Microsoft Entra authentication for Azure Synapse Analytics

تقدم هذه المقالة نظرة عامة معمقة على استخدام مصادقة Microsoft Entra مع Synapse SQL في Azure Synapse Analytics.

Note

مبادئ خوادم Microsoft Entra حاليا قيد المعاينة ل Azure Synapse Analytics.

لتكوين مصادقة Microsoft Entra، راجع Configure and manage Microsoft Entra authentication with Azure Synapse Analytics.

نظرة عامة

يتيح لك Microsoft Entra ID إدارة هويات البشر والخدمات في ممتلكات بياناتك بشكل مركزي. من خلال دمج Microsoft Entra مع Azure Synapse Analytics للمصادقة، يمكنك تبسيط إدارة الهوية والأذونات مع تمكين الوصول الشرطي التفصيلي والحوكمة على الاتصالات ببياناتك.

استخدام مصادقة Microsoft Entra يتضمن الفوائد التالية:

  • يستبدل طرق المصادقة الأقل أمانا مثل أسماء المستخدمين وكلمات المرور.
  • يقضي أو يساعد في وقف انتشار هويات المستخدمين عبر الخوادم.
  • تمكن مجموعات Microsoft Entra من تجريد إدارة أذونات قاعدة البيانات بعيدا عن الحسابات الفردية إلى مجموعات تشغيلية.
  • يسمح بتدوير كلمة المرور في مكان واحد.
  • توفر المصادقة التي تعتمد على Microsoft Entra فقط بديلا كاملا للمصادقة في SQL.
  • الهويات المدارة لموارد Azure تلغي الحاجة إلى تخزين كلمات المرور للخدمات التي تتصل بقواعد بياناتك، والاتصالات من قواعد بياناتك بموارد Azure الأخرى.
  • يتيح ضوابط أمنية حديثة تشمل المصادقة متعددة العوامل القوية مع مجموعة من خيارات التحقق السهلة، مثل مكالمة هاتفية، رسالة نصية، بطاقة ذكية مع رمز PIN، أو إشعارات تطبيقات الجوال.
  • يتيح Microsoft Entra ID التكامل مع العديد من بروتوكولات المصادقة الحديثة، بما في ذلك OpenID Connect، OAuth2.0، Kerberos Constrained Delegation، والمزيد.
  • يتيح المراقبة المركزية للاتصالات بمصادر البيانات.
  • يتيح ضوابط الوصول المشروطة، مثل اشتراط أجهزة متوافقة أو طرق مصادقة للاتصالات الناجحة.

Note

يدعم مصادقة Microsoft Entra فقط رموز الوصول التي نشأت من Microsoft Entra ID، وليس رموز الوصول الخاصة بأطراف ثالثة. لا يدعم Microsoft Entra ID أيضا إعادة توجيه استعلامات Microsoft Entra ID إلى نقاط نهاية طرف ثالث. ينطبق هذا القيد على جميع منصات SQL وجميع أنظمة التشغيل التي تدعم مصادقة Microsoft Entra.

خطوات الإعداد

الخطوات العامة لتكوين مصادقة Microsoft Entra هي:

  1. إنشاء وملء مستأجر Microsoft Entra.
  2. أنشئ مساحة عمل Azure Synapse أو تجمع SQL مخصص مستقل.
  3. تعيين مسؤول Microsoft Entra لمساحة العمل أو الخادم المنطقي.
  4. أنشئ مبادئ SQL في قاعدة بياناتك مرتبطة بهويات Microsoft Entra.
  5. قم بتكوين تطبيقات العميل الخاصة بك للاتصال باستخدام مكتبات Azure Identity وطرق المصادقة.
  6. اتصل بقاعدة بياناتك باستخدام هويات Microsoft Entra.

الهويات المدعومة وطرق المصادقة

يدعم Azure Synapse Analytics استخدام هويات Microsoft Entra التالية كتسجيلات دخول ومستخدمين (principals) في Synapse SQL:

  • مستخدمو Microsoft Entra: أي نوع من المستخدمين في مستأجر Microsoft Entra، والذي يشمل المستخدمين الداخليين، المستخدمين الخارجيين، الضيوف، والأعضاء. يدعم أيضا أعضاء نطاق Active Directory الموحدين مع Microsoft Entra ID، ويمكن تكوينهم لتسجيل دخول واحد بسلاسة.
  • التطبيقات: يمكن للتطبيقات الموجودة في Azure استخدام مبادئ الخدمة أو الهويات المدارة للمصادقة مباشرة إلى Azure Synapse Analytics. استخدام الهويات المدارة مفضل لأن المصادقة بدون كلمة مرور وتلغي الحاجة إلى بيانات اعتماد مدارة من قبل المطورين.
  • مجموعات Microsoft Entra، التي يمكن أن تبسط إدارة الوصول عبر مؤسستك من خلال إدارة وصول المستخدمين والتطبيقات بناء على عضوية المجموعة.

بالنسبة لهويات المستخدمين، تدعم طرق المصادقة التالية:

  • Microsoft Entra Integrated (Windows Authentication) مدعوم من قبل Microsoft Entra Hybrid Identities with Active Directory [federation].
  • Microsoft Entra MFA، أو المصادقة متعددة العوامل، والتي تتطلب فحوصات أمنية إضافية تتجاوز علم المستخدم.
  • Microsoft Entra Password authentication، والذي يستخدم بيانات اعتماد المستخدم المخزنة والمدارة في Microsoft Entra ID.
  • Microsoft Entra Default Authentication، الذي يقوم بمسح مختلف ذاكرة الذاكرة المؤقتة على جهاز التطبيق، ويمكنه استخدام رموز المستخدم للمصادقة إلى SQL.

بالنسبة لهويات الخدمة أو عبء العمل، تدعم طرق المصادقة التالية:

  • هويات مدارة لموارد Azure، سواء المعينة من قبل المستخدم أو المخصصة للنظام. المصادقة المدارة للهوية تعتمد على الرموز، حيث يتم تعيين الهوية للمورد الذي يرغب في المصادقة باستخدامها. تقوم منصة Azure Identity بالتحقق من صحة تلك العلاقة، مما يتيح المصادقة بدون كلمة مرور.
  • اسم خدمة Microsoft Entra الرئيسي وسر التطبيق (العميل). هذه الطريقة غير موصى بها للمصادقة بسبب المخاطر المرتبطة بكلمات المرور التي يمكن تخمينها وتسريبها.
  • Microsoft Entra Default Authentication، الذي يقوم بمسح مختلف ذاكرة الذاكرة المؤقتة على جهاز التطبيق، ويمكنه استخدام رموز التطبيق للمصادقة إلى SQL.

مسؤول Microsoft Entra

لتمكين مصادقة Microsoft Entra، يجب تعيين مسؤول Microsoft Entra لمساحة العمل أو الخادم المنطقي الخاص بك في Azure Synapse. يوجد هذا المسؤول جنبا إلى جنب مع مسؤول SQL. يمكن أن يكون مسؤول Microsoft Entra مستخدما أو مجموعة أو مدير خدمة أو هوية مدارة في مستأجر Azure الخاص بك. يمكن تكوين هوية واحدة فقط في كل مرة. إزالة مسؤول Microsoft Entra تعطل Microsoft Entra الاتصالات القائمة على المصادقة، حتى للمستخدمين الحاليين Microsoft Entra الذين لديهم أذونات في قاعدة البيانات.

Tip

تمكن مجموعات Microsoft Entra لعدة هويات من العمل كمسؤول Microsoft Entra على الخادم. عندما يتم تعيين المسؤول على مجموعة، يرث جميع أعضاء المجموعة دور مسؤول Microsoft Entra. يعزز مسؤول مجموعة Microsoft Entra قابلية الإدارة من خلال تحويل إدارة المسؤولين من إجراءات مستوى بيانات الخادم إلى Microsoft Entra ID وبيد مالكي المجموعات. يمكن استخدام المجموعات لجميع هويات Microsoft Entra التي تتصل ب SQL، مما يسمح بتكوين المستخدم والأذونات لمرة واحدة في الخادم وقواعد البيانات، مع ترك كل إدارة المستخدمين للمجموعات.

يلعب مسؤول Microsoft Entra دورا خاصا: فهو أول حساب يمكنه إنشاء تسجيلات دخول ومستخدمين آخرين ل Microsoft Entra، ويشار إليهم مجتمعين باسم المديرين. المسؤول هو مستخدم قاعدة بيانات محتوى في master قاعدة بيانات الخادم. حسابات المسؤولين هي أعضاء في الدور db_owner في كل قاعدة بيانات مستخدم، ويتم إدخال كل قاعدة بيانات مستخدم كمستخدم قاعدة البيانات . لمزيد من المعلومات حول حسابات المسؤولين، راجع إدارة قواعد البيانات وتسجيل الدخول.

مبادئ Microsoft Entra

Note

مبادئ خوادم Microsoft Entra (logins) حاليا في المعاينة ل Azure Synapse Analytics.

يمكنك إنشاء هويات Microsoft Entra كمبادئ رئيسية في Azure Synapse Analytics بثلاث طرق:

  • كمديري خادم أو كمستخدمين لتسجيل الدخول
  • كمستخدمين معتمدين على تسجيل الدخول (نوع من مبادئ قواعد البيانات)
  • كمستخدمين محتوى من قواعد البيانات

مهم

Microsoft Entra Authentication for Azure SQL لا يتكامل مع Azure RBAC. لاستخدام هويات Microsoft Entra للاتصال ب Azure SQL وتنفيذ الاستعلامات، تحتاج إلى إنشاء تلك الهويات كمبادئ Microsoft Entra في قواعد البيانات التي يحتاجون للوصول إليها. SQL Server Contributor SQL DB Contributor الأدوار تؤمن عمليات النشر المتعلقة بالإدارة، وليس الوصول إلى اتصال قاعدة البيانات.

تسجيل الدخول (مبادئ الخوادم) في مجموعات SQL مخصصة

Server principals (logins) for Microsoft Entra identities are in preview for Azure Synapse Analytics dedicated SQL pools.

يوضح T-SQL التالي كيفية إنشاء تسجيل دخول إلى Microsoft Entra:

CREATE LOGIN [MSEntraUser] FROM EXTERNAL PROVIDER

تسجيل الدخول Microsoft Entra له قيم الخصائص التالية في sys.server_principals:

الخاصية قيمة
SID (معرف الأمان) تمثيل ثنائي لمعرف الكائن في هوية Microsoft Entra
type E = تسجيل دخول خارجي أو تطبيق من Microsoft Entra ID
X = مجموعة خارجية من Microsoft Entra ID
type_desc EXTERNAL_LOGIN لتسجيل الدخول أو التطبيق Microsoft Entra
EXTERNAL_GROUP لمجموعة Microsoft Entra

المستخدمون المعتمدون على تسجيل الدخول

يرث المستخدمون المعتمدون على تسجيل الدخول الأدوار والأصوات على مستوى الخادم المخصصة لتسجيل الدخول إلى Microsoft Entra.

يوضح T-SQL التالي كيفية إنشاء مستخدم قائم على تسجيل الدخول لهوية Microsoft Entra:

CREATE USER [MSEntraUser] FROM LOGIN [MSEntraUser]

يوضح الجدول التالي قيم خصائص المستخدم القائمة على تسجيل الدخول Microsoft Entra في sys.database_principals:

الخاصية قيمة
SID (معرف الأمان) تمثيل ثنائي لمعرف الكائن لهوية Microsoft Entra، بالإضافة إلى 'AADE'
type E = تسجيل دخول خارجي أو تطبيق من Microsoft Entra ID
X = مجموعة خارجية من Microsoft Entra ID
type_desc EXTERNAL_LOGIN لتسجيل الدخول أو التطبيق Microsoft Entra
EXTERNAL_GROUP لمجموعة Microsoft Entra

مستخدمو قاعدة البيانات المضمنة

مستخدمو قاعدة البيانات المحتوون يمكن نقلهم مع قاعدة البيانات. لا توجد لديهم أي اتصالات بهويات محددة في الخادم أو الحالة، ويمكنك بسهولة نقلها مع قاعدة البيانات من خادم أو مثيل إلى آخر دون انقطاع.

يوضح T-SQL التالي كيفية إنشاء مستخدم قاعدة بيانات محتوية لهوية Microsoft Entra:

CREATE USER [MSEntraUser] FROM EXTERNAL PROVIDER

يستخدم المستخدم القائم على قاعدة البيانات Microsoft Entra نفس قيم الخصائص التي يقدمها مستخدمو تسجيل الدخول في sys.database_principals، باستثناء كيفية بنائهاSID:

الخاصية قيمة
SID (معرف الأمان) تمثيل ثنائي لمعرف الكائن في هوية Microsoft Entra
type E = تسجيل دخول خارجي أو تطبيق من Microsoft Entra ID
X = مجموعة خارجية من Microsoft Entra ID
type_desc EXTERNAL_LOGIN لتسجيل الدخول أو التطبيق Microsoft Entra
EXTERNAL_GROUP لمجموعة Microsoft Entra

للحصول على واجهة المستخدم الأصلية ل Microsoft Entra التي تعتمد عليهاSID، استخدم تحويل T-SQL التالي:

SELECT CAST(sid AS UNIQUEIDENTIFIER) AS EntraID FROM sys.database_principals

تنبيه

قد تنشئ عن غير قصد مستخدم قاعدة بيانات Microsoft Entra يحتوي على نفس اسم تسجيل الدخول إلى Microsoft Entra على مستوى الخادم أو المملك. وبما أن المبادئ غير متصلة ببعضها البعض، فإن مستخدم قاعدة البيانات لا يرث الأذونات من تسجيل الدخول إلى الخادم. يمكن أن تختلط الهويات في طلبات الاتصال، مما يؤدي إلى سلوك غير محدد.

استخدم استعلام T-SQL التالي لتحديد ما إذا كان مستخدم قاعدة البيانات مستخدما يعتمد على تسجيل الدخول أو مستخدم قاعدة بيانات محتوى:

SELECT CASE
    WHEN CONVERT(VARCHAR(100), sid, 2) LIKE '%AADE' AND len(sid) = 18 THEN 'login-based user'
    ELSE 'contained database user'
    END AS user_type,
    *
FROM sys.database_principals WHERE TYPE = 'E' OR TYPE = 'X'

استخدم استعلام T-SQL التالي لعرض جميع مبادئ Microsoft Entra في قاعدة البيانات:

SELECT
  name,
  CAST(sid AS UNIQUEIDENTIFIER) AS EntraID,
  CASE WHEN TYPE = 'E' THEN 'App/User' ELSE 'Group' AS user_type,
  sid
FROM sys.database_principals WHERE TYPE = 'E' OR TYPE = 'X'

مصادقة Microsoft Entra فقط

عند تفعيل المصادقة فقط ل-Microsoft Entra، تقوم بتعطيل مصادقة SQL. لا يمكنك استخدام مصادقة SQL للاتصال بمساحة العمل أو تجمع SQL أو قاعدة البيانات.

للبدء، راجع تكوين المصادقة فقط في Microsoft Entra.

المصادقة متعددة العوامل (MFA)

المصادقة متعددة العوامل في Microsoft Entra هي ميزة أمان تقدمها خدمة إدارة الهوية والوصول السحابية من Microsoft. تعزز المصادقة متعددة العوامل أمان تسجيل دخول المستخدمين من خلال مطالبة المستخدمين بتقديم خطوات تحقق إضافية تتجاوز كلمة المرور.

تساعد مصادقة Microsoft Entra متعددة العوامل على حماية الوصول إلى البيانات والتطبيقات أثناء تلبية طلب المستخدم لعملية تسجيل دخول بسيطة. تضيف MFA طبقة إضافية من الأمان لتسجيل دخول المستخدمين من خلال إلزام المستخدمين بتوفير عاملين أو أكثر للمصادقة. تشمل هذه العوامل عادة شيئا يعرفه المستخدم (كلمة المرور)، أو شيئا يمتلكه المستخدم (مثل الهاتف الذكي أو رمز الأجهزة)، و/أو ما هو المستخدم (بيانات بيومترية). من خلال دمج عوامل متعددة، يقلل MFA بشكل كبير من احتمالية الوصول غير المصرح به.

المصادقة متعددة العوامل هي طريقة مصادقة مدعومة ل Azure Synapse Analytics.

للبدء، راجع تكوين مصادقة Microsoft Entra متعددة العوامل.

دعم Microsoft Entra B2B

تدعم المصادقة في Microsoft Entra في جميع منتجات SQL أيضا التعاون بين الشركات مع Microsoft Entra B2B، مما يمكن الشركات من دعوة المستخدمين الضيوف للتعاون مع مؤسساتهم. يمكن للمستخدمين الضيوف الاتصال بقواعد البيانات إما كمستخدمين فرديين أو كأعضاء في مجموعة Microsoft Entra.

بنية الثقة لاتحاد Microsoft Entra إلى Active Directory

كما يتكامل Microsoft Entra ID مع حلول إدارة الهوية والوصول المألوفة مثل Active Directory. من خلال الانضمام الهجين إلى Active Directory محلي الخاص بك، يمكنك تمكين هويات Windows الموحدة عبر Microsoft Entra ID لاستخدام بيانات الدخول المفردة للاتصال ب Azure Synapse Analytics.

بالنسبة للاتحاد، يوفر Microsoft Entra ID طريقتين آمنتين للمصادقة: المصادقة عبر المرور والتحقق بكلمة المرور. إذا كنت تفكر في توحيد Active Directory محلي الخاص بك إلى Microsoft Entra ID، قم بمراجعة اختر طريقة المصادقة المناسبة لحل الهوية الهجينة الخاص بك في Microsoft Entra.

لمزيد من المعلومات حول إعداد ومزامنة هويات Microsoft Entra الهجينة، راجع المقالات التالية:

يقوم Microsoft Entra ID بالتحقق من صحة الرمز، وتثق به قاعدة البيانات وتتحقق من المصدر وتفاصيل أخرى. يمكن للعميل 1 تمثيل Microsoft Entra ID مع المستخدمين الأصليين أو Microsoft Entra ID مع المستخدمين الموحدين. يمثل العميل 2 حلا محتملا يشمل المستخدمين المستوردين، وفي هذا المثال يأتي من معرف Microsoft Entra ID موحد، حيث يتم مزامنة ADFS مع Microsoft Entra ID. من المهم أن نفهم أن الوصول إلى قاعدة البيانات باستخدام مصادقة Microsoft Entra يتطلب أن يكون اشتراك الاستضافة مرتبطا بمعرف Microsoft Entra ID. يجب عليك استخدام نفس الاشتراك لإنشاء موارد Azure SQL أو Azure Synapse.

الأذونات

تختلف الأذونات المخصصة لمسؤول Microsoft Entra عن الأذونات الموكلة للمديرين الآخرين في Azure Synapse Analytics. في بعض السيناريوهات، يحتاج Azure Synapse Analytics أيضا إلى صلاحيات Microsoft Graph لاستخدام مصادقة Microsoft Entra.

أذونات المسؤول

يتم تعيين الأذونات والأدوار التالية لمسؤول Microsoft Entra عند إنشائها:

  • db_owner كل قاعدة بيانات

Azure Synapse Analytics permissions

يحتاج ALTER ANY USER المدير إلى إذن في قاعدة البيانات لإنشاء مستخدم.

افتراضيا، يحصل حسابات مسؤولي الخوادم، ومستخدمي قاعدة البيانات الذين يحملون CONTROL ON DATABASE، وأعضاء db_owner دور قاعدة البيانات على الإذن ALTER ANY USER .

لإنشاء مبدأ Microsoft Entra في Azure SQL، يجب على الهوية الطالبة الاستعلام عن Microsoft Graph للحصول على تفاصيل حول المبدأ. عند النشر الأولي، فإن الهوية الوحيدة التي يمكنها الاستعلام من Microsoft Graph هي مسؤول Microsoft Entra. لذلك، يجب أن يكون المسؤول هو أول هوية تنشئ مبادئ Microsoft Entra الأخرى. بعد ذلك، يمكن للمسؤول التعيين ALTER ANY USER إلى مديرين آخرين ليتمكن من إنشاء مبادئ Microsoft Entra أخرى.

نشر اللمس الصفري مع مصادقة Microsoft Entra

نظرا لأن مسؤول Microsoft Entra يجب أن يكون أول هوية تتصل بقاعدة البيانات وتنشئ مستخدمين آخرين ل Microsoft Entra، فقد يكون من المفيد إضافة هوية بنية النشر الخاصة بك كمسؤول. يمكن لنشراتك بعد ذلك إجراء الإعداد الأولي مثل إنشاء مبادئ Microsoft Entra الأخرى وتعيين صلاحيات لهم. للنشر، استخدم أدوات مثل قوالب PowerShell ARM لإنشاء إنشاء المبدأ بشكل تلقائي. لا يدعم Azure SQL واجهات برمجة التطبيقات الأصلية اليوم لتكوين إنشاء المستخدمين وإدارة الأذونات. يمكنك تنفيذ هذه العمليات فقط باستخدام اتصال مباشر بمثيل SQL.

أذونات Microsoft Graph

لإنشاء مبادئ Microsoft Entra وبعض السيناريوهات الأخرى، يحتاج Azure SQL إلى إجراء استدعاءات Microsoft Graph لاسترجاع المعلومات حول الهوية والتحقق من وجودها في Microsoft Entra ID. للقيام بذلك، يجب أن يكون لدى عملية SQL أو الحصول على صلاحيات قراءة Microsoft Graph داخل المستأجر العميل. يمكنك تحقيق هذا الوصول بعدة طرق:

  • إذا كان المبدأ الرئيسي لتنفيذ الأمر هو هوية مستخدم، فلن تحتاج إلى منح أي صلاحيات إضافية على مثيل SQL للاستعلام عن Microsoft Graph.
  • إذا كان مبدأ SQL الذي ينفذ الأمر هو هوية خدمة، مثل مبدأ الخدمة أو الهوية المدارة، فإن نسخة Azure SQL تتطلب أذوناتها الخاصة للاستعلام عن Microsoft Graph.
    • تعيين صلاحيات التطبيق لهوية الخادم الأساسية (الهوية المدارة) للخادم المنطقي أو المثيل المدار. يمكن لعملية SQL استخدام هوية الخادم الأساسية للمصادقة مع خدمات Azure الأخرى في مستأجر، مثل Microsoft Graph. يشرح الجدول التالي السيناريوهات المختلفة وأمنيات Microsoft Graph المطلوبة لتنفيذ الأمر بنجاح.
سيناريو الحد الأدنى للإذن
CREATE USERأو CREATE LOGIN لخدمة Microsoft Entra الرئيسية أو هوية مدارة Application.Read.All
CREATE USERأو CREATE LOGIN لمستخدم Microsoft Entra User.Read.All
CREATE USERأو CREATE LOGIN لمجموعة Microsoft Entra عضو المجموعة.اقرأ الجميع

Tip

دور قارئ الدليل هو أصغر دور يمكن تعيينه لهوية ويغطي جميع الأذونات المطلوبة. باستخدام الأدوار، يمكنك تعيينها لمجموعات الأمان Microsoft Entra، التي تفصل الإدارة بعيدا عن الكيانات الفردية إلى مجموعات مفاهيمية.

دعم الأدوات

يدعم SQL Server Management Studio (SSMS) عددا من خيارات الاتصال بمصادقة Microsoft Entra، بما في ذلك المصادقة متعددة العوامل.

SQL Server Data Tools (SSDT) ل Visual Studio، بدءا من عام 2015، يدعم المصادقة بكلمة المرور والمتكاملة والتفاعلية مع Microsoft Entra ID. لمزيد من المعلومات، راجع دعم معرف Microsoft Entra في أدوات بيانات SQL Server (SSDT).

  • حاليا، لا يظهر SSDT Object Explorer مستخدمي Microsoft Entra. كحل بديل، اعرض المستخدمين في sys.database_principals.

الإصدارات الدنيا

لاستخدام مصادقة Microsoft Entra مع Azure Synapse Analytics، تحتاج إلى الإصدارات الدنيا التالية عند استخدام هذه الأدوات:

  • SQL Server Management Studio (SSMS) 18.6 أو أحدث
  • SQL Server Data Tools for Visual Studio 2015، الإصدار 14.0.60311.1 (أبريل 2016) أو لاحقا
  • .NET Framework Data Provider ل SqlServer، الإصدار الأدنى .NET Framework 4.6
  • بدءا من الإصدار 15.0.1، تدعم أداة sqlcmdوأداة bcp المصادقة التفاعلية Active Directory مع المصادقة متعددة العوامل.
  • يدعم Microsoft JDBC Driver 6.0 ل SQL Server مصادقة Microsoft Entra. راجع أيضاً تعيين خصائص الاتصال.

Connect with Microsoft Entra to Azure Synapse Analytics

بعد أن تقوم بتكوين مصادقة Microsoft Entra لمورد Azure SQL الخاص بك، يمكنك الاتصال باستخدام SQL Server Management Studio و SQL Server Data Toolsوتطبيق عميل.

Limitations

عند استخدام مصادقة Microsoft Entra مع Azure Synapse Analytics، ضع في اعتبارك القيود التالية:

  • مستخدمو Microsoft Entra ومديري الخدمة (تطبيقات Microsoft Entra) الذين هم أعضاء في أكثر من 2048 مجموعة أمان Microsoft Entra غير مدعومين ولا يمكنهم تسجيل الدخول إلى قاعدة البيانات.

  • وظائف النظام التالية غير مدعومة وتعيد NULL القيم عند تنفيذها بواسطة مبادئ Microsoft Entra:

    • SUSER_ID()
    • SUSER_NAME(<ID>)
    • SUSER_SNAME(<SID>)
    • SUSER_ID(<name>)
    • SUSER_SID(<name>)

  • نوصي بتعيين مهلة الاتصال على 30 ثانية.

  • قد يرى مستخدمو Microsoft Entra الذين هم جزء من مجموعة عضو في db_owner دور قاعدة البيانات الخطأ التالي عند محاولة استخدام CREATE DATABASE SCOPED CREDENTIAL في Azure Synapse Analytics:

    SQL Error [2760] [S0001]: The specified schema name 'user@mydomain.com' either doesn't exist or you do not have permission to use it.

    لتخفيف المشكلةCREATE DATABASE SCOPED CREDENTIAL، أضف هوية مستخدم Microsoft Entra مباشرة إلى الدورdb_owner.

  • لا ينشئ Azure Synapse Analytics مستخدمين ضمنيين للمستخدمين المسجلون الدخول عبر عضوية مجموعة Microsoft Entra. وبسبب ذلك، يمكن أن تفشل العمليات التي تتطلب تعيين ملكية، حتى لو كانت مجموعة Microsoft Entra عضوا في دور يحمل تلك الأذونات.

    على سبيل المثال، لا يمكن للمستخدم الذي يسجل الدخول إلى قاعدة بيانات عبر مجموعة Microsoft Entra التي تحتوي على دور db_ddladmin تنفيذ CREATE SCHEMA، ALTER SCHEMA، وبيانات إنشاء الكائنات الأخرى بدون تحديد مخطط محدد بشكل صريح (مثل الجدول، العرض، أو النوع، على سبيل المثال). لحل هذه المشكلة، يجب إنشاء مستخدم Microsoft Entra لذلك المستخدم، أو يجب تعديل مجموعة Microsoft Entra لتعيين مثل DEFAULT_SCHEMAdbo.

  • إزالة مسؤول Microsoft Entra تمنع اتصالات المصادقة في Microsoft Entra.

المحتوى ذو الصلة

  • تاريخ آخر تحديث في