Azure Synapse Analytics řízení přístupu k síti

Tip

Microsoft Fabric Data Warehouse je relační sklad v podnikovém měřítku na základu datového jezera s architekturou připravenou pro budoucnost, integrovanou AI a novými funkcemi. Pokud s datovými sklady začínáte, doporučujeme vám začít s „Fabric Data Warehouse“. Stávající úlohy dedikovaného SQL fondu mohou upgradovat na Fabric a získat tak přístup k novým funkcím napříč datovou vědou, analytikou v reálném čase a reportingem.

Azure Synapse Analytics poskytuje veřejné i privátní síťové přístupové řízení pro Synapse SQL. Dostupné ovládací prvky závisí na tom, zda je SQL pool v pracovním prostoru Synapse, nebo je samostatným dedikovaným SQL poolem (dříve SQL DW).

Když vytvoříte nový SQL server pro Azure Synapse Analytics, získáte veřejný endpoint ve formátu: yourservername.database.windows.net. Ve výchozím nastavení logický server odepře všechna připojení, aby se zajistilo zabezpečení. Použijte jeden nebo více z následujících síťových přístupových opatření k selektivnímu povolení přístupu k databázi přes veřejný koncový bod:

  • Pravidla brány firewall založená na protokolu IP: Pomocí této funkce explicitně povolíte připojení z konkrétní IP adresy. Například povolte místní stroje nebo rozsah IP adres zadáním počáteční a koncové IP adresy.

  • Povolit službám a prostředkům Azure přístup k tomuto serveru: Pokud je povoleno, mohou k serveru přistupovat i jiné prostředky v rámci hranic Azure.

Privátní přístup k databázi můžete povolit také z virtuálních sítí prostřednictvím:

  • Pravidla virtuálního síťového firewallu: Tuto funkci použijte k povolení provozu z konkrétní virtuální sítě v rámci perimetru Azure.

  • Private Link: Použijte tuto funkci k vytvoření soukromého endpointu pro SQL server v rámci konkrétní virtuální sítě.

Pravidla firewallu IP

Pravidla firewallu založená na IP jsou funkcí logického serveru v Azure, která brání veškerému přístupu k vašemu serveru, dokud explicitně nepřidáte IP adresy klientských strojů.

Existují dva typy pravidel brány firewall:

  • Pravidla firewallu na úrovni serveru: Tato pravidla platí pro všechny databáze na serveru. Můžete je nastavit přes Azure portál, PowerShell nebo T-SQL příkazy jako sp_set_firewall_rule.
  • Firewallová pravidla na úrovni databáze: Tato pravidla platí pro jednotlivé databáze a lze je konfigurovat pouze pomocí příkazů T-SQL jako sp_set_database_firewall_rule.

Následující omezení platí pro pojmenování pravidel firewallu:

  • Název pravidla brány firewall nemůže být prázdný.
  • Nemůže obsahovat následující znaky: <, >, *, %, &, :, \\, /, ?.
  • Nemůže končit tečkou (.).
  • Název pravidla brány firewall nesmí překročit 128 znaků.

Pokud se pokusíte vytvořit firewallová pravidla, která tato omezení nesplňují, zobrazí se chybová zpráva. Může trvat až pět minut, než se projeví úpravy stávajících pravidel brány firewall založených na protokolu IP.

Fondy SQL v pracovním prostoru Synapse

Pracovní prostor Synapse umožňuje vyhrazené SQL, serverless SQL a vývojové endpointy. Síťová nastavení na úrovni pracovního prostoru chrání tyto koncové body společně.

  • Pravidla IP firewallu umožňují veřejná připojení z konkrétních IPv4 adres nebo rozsahů klientů. Pravidla firewallu pracovního prostoru platí pro dedikované SQL, serverless SQL a vývojové endpointy. Pracovní prostory Synapse podporují pouze serverová pravidla, nikoli pravidla firewallu na úrovni databáze. Pro konfigurační kroky viz Azure Synapse Analytics IP firewall rules.
  • Povolit Azure službám a zdrojům přístup k tomuto pracovnímu prostoru umožňuje připojení k Azure zdrojům mimo vaše předplatné. Povolte ho pouze v případě potřeby a použijte ověřování a autorizaci databáze k omezení přístupu.
  • Přístup z veřejné sítě ovládá, zda pracovní prostor přijímá provoz z veřejných sítí. Když je přístup k veřejné síti zakázán, klienti musí používat soukromé koncové body. Další informace najdete v tématu nastavení připojení Azure Synapse Analytics.
  • Soukromé endpointy přiřazují soukromé IP adresy ve vaší virtuální síti dedikovanému SQL, serverless SQL nebo vývojovému endpointu pracovního prostoru. Pro více informací viz Azure Private Link for Azure Synapse Analytics.
  • Spravované privátní koncové body poskytují odchozí privátní konektivitu z virtuální sítě spravovaného pracovního prostoru k schváleným zdrojům Azure. Pro více informací viz Azure Synapse Analytics managed private endpoints.

Samostatné dedikované SQL pooly

Samostatný dedikovaný SQL pool je hostován na logickém serveru. Logický server odepírá veřejná připojení, dokud nenastavíte přístup.

  • Pravidla IP firewallu umožňují vybrané veřejné klientské adresy nebo rozsahy. Pro konfigurační kroky viz Azure Synapse IP firewall rules.
  • Povolit službám a prostředkům Azure přístup k tomuto serveru vytváří pravidlo na úrovni serveru z 0.0.0.0 do 0.0.0.0. Toto nastavení umožňuje připojení ze zdrojů Azure mimo vaše předplatné, takže ho povolte pouze tehdy, když je to nutné.
  • Pravidla virtuální sítě umožňují provoz z vybraných podsítí virtuální sítě přes koncové body služby. Endpointy a pravidla služeb virtuálních sítí jsou jednodušší alternativy k navázání a správě přístupu z konkrétní podsítě, která obsahuje vaše VM.
  • Private Link vystavuje logický server prostřednictvím privátního endpointu ve vaší virtuální síti. Privátní koncový bod je privátní IP adresa v rámci konkrétní virtuální sítě a podsítě.
  • Přístup k veřejné síti lze deaktivovat po nastavení soukromého připojení. Když je tato možnost zakázaná, firewall a pravidla virtuální sítě neumožňují veřejná připojení.

Značka služby SQL

Servisní tagy můžete použít v bezpečnostních pravidlech a trasách od klientů k databázi SQL. Servisní tagy můžete použít v síťových bezpečnostních skupinách, Azure Firewallu a v trasách definovaných uživatelem tím, že je zadáte ve zdrojovém nebo cílovém poli bezpečnostního pravidla.
Značka služby Sql se skládá ze všech IP adres, které Azure Synapse Analytics používá pro databázi SQL. Tag je rozdělen podle regionů. Například Sql.WestUS uvádí všechny IP adresy v oblasti Azure West US.

Značka služby Sql se skládá z IP adres, které jsou nutné k navázání konektivity.

Související obsah

  • Poslední aktualizace v