Microsoft Entra-only authentication with Azure Synapse Analytics

باستخدام المصادقة فقط من Microsoft Entra، يمكنك تكوين Azure Synapse Analytics لدعم المصادقة فقط عبر Microsoft Entra.

Note

مبادئ خوادم Microsoft Entra حاليا قيد المعاينة ل Azure Synapse Analytics.

يتوفر التحقق فقط من Microsoft Entra لمجموعات SQL المخصصة المستقلة ومساحات Azure Synapse. لتكوين مساحة العمل، انظر تعطيل المصادقة المحلية. مجموعات SQL المخصصة في Azure Synapse Analytics workspaces لا تستخدم خوادم SQL المنطقية.

عند تفعيل المصادقة الخاصة ب Microsoft Entra فقط، تقوم بتعطيل مصادقة SQL، بما في ذلك الاتصالات من مسؤولي SQL وتسجيلات الدخول والمستخدمين. فقط المستخدمون الذين يستخدمون مصادقة Microsoft Entra يمكنهم الاتصال.

بالنسبة لتجمع SQL مخصص مستقل، يمكنك تفعيل أو تعطيل المصادقة المعتمدة فقط على Microsoft Entra باستخدام بوابة Azure أو Azure CLI أو PowerShell أو REST API. يمكنك أيضا تكوينها أثناء إنشاء الخادم المنطقي باستخدام قالب Azure Resource Manager (ARM).

لمزيد من المعلومات، راجع المصادقة والتفويض.

وصف الميزة

عند تفعيل المصادقة الخاصة ب Microsoft Entra فقط، تقوم بتعطيل مصادقة SQL لمساحة العمل أو الخادم المنطقي. على الرغم من تعطيل مصادقة SQL، إلا أن حسابات Microsoft Entra التي تمتلك الأذونات المناسبة يمكنها إنشاء تسجيلات دخول ومستخدمين جدد لمصادقة SQL. حسابات مصادقة SQL الجديدة لا يمكنها الاتصال. تفعيل المصادقة فقط في Microsoft Entra لا يزيل تسجيل الدخول وحسابات المستخدمين الحالية للمصادقة في SQL. تمنع هذه الميزة فقط هذه الحسابات من الاتصال بالخادم وأي قاعدة بيانات تم إنشاؤها لهذا الخادم.

الأذونات

يمكن لمستخدمي Microsoft Entra الذين هم أعضاء في أدوار مدمجة ذات امتيازات عالية في Microsoft Entra، مثل مالكي الاشتراك والمساهمين في Azure، تمكين أو تعطيل المصادقة الخاصة ب Microsoft Entra فقط. أيضا، يمكن لمدير أمان SQL للدور تمكين أو تعطيل ميزة المصادقة الخاصة ب Microsoft Entra فقط.

دور المساهم في SQL Server لا يملك إذن بتفعيل أو تعطيل المصادقة التي تعتمد فقط على Microsoft Entra. هذا القيد يتوافق مع فصل المهام: المستخدمون الذين يمكنهم إنشاء خادم منطقي أو مسؤول Microsoft Entra لا يمكنهم بالضرورة تفعيل أو تعطيل ميزات الأمان.

الإجراءات المطلوبة

تمت إضافة الإجراءات التالية إلى دور مدير أمان SQL للسماح بإدارة ميزة المصادقة الخاصة ب Microsoft Entra فقط.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read- مطلوب فقط للمستخدمين الذين يصلون إلى قائمة Microsoft Entra ID في بوابة Azure

يمكنك أيضا إضافة هذه الإجراءات إلى دور مخصص لإدارة المصادقة باستخدام Microsoft Entra فقط. لمزيد من المعلومات، راجع إنشاء وتعيين دور مخصص في Microsoft Entra ID.

إدارة المصادقة باستخدام Microsoft Entra فقط باستخدام واجهات برمجة التطبيقات

مهم

يجب عليك تعيين مسؤول Microsoft Entra قبل تفعيل المصادقة الخاصة ب Microsoft Entra فقط.

يجب أن يكون لديك Azure CLI الإصدار 2.14.2 أو أعلى.

name يتوافق مع بادئة اسم الخادم المنطقي (على سبيل المثال، myserver) ويمثل resource-group مجموعة الموارد (على سبيل المثال، myresource).

تجمع SQL مخصص مستقل

لمزيد من المعلومات، راجع az sql server ad-only-auth.

تفعيل أو تعطيل

تمكين

az sql server ad-only-auth enable --resource-group myresource --name myserver

تعطيل

az sql server ad-only-auth disable --resource-group myresource --name myserver

تحقق من الحالة

az sql server ad-only-auth get --resource-group myresource --name myserver

بوويرشيل

تحتاج إلى وحدة Az.SQL 2.10.0 أو أعلى.

ServerName يتوافق مع بادئة اسم الخادم المنطقي (على سبيل المثال، myserver) ويمثل ResourceGroupName مجموعة الموارد (على سبيل المثال، myresource).

تجمع SQL مخصص مستقل

تفعيل أو تعطيل

تمكين

لمزيد من المعلومات، راجع Enable-AzSqlServerActiveDirectoryOnlyAuthentication. يمكنك أيضا تشغيل get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

يمكنك أيضا استخدام الأمر التالي:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

تعطيل

لمزيد من المعلومات، راجع Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

تحقق من الحالة

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

يمكنك أيضا استخدام الأمر التالي:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

واجهة برمجة التطبيقات REST

حدد المعلمات التالية:

• ابحث <subscriptionId> عن ذلك من خلال الاشتراكات في بوابة Azure.
• <myserver> هي بادئة اسم الخادم المنطقي.
• <myresource> هو المورد.

لاستخدام أحدث إصدار من MSAL، قم بتحميله من MSAL.PS على PowerShell Gallery.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

تجمع SQL مخصص مستقل

لمزيد من المعلومات، راجع توثيق واجهة برمجة تطبيقات REST الخاصة ب Server Azure AD Only Authentications.

تفعيل أو تعطيل

تمكين

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

تعطيل

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

تحقق من الحالة

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

قالب ARM

• هنا يأتي مدير Microsoft Entra للنشر. ابحث عن معرف كائن المستخدم من خلال الذهاب إلى بوابة Azure والتوجه إلى مورد Microsoft Entra ID الخاص بك. ضمن "Manage"، حدد "Users". ابحث عن المستخدم الذي تريد تعيينه كمسؤول لخادم المنطق الخاص بك. اختر المستخدم، وفي صفحة الملف الشخصي ، اذكر معرف الكائن.
• ابحث عن معرف المستأجر في صفحة النظرة العامة لمورد Microsoft Entra ID الخاص بك.

تجمع SQL مخصص مستقل

تمكين

يتيح قالب ARM التالي المصادقة فقط من Microsoft Entra على الخادم المنطقي لمجموعة SQL مخصصة مستقلة. لتعطيل المصادقة Microsoft Entra فقط، قم بتعيين azureADOnlyAuthentication الخاصية إلى false.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

لمزيد من المعلومات، راجع Microsoft. Sql servers/azureADOnlyAuthentications.

تحقق من المصادقة فقط في Microsoft Entra باستخدام T-SQL

استخدم دالة SERVERPROPERTY مع IsExternalAuthenticationOnly للتحقق مما إذا كانت المصادقة التي تعتمد على Microsoft Entra فقط مفعلة لخادمك المنطقي. 1 يشير إلى تفعيل الميزة، ويشير 0 إلى أنها معطلة.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

حساب مسؤول الخادم الذي تم إنشاؤه من قبل النظام

عند إنشاء خادم منطقي مع تفعيل مصادقة Microsoft Entra فقط، تقوم الخدمة بإنشاء اسم مسؤول خادم وكلمة مرور عشوائية. يبدأ الاسم المولد ب CloudSA يتبعه سلسلة عشوائية، ويظهر في بوابة Azure كتسجيل دخول مسؤول الخادم.

الحساب موجود لتلبية التوفير، وليس لتوفير وسيلة للاتصال. لا يزال توفير أي نوع من المصادر يتطلب قيم مسؤول مصادقة SQL. المصادقة التي تعتمد فقط على Microsoft Entra تغير أي طرق المصادقة يمكنها إنشاء اتصال بعد التزويد، لكنها لا تزيل متطلب التوفير هذا، لذا تولد الخدمة القيم اللازمة لتحقيقه.

رؤية اسم مولد لا يعني أن مصادقة SQL مفعلة. بينما يتم تفعيل المصادقة فقط في Microsoft Entra:

• لا يمكن لأي حساب مصادقة SQL الاتصال، بما في ذلك المسؤول الذي يولده النظام.
• الحساب الذي تم إنشاؤه ليس حسابا مشتركا، أو بديلا أو مسارا متقلبا.
• يجب على التطبيقات والمسؤولين استخدام مصادقة Microsoft Entra للاتصال.
• يظل مسؤول Microsoft Entra والمسؤولون المصرح لهم في Microsoft Entra هم المسارات الإدارية المدعومة.
• تقوم الخدمة بإزالة كلمة المرور بشكل دائم من مستوى التحكم بعد التهيئة (provisioning).

Remarks

• يمكن لمساهم في SQL Server تعيين أو إزالة مسؤول Microsoft Entra، لكنه لا يمكنه تعيين إعداد المصادقة فقط في Microsoft Entra. لا يمكن لمدير أمان SQL تعيين أو إزالة مسؤول Microsoft Entra، لكنه يمكنه تعيين إعداد المصادقة فقط في Microsoft Entra. فقط الحسابات التي لديها أدوار أعلى في Azure RBAC أو الأدوار المخصصة التي تحتوي على كلا الصلاحين يمكنها تعيين أو إزالة مسؤول Microsoft Entra وتعيين إعداد المصادقة فقط في Microsoft Entra. أحد هذه الأدوار هو دور المساهم .
• بعد تفعيل أو تعطيل مصادقة Microsoft Entra فقط في بوابة Azure، يظهر مدخل سجل النشاط.
• لا يمكن تفعيل أو تعطيل إعداد المصادقة فقط في Microsoft Entra فقط من قبل المستخدمين الذين لديهم الأذونات الصحيحة إذا تم تحديد مسؤول Microsoft Entra. إذا لم يكن مسؤول Microsoft Entra مضبوطا، يبقى إعداد المصادقة فقط في Microsoft Entra غير نشط ولا يمكن تفعيله أو تعطيله. استخدام واجهات برمجة التطبيقات لتمكين المصادقة بنظام Microsoft Entra فقط سيفشل أيضا إذا لم يتم تعيين مسؤول Microsoft Entra.
• يدعم المستخدم المستخدم الذي يحمل الأذونات المناسبة تغيير مسؤول Microsoft Entra عند تفعيل المصادقة الخاصة ب Microsoft Entra فقط.
• يسمح بتغيير مسؤول Microsoft Entra وتمكين أو تعطيل المصادقة الخاصة ب Microsoft Entra فقط في بوابة Azure للمستخدمين الذين لديهم الأذونات المناسبة. يمكن إتمام كلتا العمليتين بحفظ واحد في بوابة Azure. يجب ضبط مسؤول Microsoft Entra لتمكين المصادقة الخاصة ب Microsoft Entra فقط.
• إزالة مسؤول Microsoft Entra عند تفعيل ميزة المصادقة الخاصة ب Microsoft Entra فقط غير مدعومة. استخدام واجهة برمجة تطبيقات لإزالة مسؤول Microsoft Entra سيفشل إذا تم تفعيل المصادقة ب Microsoft Entra فقط.
  • إذا كان إعداد المصادقة فقط في Microsoft Entra مفعلا، يكون زر إزالة المسؤول غير نشط في بوابة Azure.
• إزالة مسؤول Microsoft Entra وتعطيل إعداد المصادقة فقط في Microsoft Entra مسموح به، لكنه يتطلب إذن المستخدم الصحيح لإكمال العمليات. يمكن إتمام كلتا العمليتين بحفظ واحد في بوابة Azure.
• يمكن لمستخدمي Microsoft Entra الذين لديهم أذونات مناسبة انتحال شخصية مستخدمي SQL الحاليين.
  • يستمر انتحال الشخصية في العمل بين مستخدمي مصادقة SQL حتى عند تفعيل المصادقة المعتمدة فقط على Microsoft Entra.

المحتوى ذو الصلة

• استخدام مصادقة Microsoft Entra مع Synapse SQL
• Microsoft Entra authentication for Azure Synapse Analytics