مشاركة عبر

استخدام مصادقة Microsoft Entra متعددة العوامل مع Synapse SQL (دعم SSMS للمصادقة متعددة العوامل)

يدعم Synapse SQL الاتصالات من SQL Server Management Studio (SSMS) باستخدام مصادقة Active Directory Universal.

تتناول هذه المقالة الاختلافات بين خيارات المصادقة المختلفة، وكذلك القيود المقترنة باستخدام Universal Authentication.

تنزيل أحدث SSMS - على كمبيوتر العميل، قم بتنزيل أحدث إصدار من SSMS، من تنزيل SQL Server Management Studio (SSMS).

بالنسبة لكافة الميزات التي تمت مناقشتها في هذه المقالة، استخدم على الأقل يوليو 2017، الإصدار 17.2. يجب أن يكون مربع الحوار الأحدث اتصالاً مشابهة للصورة التالية:

تظهر لقطة الشاشة مربع حوار الاتصال بالخادم حيث يمكنك تحديد اسم الخادم وخيار المصادقة.

خيارات المصادقة الخمسة

يدعم Active Directory Universal Authentication طريقتي المصادقة غير التفاعلية: - Active Directory - Password مصادقة - Active Directory - Integrated مصادقة

هناك نموذجان للمصادقة غير التفاعلية أيضا، يمكن استخدامهما في العديد من التطبيقات المختلفة (ADO.NET وJDBC وODC وما إلى ذلك). لا تؤدي هاتان الطريقتان أبدًا إلى ظهور مربعات حوار منبثقة:

  • Active Directory - Password
  • Active Directory - Integrated

الطريقة التفاعلية هي التي تدعم أيضا مصادقة Microsoft Entra متعددة العوامل (MFA) هي:

  • Active Directory - Universal with MFA

تساعد مصادقة Microsoft Entra متعددة العوامل على حماية الوصول إلى البيانات والتطبيقات أثناء تلبية طلب المستخدم لعملية تسجيل دخول بسيطة. فهو يوفر مصادقة قوية مع مجموعة من خيارات التحقق السهلة (مكالمة هاتفية أو رسالة نصية أو بطاقات ذكية مع رقم التعريف الشخصي أو إشعار تطبيق الجوال)، مما يسمح للمستخدمين باختيار الطريقة التي يفضلونها. يمكن أن ينتج عن المصادقة متعددة العوامل التفاعلية مع معرف Microsoft Entra مربع حوار منبثق للتحقق من الصحة.

للحصول على وصف للمصادقة متعددة العوامل، راجع المصادقة متعددة العوامل.

اسم مجال Microsoft Entra أو معلمة معرف المستأجر

بدءا من الإصدار 17 من SSMS، يمكن للمستخدمين الذين يتم استيرادهم إلى Active Directory الحالي من Azure Active Directories الأخرى كمستخدمين ضيوف، توفير اسم مجال Microsoft Entra، أو معرف المستأجر عند الاتصال.

يشمل المستخدمون الضيوف المستخدمين المدعوين من Azure Ads، وحسابات Microsoft مثل outlook.com، hotmail.com، live.com، أو حسابات أخرى مثل gmail.com. تسمح هذه المعلومات ل Active Directory Universal مع مصادقة مصادقة متعددة العوامل (MFA) بتحديد مرجع المصادقة الصحيح. مطلوب هذا الخيار أيضًا لدعم حسابات Microsoft (MSA) مثل حسابات outlook.com أو hotmail.com أو live.com أو حسابات غير MSA.

يجب على جميع هؤلاء المستخدمين الذين يرغبون في المصادقة باستخدام Universal Authentication إدخال اسم مجال Microsoft Entra أو معرف المستأجر الخاص بهم. تمثل هذه المعلمة اسم مجال Microsoft Entra الحالي/معرف المستأجر المرتبط به خادم Azure.

على سبيل المثال، إذا كان Azure Server مقترنا بمجال contosotest.onmicrosoft.com Microsoft Entra حيث تتم استضافة المستخدم joe@contosodev.onmicrosoft.com كمستخدم مستورد من مجال contosodev.onmicrosoft.comMicrosoft Entra، فإن اسم المجال المطلوب لمصادقة هذا المستخدم هو contosotest.onmicrosoft.com.

عندما يكون المستخدم مستخدما أصليا لمعرف Microsoft Entra المرتبط ب Azure Server، وليس حساب MSA، لا يلزم اسم المجال أو معرف المستأجر.

لإدخال المعلمة (بدءا من الإصدار 17.2 من SSMS)، في مربع الحوار الاتصال بقاعدة البيانات ، أكمل مربع الحوار، وحدد Active Directory - Universal with MFA authentication، وحدد Options، وأكمل مربع User name ، ثم حدد علامة التبويب Connection Properties .

حدد مربع اسم مجال AD أو معرف المستأجر، وقم بتوفير مرجع المصادقة، مثل اسم المجال (contosotest.onmicrosoft.com) أو GUID لمعرف المستأجر.

تظهر لقطة الشاشة الاتصال إلى الخادم في علامة التبويب خصائص الاتصال مع القيم التي تم إدخالها.

إذا كنت تقوم بتشغيل SSMS 18.x أو أحدث، فثم اسم النطاق AD أو ID المستأجر لم يعد هناك حاجة للمستخدمين الضيف؛ لأن 18.x أو في وقت لاحق يتعرف تلقائيا عليه.

mfa-tenant-ssms

دعم الأعمال في Microsoft Entra للأعمال

مستخدمو Microsoft Entra المعتمدون لسيناريوهات Microsoft Entra B2B كمستخدمين ضيوف (راجع ما هو تعاون Azure B2B الذي يمكنه الاتصال ب Synapse SQL فقط كجزء من أعضاء مجموعة تم إنشاؤها في معرف Microsoft Entra الحالي وتعيينها يدويا باستخدام عبارة Transact-SQL CREATE USER في قاعدة بيانات معينة.

على سبيل المثال، إذا steve@gmail.com تمت دعوتك إلى Azure AD contosotest (مع مجال contosotest.onmicrosoft.comMicrosoft Entra)، فيجب إنشاء مجموعة Microsoft Entra، مثل usergroup في معرف Microsoft Entra الذي يحتوي على steve@gmail.com العضو. بعد ذلك، يجب إنشاء هذه المجموعة لقاعدة بيانات معينة (أي MyDatabase) بواسطة مسؤول Microsoft Entra SQL أو Microsoft Entra DBO عن طريق تنفيذ عبارة Transact-SQL CREATE USER [usergroup] FROM EXTERNAL PROVIDER .

بعد إنشاء مستخدم قاعدة البيانات، يمكن للمستخدم steve@gmail.com تسجيل الدخول إلى MyDatabase باستخدام خيار Active Directory – Universal with MFA supportمصادقة SSMS .

مجموعة المستخدمين، بشكل افتراضي، لديها إذن الاتصال فقط وأي وصول آخر للبيانات التي سوف تحتاج إلى منح بالطريقة العادية.

كمستخدم ضيف، steve@gmail.com يجب تحديد المربع وإضافة اسم contosotest.onmicrosoft.com مجال AD في مربع الحوار خاصية اتصال SSMS. يتم دعم خيار اسم مجال AD أو معرف المستأجر فقط لخيارات اتصال Universal مع MFA، وإلا فإنه رمادي اللون.

قيود Universal Authentication لـ SQL Synapse

  • SSMS و SqlPackage.exe هي الأدوات الوحيدة الممكنة حاليًا ل MFA من خلال Active Directory Universal Authentication.
  • SSMS الإصدار 17.2، يدعم الوصول المتزامن متعدد المستخدمين باستخدام Universal Authentication مع MFA. الإصدار 17.0 و17.1، قيد تسجيل الدخول لمثيل SSMS باستخدام المصادقة العامة إلى حساب Microsoft Entra واحد. لتسجيل الدخول كحساب Microsoft Entra آخر، يجب استخدام مثيل آخر من SSMS. (يقتصر هذا التقييد على Active Directory Universal Authentication، يمكنك تسجيل الدخول إلى خوادم مختلفة باستخدام Active Directory Password Authentication أو Active Directory Integrated Authentication أو SQL Server Authentication).
  • يدعم SSMS الـ Active Directory Universal Authentication لـ Object Explorer وQuery Editor و Query Store visualization.
  • يوفر الإصدار 17.2 SSMS دعم معالج DacFx لقاعدة بيانات تصدير/ استخراج/ نشر البيانات. بمجرد مصادقة مستخدم معين من خلال مربع حوار المصادقة الأولي باستخدام Universal Authentication، يعمل معالج DacFx بنفس الطريقة التي يعمل بها لجميع طرق المصادقة الأخرى.
  • لا يدعم مصمم الجدول SSMS الـ Universal Authentication.
  • لا توجد متطلبات برامج إضافية لـ Active Directory Universal Authentication إلا أنه يجب استخدام إصدار معتمد من SSMS.
  • تم تحديث إصدار Active Directory Authentication Library (ADAL) إلى أحدث إصدار متوفر ADAL.dll 3.13.9. راجع مكتبة مصادقة Active Directory 3.14.1.

الخطوات التالية

لمزيد من المعلومات، راجع مقالة الاتصال ب Synapse SQL مع SQL Server Management Studio .