff auf das Speicherkonto zu gewähren. Navigieren Sie auf der Ressourcenseite für Ihr Speicherkonto zur Registerkarte Firewalls und virtuelle Netzwerke, und aktivieren Sie die Option Allow access from selected networks (Zugriff von ausgewählten Netzwerken zulassen). Aktivieren Sie unter Ausnahmen das Kontrollkästchen für Vertrauenswürdigen Microsoft-Diensten den Zugriff auf dieses Speicherkonto erlauben. Klicken Sie auf die Schaltfläche Save . Informieren Sie sich genauer über IoT Hub-Unterstützung für virtuelle Netzwerke.

Hinweis

Sie müssen die vorstehenden Schritte ausführen, um der verwalteten Identität den richtigen Zugriff zuzuweisen, bevor Sie das Speicherkonto in IoT Hub für einen Dateiupload mithilfe der verwalteten Identität speichern. Bitte warten Sie einige Minuten, bis die Rollenzuweisung weitergegeben wurde.
Navigieren Sie auf der Seite für Ihre IoT Hub-Ressource zur Registerkarte Dateiupload.
Wählen Sie auf der angezeigten Seite den Container aus, den Sie in Ihrem Blobspeicher verwenden möchten, und konfigurieren Sie die Dateibenachrichtigungseinstellungen, SAS TTL, Standard-TTL und Anzahl maximaler Zustellungen nach Bedarf. Wählen Sie den bevorzugten Authentifizierungstyp aus, und klicken Sie auf Speichern. Wenn bei diesem Schritt eine Fehlermeldung angezeigt wird, legen Sie Ihr Speicherkonto vorübergehend so fest, dass der Zugriff aus Allen Netzwerken ermöglicht wird, und wiederholen Sie dann den Vorgang. Sie können die Firewall für das Speicherkonto konfigurieren, sobald die Konfiguration des Dateiuploads beendet ist.

Hinweis

Im Dateiuploadszenario müssen sowohl der Hub als auch Ihr Gerät eine Verbindung mit Ihrem Speicherkonto herstellen. Die vorstehenden Schritte dienen zum Verbinden Ihres IoT-Hubs mit Ihrem Speicherkonto mit dem gewünschten Authentifizierungstyp. Sie müssen Ihr Gerät weiterhin mithilfe des SAS-URI mit dem Speicher verbinden. Heutzutage wird der SAS-URI mithilfe einer Verbindungszeichenfolge generiert. Wir werden bald Unterstützung zum Generieren eines SAS-URI mit verwalteter Identität hinzufügen. Führen Sie bitte die Schritte unter Dateiupload aus.

Konfigurieren des Massenimports/-exports von Geräten mit verwalteten Identitäten

IoT Hub unterstützt die Funktion zum Importieren und Exportieren von Geräteinformationen per Massenvorgang aus/in vom Kunden bereitgestellte(n) Azure Storage Blob-Instanzen. Diese Funktion erfordert Konnektivität von IoT Hub mit dem Speicherkonto.

Navigieren Sie im Azure-Portal zu Ihrem Speicherkonto.
Wählen Sie die Option Zugriffssteuerung (IAM) aus.
Wählen Sie Hinzufügen > Rollenzuweisung hinzufügen aus.
Wählen Sie auf der Registerkarte Rolle die Option Mitwirkender an Storage-Blobdaten aus. (Wählen Sie nicht Mitwirkender oder Speicherkontomitwirkender aus.)
Wählen Sie auf der Registerkarte Mitglieder die Option Verwaltete Identität und dann Mitglieder auswählen aus.
Wählen Sie für benutzerseitig zugewiesene verwaltete Identitäten Ihr Abonnement, anschließend Benutzerseitig zugewiesene verwaltete Identität und dann Ihre benutzerseitig zugewiesene verwaltete Identität aus.
Wählen Sie für vom System zugewiesene verwaltete Identitäten Ihr Abonnement, anschließend Alle systemseitig zugewiesenen verwalteten Identitäten und dann den Ressourcennamen Ihres IoT-Hubs aus.
Wählen Sie auf der Registerkarte Überprüfen und zuweisen die Option Überprüfen und zuweisen aus, um die Rolle zuzuweisen.

Weitere Informationen zu Rollenzuweisungen finden Sie unter Zuweisen von Azure-Rollen über das Azure-Portal.

Verwenden der REST-API oder des SDK für Import- und Exportaufträge

Sie können jetzt die Azure IoT REST-APIs zum Erstellen von Import- und Exportaufträgen verwenden. Dazu müssen Sie im Anforderungstext die folgenden Eigenschaften angeben:

storageAuthenticationType: Legen Sie den Wert auf identityBased fest.
inputBlobContainerUri: Legen Sie diese Eigenschaft nur im Importauftrag fest.
outputBlobContainerUri: Legen Sie diese Eigenschaft für die Import- und Exportaufträge fest.
identity: Legen Sie den Wert auf die verwaltete Identität fest, die verwendet werden soll.

Azure IoT Hub SDKs unterstützen diese Funktion im Registrierungs-Manager des Dienstclients. Der folgende Codeausschnitt zeigt, wie ein Importauftrag bzw. ein Exportauftrag mithilfe des C# SDK ausgelöst werden.

C#-Codeausschnitt

    // Create an export job
 
    using RegistryManager srcRegistryManager = RegistryManager.CreateFromConnectionString(hubConnectionString);
 
    JobProperties jobProperties = JobProperties.CreateForExportJob(
        outputBlobContainerUri: blobContainerUri,
        excludeKeysInExport: false,
        storageAuthenticationType: StorageAuthenticationType.IdentityBased,
        identity: new ManagedIdentity
        {
            userAssignedIdentity = userDefinedManagedIdentityResourceId
        });

    // Create an import job
    
    using RegistryManager destRegistryManager = RegistryManager.CreateFromConnectionString(hubConnectionString);
 
    JobProperties jobProperties = JobProperties.CreateForImportJob(
        inputBlobContainerUri: blobContainerUri,
        outputBlobContainerUri: blobContainerUri,
        storageAuthenticationType: StorageAuthenticationType.IdentityBased,
        identity: new ManagedIdentity
        {
            userAssignedIdentity = userDefinedManagedIdentityResourceId
        });

Python-Codeausschnitt

# see note below
iothub_job_manager = IoTHubJobManager("<IoT Hub connection string>")

# Create an import job
result = iothub_job_manager.create_import_export_job(JobProperties(
    type="import",
    input_blob_container_uri="<input container URI>",
    output_blob_container_uri="<output container URI>",
    storage_authentication_type="identityBased",
    identity=ManagedIdentity(
        user_assigned_identity="<resource ID of user assigned managed identity>"
    )
))

# Create an export job
result = iothub_job_manager.create_import_export_job(JobProperties(
    type="export",
    output_blob_container_uri="<output container URI>",
    storage_authentication_type="identityBased",
    exclude_keys_in_export=True,
    identity=ManagedIdentity(
        user_assigned_identity="<resource ID of user assigned managed identity>"
    ) 
))