Ověřování pouze pomocí Microsoft Entra ve službě Azure Synapse Analytics

Použitím autentizace pouze Microsoft Entra můžete nakonfigurovat Azure Synapse Analytics tak, aby podporovala pouze autentizaci Microsoft Entra.

Poznámka:

Microsoft Entra server principals jsou momentálně v preview pro Azure Synapse Analytics.

Autentizace pouze Microsoft Entra je dostupná pro samostatné dedikované SQL pooly a pracovní prostory Azure Synapse. Pro konfiguraci pracovního prostoru viz Zakázat místní ověřování. Dedikované SQL pooly v pracovních prostorech Azure Synapse Analytics nepoužívají logické SQL servery.

Když povolíte ověřování pouze pomocí Microsoft Entra, zakážete ověřování SQL, včetně připojení SQL správců, přihlašovacích údajů a uživatelů. Připojit se mohou pouze uživatelé, kteří používají autentizaci Microsoft Entra.

Pro samostatný dedikovaný fond SQL můžete povolit nebo zakázat ověřování pouze pomocí Microsoft Entra pomocí portálu Azure, Azure CLI, PowerShellu nebo rozhraní REST API. Můžete ji také nastavit při vytváření logického serveru pomocí šablony Azure Resource Manager (ARM).

Další informace najdete v tématu Ověřování a autorizace.

Popis funkce

Když povolíte autentizaci pouze přes Microsoft Entra, deaktivujete SQL autentizaci pro pracovní prostor nebo logický server. Ačkoli je SQL autentizace zakázána, účty Microsoft Entra s vhodnými oprávněními mohou stále vytvářet nové SQL autentizační přihlášení a uživatele. Nově vytvořené SQL autentizační účty se nemohou připojit. Povolení ověřování pouze pomocí Microsoft Entra neodebere existující přihlašovací a uživatelské účty pro ověřování SQL. Tato funkce pouze zabraňuje připojení těchto účtů k serveru a jakékoli databázi vytvořené pro tento server.

Povolení

Uživatelé Microsoft Entra, kteří jsou členy vysoce privilegovaných vestavěných rolí Microsoft Entra, jako jsou Vlastníci a Přispěvatelé předplatného Azure, mohou zapnout nebo vypnout autentizaci pouze přes Microsoft Entra. Role SQL Security Manager také umožňuje povolit nebo zakázat funkci ověřování pouze pomocí Microsoft Entra.

Role SQL Server Contributor nemá oprávnění zapnout nebo vypnout ověřování jen pomocí Microsoft Entra. Toto omezení je v souladu s oddělením povinností: uživatelé, kteří mohou vytvořit logický server nebo nastavit správce Microsoft Entra, nemohou nutně povolit nebo zakázat bezpečnostní funkce.

Požadované akce

Do role SQL Security Manager se přidávají následující akce, které umožňují správu funkce ověřování pouze pomocí Microsoft Entra.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read - vyžadováno pouze pro uživatele přistupující k nabídce Microsoft Entra ID na webu Azure Portal

Tyto akce můžete také přidat do vlastní role pro správu ověřování pouze pro Microsoft Entra. Další informace najdete v tématu Vytvoření a přiřazení vlastní role v Microsoft Entra ID.

Správa ověřování pouze pomocí Microsoft Entra prostřednictvím rozhraní API

Important

Musíte nastavit správce Microsoft Entra před povolením ověřování pouze pomocí Microsoft Entra.

Azure CLI

Musíte mít Azure CLI verze 2.14.2 nebo vyšší.

name odpovídá předponě logického jména serveru (například myserver) a resource-group odpovídá skupině zdrojů (například myresource).

Samostatný dedikovaný SQL pool

Další informace najdete v tématu az sql server ad-only-auth.

Povolení nebo zakázání

Povolit

az sql server ad-only-auth enable --resource-group myresource --name myserver

Zakázat

az sql server ad-only-auth disable --resource-group myresource --name myserver

Zkontrolujte stav

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Potřebujete modul Az.SQL 2.10.0 nebo vyšší.

ServerName odpovídá předponě logického jména serveru (například myserver) a ResourceGroupName odpovídá skupině zdrojů (například myresource).

Samostatný dedikovaný SQL pool

Povolení nebo zakázání

Povolit

Další informace najdete v tématu Enable-AzSqlServerActiveDirectoryOnlyAuthentication. Můžete také spustit get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Můžete také použít následující příkaz:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Zakázat

Další informace najdete v tématu Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Zkontrolujte stav

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Můžete také použít následující příkaz:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST API

Definujte následující parametry:

• Najdete <subscriptionId>, když v portálu Azure přejdete na Předplatná.
• <myserver> je předpona logického názvu serveru.
• <myresource> je zdroj.

Chcete-li použít nejnovější MSAL, stáhněte si ho z MSAL.PS on Galerie prostředí PowerShell.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

Samostatný dedikovaný SQL pool

Další informace najdete v dokumentaci REST API k ověřování serveru pouze pomocí Azure AD.

Povolení nebo zakázání

Povolit

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Zakázat

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Zkontrolujte stav

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

Šablona ARM

• Zadejte správce Microsoft Entra pro nasazení. Najděte ID objektu uživatele tak, že přejdete do portálu Azure a přejdete ke svému prostředku Microsoft Entra ID. V části Spravovat vyberte Uživatelé. Vyhledejte uživatele, kterého chcete nastavit jako správce svého logického serveru. Vyberte uživatele a na stránce Profil si všimněte ID objektu.
• Najděte Tenant ID na stránce Přehledu vašeho zdroje Microsoft Entra ID.

Samostatný dedikovaný SQL pool

Povolit

Následující ARM šablona umožňuje ověřování pouze přes Microsoft Entra na logickém serveru pro samostatný dedikovaný SQL pool. Chcete-li zakázat ověřování pouze pomocí Microsoft Entra, nastavte vlastnost azureADOnlyAuthentication na false.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Další informace najdete v článku Microsoft.Sql servers/azureADOnlyAuthentications.

Zkontrolujte ověřování pouze pomocí Microsoft Entra pomocí jazyka T-SQL

Použijte funkci SERVERPROPERTY pomocí IsExternalAuthenticationOnly ke kontrole, zda je na vašem logickém serveru povolena autentizace pouze Microsoft Entra. 1 označuje, že je funkce povolena, a 0 že je deaktivovaná.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Administrátorský účet generovaný systémem

Když vytvoříte logický server s povolenou autentizací pouze přes Microsoft Entra, služba vygeneruje administrátorské jméno serveru a náhodné heslo. Generované jméno začíná náhodným CloudSA řetězcem a objevuje se v Azure portálu jako přihlášení správce serveru.

Účet existuje proto, aby splnil podmínky pro provisioning, ne aby umožnil připojení. Zajištění kteréhokoliv typu zdroje stále vyžaduje SQL autentizační administrátorské hodnoty. Ověřování pouze pomocí Microsoft Entra mění, které metody ověřování mohou po zřízení navázat připojení, ale tento požadavek na zřízení neodstraňuje, takže služba generuje hodnoty potřebné k jeho splnění.

Vidět vygenerované jméno neznamená, že je povoleno SQL ověření. Zatímco je povoleno ověřování pouze přes Microsoft Entra:

• Žádný SQL autentizační účet se nemůže připojit, včetně správce generovaného systémem.
• Vygenerovaný účet není sdíleným účtem, záložním řešením ani nouzovým přístupem.
• Aplikace a administrátoři musí k připojení použít autentizaci Microsoft Entra.
• Správce Microsoft Entra a další autorizované identity Microsoft Entra zůstávají podporovanými způsoby správy.
• Služba trvale odstraní heslo z řídicí roviny po nastavení.

Remarks

• Přispěvatel SQL Serveru může nastavit nebo odebrat správce Microsoft Entra, ale nemůže nastavit pouze ověřování Microsoft Entra. SQL Security Manager nemůže nastavit ani odebrat správce Microsoft Entra, ale může nastavit nastavení pouze ověřování Microsoft Entra. Pouze účty s vyššími rolemi Azure RBAC nebo vlastními rolemi, které obsahují obě oprávnění, můžou nastavit nebo odebrat správce Microsoft Entra a nastavit pouze nastavení ověřování Microsoft Entra. Jednou z těchto rolí je role Přispěvatel.
• Po zapnutí nebo vypnutí autentizace Microsoft Entra pouze v portálu Azure se zobrazí záznam v logu aktivit.
• Nastavení pouze ověřování Microsoft Entra mohou povolit nebo zakázat pouze uživatelé s příslušnými oprávněními, pokud je zadaný správce Microsoft Entra. Pokud není nastavený správce Microsoft Entra, nastavení ověřování pouze Microsoft Entra zůstane neaktivní a nelze jej aktivovat ani deaktivovat. Použití rozhraní API k povolení ověřování pouze přes Microsoft Entra také selže, pokud nebyl nastaven správce Microsoft Entra.
• Změnu správce Microsoft Entra, pokud je povoleno ověřování pouze pomocí Microsoft Entra, mohou provést uživatelé s příslušnými oprávněními.
• Změna správce Microsoft Entra a povolení nebo zakázání ověřování pouze pomocí Microsoft Entra je na portálu Azure možné pro uživatele s příslušnými oprávněními. Obě operace je možné dokončit jedním uložením na webu Azure Portal. Aby bylo možné povolit ověřování pouze pomocí Microsoft Entra, musí být nastaven správce Microsoft Entra.
• Odebrání správce Microsoft Entra se nepodporuje, pokud je povolená funkce ověřování pouze pomocí Microsoft Entra. Použití rozhraní API k odebrání správce Microsoft Entra selže, pokud je povoleno ověřování pouze Microsoft Entra.
  • Pokud je povoleno nastavení pouze ověřování Microsoft Entra, je na portálu Azure tlačítko Odebrat správce neaktivní.
• Odebrání správce Microsoft Entra a zakázání nastavení pouze ověřování Microsoft Entra je možné, ale k dokončení těchto operací vyžaduje odpovídající uživatelské oprávnění. Obě operace je možné dokončit jedním uložením na webu Azure Portal.
• Uživatelé Microsoft Entra se správnými oprávněními můžou zosobnit stávající uživatele SQL.
  • Zosobnění nadále funguje mezi uživateli ověřování SQL i v případě, že je povolené ověřování pouze přes Microsoft Entra.

Související obsah

• Použijte autentizaci Microsoft Entra se Synapse SQL
• Ověřování Microsoft Entra pro Azure Synapse Analytics