Azure Private Link for Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse je relační sklad v podnikovém měřítku na základu datového jezera s architekturou připravenou pro budoucnost, integrovanou AI a novými funkcemi. Pokud s datovými sklady začínáte, doporučujeme vám začít s „Fabric Data Warehouse“. Stávající úlohy dedikovaného SQL fondu mohou upgradovat na Fabric a získat tak přístup k novým funkcím napříč datovou vědou, analytikou v reálném čase a reportingem.

Použitím Azure Private Link se můžete připojit k Synapse SQL přes soukromý endpoint. Privátní koncový bod je síťové rozhraní s privátní IP adresou ve vaší virtuální síti a podsíti. Provoz zůstává na páteřní síti Microsoft místo aby procházel přes veřejný internet.

Vždy používejte plně kvalifikovaný název domény (FQDN) serveru (<server>.database.windows.net) v připojovacích řetězcích pro všechny klientské ovladače a nástroje. Autentizační pokusy používající soukromou IP adresu nebo privátní linkový FQDN (<server>.privatelink.database.windows.net) nefungují. Toto chování je záměrné, protože soukromý koncový bod směruje provoz do SQL Gateway, který potřebuje správný FQDN, aby bylo možné úspěšně směrovat požadavky na ověření.

Proces vytváření

Vytvořte privátní endpointy pomocí portálu Azure, PowerShellu nebo Azure CLI:

Schvalovací proces

Poté, co správce sítě vytvoří privátní koncový bod (PE), může správce SQL spravovat připojení k privátnímu koncovému bodu (PEC) k SQL databázi.

  1. Přejděte na serverový zdroj v portálu Azure.

  2. Přejděte na stránku schválení privátního koncového bodu. V SQL serverovém zdroji Azure Synapse Analytics vyberte v nabídce prostředku v části Bezpečnost možnost Private endpoint connections.

  3. Zobrazte následující:

    • Seznam všech připojení privátního koncového bodu (PEC)
    • Vytvořené privátní koncové body

  4. Pokud nejsou žádné soukromé koncové body, vytvořte jeden výběrem Vytvořit soukromý koncový bod. V opačném případě vyberte jednotlivý PEC ze seznamu.

  5. SQL administrátor může PEC schválit nebo zamítnout a volitelně přidat krátkou textovou odpověď.

  6. Po schválení nebo zamítnutí seznam odráží příslušný stav spolu s textem odpovědi.

  7. Vyberte název privátního koncového bodu.

    Tato akce vás přesměruje na stránku s přehledem privátního koncového bodu. Vyberte odkaz na síťová rozhraní pro zobrazení detailů síťových rozhraní pro připojení soukromého koncového bodu.

    Na stránce Síťové rozhraní se zobrazuje privátní IP adresa pro připojení privátního koncového bodu.

Important

Když přidáte připojení privátního koncového bodu, veřejné směrování na logický server není ve výchozím nastavení blokované. V podokně Brána firewall a virtuální sítě není ve výchozím nastavení vybrána možnost Odepřít přístup k veřejné síti. Pokud chcete zakázat přístup k veřejné síti, ujistěte se, že jste vybrali Odepřít přístup k veřejné síti.

Zakázání veřejného přístupu k logickému serveru

Na vašem SQL serveru Azure Synapse Analytics můžete zakázat veškerý veřejný přístup k logickému serveru a povolit připojení pouze z vaší virtuální sítě.

Nejprve se ujistěte, že jsou povolená a nakonfigurovaná připojení privátního koncového bodu. Potom zakažte veřejný přístup k logickému serveru:

  1. Přejděte na stránku Sítě vašeho logického serveru.
  2. Zaškrtněte políčko Odepřít přístup k veřejné síti.

Testování připojení ke službě SQL Database z virtuálního počítače Azure ve stejné virtuální síti

V tomto scénáři předpokládejme, že jste vytvořili Azure Virtual Machine (VM) s nedávnou verzí Windows ve stejné virtuální síti jako privátní endpoint.

  1. Spusťte RDP relaci vzdálené plochy a připojte se k virtuálnímu počítači.

  2. Poté můžete provést základní kontroly konektivity, abyste zajistili, že se VM připojuje ke SQL databázi přes privátní endpoint, pomocí následujících nástrojů:

Zkontrolujte připojení pomocí Telnetu

Telnet je funkce pro Windows, kterou můžete použít k testování konektivity. V závislosti na verzi Windows možná budete muset tuto funkci výslovně povolit.

Po instalaci Telnetu otevřete okno příkazového řádku. Spusťte příkaz Telnet a zadejte IP adresu a privátní koncový bod databáze ve službě SQL Database.

telnet 10.9.0.4 1433

Když se Telnet úspěšně připojí, zobrazí se prázdná obrazovka v okně příkazů.

Zkontrolujte konektivitu pomocí PowerShellu

Použijte PowerShell příkaz ke kontrole konektivity:

Test-NetConnection -computer myserver.database.windows.net -port 1433

Zkontrolujte konektivitu pomocí PsPing

Použijte PsPing následovně, abyste ověřili, že soukromý endpoint poslouchá připojení na portu 1433.

Spusť PsPing zadáním FQDN pro logický SQL server a port 1433:

PsPing.exe mysqldbsrvr.database.windows.net:1433

Tento příklad ukazuje očekávaný výstup:

TCP connect to 10.9.0.4:1433:
5 iterations (warmup 1) ping test:
Connecting to 10.9.0.4:1433 (warmup): from 10.6.0.4:49953: 2.83ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49954: 1.26ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49955: 1.98ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49956: 1.43ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49958: 2.28ms

Výstup ukazuje, že PsPing může pingovat soukromou IP adresu spojenou s privátním koncovým bodem.

Zkontrolujte konektivitu pomocí Nmap

Nmap (Network Mapper) je bezplatný a open-source nástroj pro objevování sítí a bezpečnostní audity. Pro více informací a odkaz ke stažení navštivte https://Nmap.org. Použijte tento nástroj k ověření, že soukromý endpoint naslouchá příchozím připojením na portu 1433.

Spusť Nmap tak, že zadáš adresní rozsah podsítě, která hostuje privátní koncový bod.

Nmap -n -sP 10.9.0.0/24

Tento příklad ukazuje očekávaný výstup:

Nmap scan report for 10.9.0.4
Host is up (0.00s latency).
Nmap done: 256 IP addresses (1 host up) scanned in 207.00 seconds

Výsledek ukazuje, že jedna IP adresa je aktivní, což odpovídá IP adrese soukromého koncového bodu.

Zkontrolujte konektivitu pomocí SQL Server Management Studio (SSMS)

Použijte úplný název domény (FQDN) serveru v připojovacích řetězcích pro vaše klienty (<server>.database.windows.net). Jakýkoli pokus o přihlášení přímo na IP adresu nebo pomocí privátního FQDN (<server>.privatelink.database.windows.net) selže. Toto chování je záměrné, protože soukromý endpoint směruje provoz do SQL Gateway v regionu. Musíte zadat správný FQDN, aby přihlášení bylo úspěšné.

Postupujte podle kroků v sekci Použít SSMS pro připojení k SQL databázi. Po připojení pomocí SSMS následující dotaz vrátí client_net_address, který odpovídá privátní IP adrese virtuálního počítače Azure, ze kterého se připojujete:

SELECT client_net_address
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Interní připojení přes privátní peering

Když se připojíte k veřejnému endpointu z místních strojů, musíte přidat svou IP adresu do firewallu založeného na IP pomocí pravidla brány firewall na úrovni serveru. I když tento model funguje dobře pro povolení přístupu k jednotlivým počítačům pro vývojové nebo testovací úlohy, je obtížné je spravovat v produkčním prostředí.

Použitím Private Link můžete povolit cross-premises přístup k privátnímu endpointu pomocí ExpressRoute, private peeringu nebo VPN tunelování. Pak můžete zakázat veškerý přístup přes veřejný endpoint a nepoužívat bránu firewall založenou na IP k povolení jakýchkoli IP adres.

Klienti se mohou připojit k privátnímu koncovému bodu ze stejné virtuální sítě, z peerované virtuální sítě ve stejném regionu nebo přes připojení virtuální síť k virtuální síti mezi regiony. Navíc se klienti mohou připojit z místního prostředí pomocí ExpressRoute, privátního peeringu nebo VPN tunelování. Následující zjednodušený diagram znázorňuje běžné případy použití.

Kromě toho služby, které nejsou spuštěné přímo ve virtuální síti, ale jsou s ní integrované (například webové aplikace služby App Service nebo Funkce), můžou také dosáhnout privátního připojení k databázi.

Připojte se z virtuálního počítače Azure v partnersky propojené virtuální síti

Nakonfigurujte virtuální párování sítí pro navázání připojení k databázi SQL z virtuálního počítače Azure ve spárované virtuální síti.

Připojení z virtuálního počítače Azure ve virtuální síti k prostředí virtuální sítě

Nakonfigurujte připojení brány VPN mezi virtuálními sítěmi k navázání spojení s databází SQL Database z virtuálního počítače Azure umístěného v jiné oblasti nebo předplatném.

Připojení z místního prostředí přes SÍŤ VPN

Pro navázání konektivity z on-premises prostředí zvolte a implementujte jednu z následujících možností:

Zvažte i scénáře konfigurace DNS, protože plně kvalifikovaný název domény služby může být přeložen na veřejnou IP adresu.

Připojení z Azure Synapse Analytics k Azure Storage pomocí PolyBase a příkazu COPY

Použijte PolyBase a příkaz COPY k načtení dat do Azure Synapse Analytics z účtů Azure Storage. Pokud účet Azure Storage, ze kterého data načítáte, omezuje přístup pouze na sadu podsítí virtuální sítě pomocí Private Endpoints, Service Endpointů nebo firewallů založených na IP adresách, připojení z PolyBase a příkazu COPY k tomuto účtu se přeruší. Pokud chcete povolit scénáře importu i exportu pomocí Azure Synapse Analytics, které se připojují ke službě Azure Storage zabezpečené k virtuální síti, podívejte se na dopad použití koncových bodů služby virtuální sítě se službou Azure Storage.

Ochrana proti úniku dat

Exfiltrace dat nastává, když uživatel, například správce databáze, extrahuje data z jednoho systému a přesune je na jiné místo nebo systém mimo organizaci. Uživatel například přesune data do účtu úložiště vlastněného entitou jiné společnosti než Microsoft.

Představte si scénář s uživatelem se systémem SQL Server Management Studio (SSMS) uvnitř virtuálního počítače Azure, který se připojuje k databázi ve službě SQL Database. Tato databáze je v datacentru USA – západ. Následující příklad ukazuje, jak omezit přístup pomocí veřejných koncových bodů za použití síťových kontrol přístupu.

  1. Vypněte veškerý provoz služeb Azure do SQL Database přes veřejný endpoint nastavením Povolit Azure služby na VYPNUTO. Ujistěte se, že pravidla firewallu na úrovni serveru a databáze nepovolují žádné IP adresy. Pro více informací viz Azure Synapse Analytics network access controls.
  2. Povolit provoz pouze na soukromou IP adresu VM. Pro více informací viz pravidla firewallu virtuálních sítí.
  3. Na Azure VM zúžte rozsah odchozích připojení pomocí Network Security Groups (NSG) a Service Tags následovně:
    • Specifikujte pravidlo NSG pro povolení provozu pro Service Tag = SQL.WestUs - povoluje připojení pouze ke SQL databázi ve West US.
    • Specifikujte NSG pravidlo s vyšší prioritou pro zamítnutí provozu pro Service Tag = Sql - odepření spojení s SQL databází ve všech regionech.

Po dokončení této konfigurace se Azure VM může připojit pouze ke zdroji v oblasti West US. Připojení však není omezeno na jednu databázi. VM se stále může připojit k jakékoli databázi v západním regionu USA, včetně těch, které nejsou součástí předplatného. I když jste v předchozím scénáři omezili rozsah exfiltrace dat na konkrétní region, neodstranili jste ho úplně.

Použitím Private Link můžete nastavit síťové přístupové kontroly jako NSG, které omezují přístup k privátnímu koncovému bodu. Jednotlivé prostředky Azure PaaS můžete namapovat na konkrétní privátní koncové body. Škodlivý insider může přistupovat pouze k mapovanému PaaS zdroji a žádnému jinému.

Související obsah

  • Poslední aktualizace v