Microsoft Entra-Authentifizierung für Azure Synapse Analytics

Dieser Artikel bietet einen ausführlichen Überblick über die Verwendung der Microsoft Entra-Authentifizierung mit Synapse SQL in Azure Synapse Analytics.

Note

Microsoft Entra Server Principals befinden sich derzeit in der Vorschauversion für Azure Synapse Analytics.

Informationen zum Konfigurieren der Microsoft Entra-Authentifizierung finden Sie unter Konfigurieren und Verwalten der Microsoft Entra-Authentifizierung mit Azure Synapse Analytics.

Overview

Mit der Microsoft Entra ID können Sie die Identitäten von Menschen und Diensten in Ihrem Datenbestand zentral verwalten. Durch die Integration von Microsoft Entra mit Azure Synapse Analytics zur Authentifizierung können Sie das Identitäts- und Berechtigungsmanagement vereinfachen und gleichzeitig detaillierten bedingten Zugriff und Governance über Verbindungen zu Ihren Daten ermöglichen.

Die Verwendung der Microsoft Entra-Authentifizierung umfasst die folgenden Vorteile:

  • Ersetzt weniger sichere Authentifizierungsmethoden wie Benutzernamen und Passwörter.
  • Eliminiert die Verbreitung von Benutzeridentitäten auf verschiedenen Servern oder hilft, sie zu stoppen.
  • Microsoft Entra-Gruppen ermöglichen es, die Verwaltung von Datenbankberechtigungen von einzelnen Konten zu abstrahieren und in operative Gruppen einzuteilen.
  • Über eine zentrale Stelle wird eine Kennwortrotation ermöglicht.
  • Die reine Microsoft Entra-Authentifizierung bietet eine vollständige Alternative zur SQL-Authentifizierung.
  • Verwaltete Identitäten für Azure-Ressourcen machen die Speicherung von Passwörtern für Dienste, die eine Verbindung zu Ihren Datenbanken herstellen, sowie für Verbindungen von Ihren Datenbanken zu anderen Azure-Ressourcen überflüssig.
  • Ermöglicht moderne Sicherheitskontrollen, einschließlich einer starken Multi-Faktor-Authentifizierung mit einer Reihe von einfachen Verifizierungsoptionen, wie z. B. einem Telefonanruf, einer Textnachricht, einer Smartcard mit Pin oder einer Benachrichtigung über eine mobile App.
  • Die Microsoft Entra ID ermöglicht die Integration mit vielen modernen Authentifizierungsprotokollen, einschließlich OpenID Connect, OAuth2.0, eingeschränkter Kerberos-Delegierung und mehr.
  • Ermöglicht die zentrale Überwachung von Verbindungen zu Datenquellen.
  • Ermöglicht Steuerelemente für bedingten Zugriff, z. B. die Anforderung kompatibler Geräte oder Authentifizierungsmethoden für erfolgreiche Verbindungen.

Note

Die Microsoft Entra-Authentifizierung unterstützt nur Zugriffstoken, die von Microsoft Entra ID stammen und keine Zugriffstoken von Dritten. Microsoft Entra ID unterstützt auch keine Umleitung von Microsoft Entra ID-Abfragen an Endpunkte von Drittanbietern. Diese Einschränkung gilt für alle SQL-Plattformen und Betriebssysteme, die Microsoft Entra-Authentifizierung unterstützen.

Konfigurationsschritte

Die allgemeinen Schritte zur Konfiguration der Microsoft Entra-Authentifizierung sind:

  1. Erstellen und Füllen eines Microsoft Entra-Mandanten.
  2. Erstellen Sie einen Azure Synapse Arbeitsbereich oder einen eigenständigen dedizierten SQL-Pool.
  3. Weisen Sie dem Arbeitsbereich oder logischen Server einen Microsoft Entra-Administrator zu.
  4. Erstellen Sie SQL-Prinzipale in Ihrer Datenbank, die Microsoft Entra-Identitäten zugeordnet sind.
  5. Konfigurieren Sie Ihre Client-Anwendungen so, dass sie sich verbinden, indem Sie Azure Identity-Bibliotheken und Authentifizierungsmethoden verwenden.
  6. Verbinden Sie sich mit Ihrer Datenbank mit Microsoft Entra-Identitäten.

Unterstützte Identitäten und Authentifizierungsmethoden

Azure Synapse Analytics unterstützt die Verwendung der folgenden Microsoft Entra-Identitäten als Logins und Benutzer (Principals) in Synapse SQL:

  • Microsoft Entra-Benutzer: Jeder Benutzertyp in einem Microsoft-Entra-Mandanten, d. h. interne Benutzer, externe Benutzer, Gäste und Mitglieder. Mitglieder einer Active Directory-Domäne, die mit Microsoft Entra ID verbunden ist, werden ebenfalls unterstützt und können für nahtloses Single Sign-On konfiguriert werden.
  • Anwendungen: Anwendungen, die in Azure existieren, können Service Principals oder verwaltete Identitäten verwenden, um sich direkt bei Azure Synapse Analytics zu authentifizieren. Die Verwendung von verwalteten Identitäten ist vorzuziehen, da die Authentifizierung passwortlos ist und die Notwendigkeit von vom Entwickler verwalteten Zugangsdaten entfällt.
  • Microsoft-Entra-Gruppen, die die Zugriffsverwaltung in Ihrem Unternehmen vereinfachen können, indem sie den Benutzer- und Anwendungszugriff auf der Grundlage der Gruppenzugehörigkeit verwalten.

Für Benutzeridentitäten werden die folgenden Authentifizierungsmethoden unterstützt:

  • Microsoft Entra Integrated (Windows-Authentifizierung) unterstützt von Microsoft Entra Hybrid-Identitäten mit Active Directory [Verbund].
  • Microsoft Entra MFA oder Multi-Faktor-Authentifizierung, die zusätzliche Sicherheitsprüfungen über das Wissen des Benutzers hinaus erfordert.
  • Microsoft Entra Kennwortauthentifizierung, bei der die in Microsoft Entra ID gespeicherten und verwalteten Benutzeranmeldedaten verwendet werden.
  • Microsoft Entra Standard-Authentifizierung, die verschiedene Caches für Anmeldedaten auf dem Anwendungscomputer durchsucht und Benutzer-Tokens für die Authentifizierung bei SQL verwenden kann.

Für Dienst- oder Workload Identities werden die folgenden Authentifizierungsmethoden unterstützt:

  • Verwaltete Identitäten für Azure-Ressourcen, sowohl benutzer- als auch systemzugeordnet. Die verwaltete Identitätsauthentifizierung ist tokenbasiert, bei der die Identität der Ressource zugewiesen ist, die sich mit dieser authentifizieren möchte. Die Azure Identity Platform überprüft diese Beziehung, die die kennwortlose Authentifizierung ermöglicht.
  • Microsoft Entra-Dienstprinzipalname und Anwendungsgeheimnis (Client). Diese Authentifizierungsmethode wird aufgrund des Risikos, das Kennwörtern zugeordnet ist, die erraten und weitergegeben werden können, nicht empfohlen.
  • Microsoft Entra Default-Authentifizierung, die verschiedene Anmeldedaten-Caches auf dem Anwendungscomputer durchsucht und Anwendungs-Tokens für die Authentifizierung bei SQL verwenden kann.

Microsoft Entra-Administrator*in

Um die Microsoft Entra-Authentifizierung zu aktivieren, muss ein Microsoft Entra-Administrator für Ihren Azure Synapse-Arbeitsbereich oder logischen Server eingerichtet werden. Dieser Administrator existiert neben dem SQL-Administrator. Der Microsoft Entra-Administrator kann ein Benutzer, eine Gruppe, ein Service Principal oder eine verwaltete Identität in Ihrem Azure-Tenant sein. Es kann immer nur eine Identität gleichzeitig konfiguriert werden. Das Entfernen des Microsoft Entra-Administrators deaktiviert Microsoft Entra-authentifizierungsbasierte Verbindungen, selbst für bestehende Microsoft Entra-Nutzer mit Datenbankberechtigungen.

Tip

Microsoft Entra-Gruppen ermöglichen es mehreren Identitäten, als Microsoft Entra-Administrator auf dem Server zu fungieren. Wenn der Administrator auf eine Gruppe festgelegt ist, erben alle Gruppenmitglieder die Microsoft Entra-Administratorrolle. Ein Microsoft Entra-Gruppenadministrator verbessert die Verwaltbarkeit, indem die Admin-Verwaltung von Serverdatenebenenaktionen in die Microsoft Entra ID und die Hände der Gruppenbesitzer verschoben wird. Gruppen können für alle Microsoft Entra-Identitäten verwendet werden, die eine Verbindung mit SQL herstellen, sodass eine einmalige Benutzer- und Berechtigungskonfiguration auf dem Server und in Datenbanken möglich ist und die gesamte Benutzerverwaltung den Gruppen überlassen wird.

Der Microsoft Entra-Administrator spielt eine besondere Rolle: Es ist das erste Konto, das andere Microsoft Entra Anmeldungen und Benutzer erstellen kann, die gemeinsam als Prinzipale bezeichnet werden. Der Administrator ist ein eigenständiger Datenbankbenutzer in der master-Datenbank des Servers. Administratorkonten sind Mitglieder der Rolle db_owner in jeder Benutzerdatenbank, und der Zugriff auf alle Benutzerdatenbanken erfolgt als Benutzer dbo. Weitere Informationen zu Administratorkonten finden Sie unter Verwalten von Datenbanken und Anmeldungen.

Microsoft Entra-Prinzipale

Note

Microsoft Entra Server Principals (logins) befinden sich derzeit in der Vorschau für Azure Synapse Analytics.

Sie können Microsoft Entra-Identitäten als Principals in Azure Synapse Analytics auf drei Arten erstellen:

  • als Serverprinzipale oder Anmeldungen
  • als anmeldebasierte Benutzer (ein Datenbankprinzipaltyp)
  • als eingeschlossene Datenbankbenutzer

Important

Die Microsoft Entra-Authentifizierung für Azure SQL ist nicht in Azure RBAC integriert. Um Microsoft Entra-Identitäten zu verwenden, um sich mit Azure SQL zu verbinden und Abfragen auszuführen, müssen Sie diese Identitäten als Microsoft Entra-Principals in den Datenbanken erstellen, auf die sie zugreifen müssen. Die SQL Server Contributor und SQL DB Contributor Rollen sichern managementbezogene Deployment-Operationen, nicht den Zugriff auf Datenbankkonnektivität.

Logins (Server Principals) in dedizierten SQL-Pools

Server Principals (Logins) für Microsoft Entra Identitäten sind in der Vorschau für Azure Synapse Analytics dedicated SQL Pools.

Die folgende T-SQL zeigt, wie Sie eine Microsoft Entra-Anmeldung erstellen:

CREATE LOGIN [MSEntraUser] FROM EXTERNAL PROVIDER

Eine Microsoft Entra-Anmeldung weist die folgenden Eigenschaftswerte in sys.server_principals auf:

Property Wert
SID (Sicherheitsbezeichner) Binäre Darstellung der Objekt-ID der Microsoft Entra-Identität
Typ E = Externe Anmeldung oder Anwendung von Microsoft Entra ID
X = Externe Gruppe von Microsoft Entra ID
Typbeschreibung EXTERNAL_LOGIN für die Microsoft Entra-Anmeldung oder -App
EXTERNAL_GROUP für die Microsoft Entra-Gruppe

Anmeldungsbasierte Benutzer

Anmeldebasierte Benutzer erben die Rollen und Berechtigungen auf Serverebene, die der Microsoft Entra-Anmeldung zugewiesen sind.

Die folgende T-SQL zeigt, wie Sie einen anmeldebasierten Benutzer für eine Microsoft Entra-Identität erstellen:

CREATE USER [MSEntraUser] FROM LOGIN [MSEntraUser]

In der folgenden Tabelle werden die Microsoft-Entra-anmeldebasierten Benutzereigenschaftswerte in sys.database_principals aufgezeigt.

Property Wert
SID (Sicherheitsbezeichner) Binäre Darstellung der Objekt-ID der Microsoft Entra-Identität plus „AADE“
Typ E = Externe Anmeldung oder Anwendung von Microsoft Entra ID
X = Externe Gruppe von Microsoft Entra ID
Typbeschreibung EXTERNAL_LOGIN für die Microsoft Entra-Anmeldung oder -App
EXTERNAL_GROUP für die Microsoft Entra-Gruppe

Eingeschlossene Datenbankbenutzer

In einem Containment enthaltene Datenbankbenutzer sind mit der Datenbank übertragbar. Sie haben keine Verbindungen zu Identitäten, die im Server oder in der Instanz definiert sind, und man kann sie problemlos mit der Datenbank von einem Server oder einer Instanz zur anderen verschieben, ohne Unterbrechung.

Die folgende T-SQL zeigt, wie ein eigenständiger Datenbankbenutzer für eine Microsoft Entra-Identität erstellt wird:

CREATE USER [MSEntraUser] FROM EXTERNAL PROVIDER

Ein datenbankbasierter Microsoft Entra-Benutzer hat dieselben Eigenschaftswerte wie anmeldebasierte Benutzer in sys.database_principals, mit Ausnahme der SID Konstruktion:

Property Wert
SID (Sicherheitsbezeichner) Binäre Darstellung der Objekt-ID der Microsoft Entra-Identität
Typ E = Externe Anmeldung oder Anwendung von Microsoft Entra ID
X = Externe Gruppe von Microsoft Entra ID
Typbeschreibung EXTERNAL_LOGIN für die Microsoft Entra-Anmeldung oder -App
EXTERNAL_GROUP für die Microsoft Entra-Gruppe

Um die ursprüngliche Microsoft Entra GUID zu erhalten, auf der die SID basiert, verwenden Sie die folgende T-SQL-Konvertierung:

SELECT CAST(sid AS UNIQUEIDENTIFIER) AS EntraID FROM sys.database_principals

Achtung

Sie könnten unbeabsichtigt einen eigenständigen Microsoft Entra-Datenbankbenutzer mit demselben Namen wie ein Microsoft Entra-Login auf Server- oder Instanzebene erstellen. Da die Prinzipale nicht miteinander verbunden sind, erbt der Datenbankbenutzer keine Berechtigungen vom Server-Login. Identitäten können bei Verbindungsanfragen vermischt werden, was zu undefiniertem Verhalten führt.

Verwenden Sie die folgende T-SQL-Abfrage, um zu ermitteln, ob ein Datenbankbenutzer ein anmeldebasierter Benutzer oder ein eigenständiger Datenbankbenutzer ist:

SELECT CASE
    WHEN CONVERT(VARCHAR(100), sid, 2) LIKE '%AADE' AND len(sid) = 18 THEN 'login-based user'
    ELSE 'contained database user'
    END AS user_type,
    *
FROM sys.database_principals WHERE TYPE = 'E' OR TYPE = 'X'

Verwenden Sie die folgende T-SQL-Abfrage, um alle Microsoft Entra-Prinzipale in einer Datenbank anzuzeigen:

SELECT
  name,
  CAST(sid AS UNIQUEIDENTIFIER) AS EntraID,
  CASE WHEN TYPE = 'E' THEN 'App/User' ELSE 'Group' AS user_type,
  sid
FROM sys.database_principals WHERE TYPE = 'E' OR TYPE = 'X'

Reine Microsoft Entra-Authentifizierung

Wenn Sie die Microsoft Entra-only Authentifizierung aktivieren, deaktivieren Sie die SQL-Authentifizierung. Du kannst keine SQL-Authentifizierung verwenden, um dich mit dem Arbeitsbereich, SQL-Pool oder der Datenbank zu verbinden.

Um zu starten, siehe Microsoft Entra-only Authentifizierung konfigurieren.

Multi-Faktor-Authentifizierung (MFA)

Die Multi-Faktor-Authentifizierung von Microsoft Entra ist ein Sicherheitsfeature, das vom cloudbasierten Identitäts- und Zugriffsverwaltungsdienst von Microsoft bereitgestellt wird. Die Multi-Faktor-Authentifizierung erhöht die Sicherheit von Benutzeranmeldungen, indem Benutzer zusätzliche Überprüfungsschritte über ein Kennwort hinaus bereitstellen müssen.

Die Multi-Faktor-Authentifizierung von Microsoft Entra trägt zum Schutz des Zugriffs auf Daten und Anwendungen bei und bietet gleichzeitig ein einfaches Anmeldeverfahren für Benutzer. MFA fügt Benutzeranmeldungen eine zusätzliche Sicherheitsebene hinzu, da Benutzer zwei oder mehr Authentifizierungsfaktoren angeben müssen. Zu diesen Faktoren gehören in der Regel etwas, das der Benutzer weiß (Kennwort), etwas, das der Benutzer besitzt (Smartphone oder Hardwaretoken) und/oder etwas, was der Benutzer ist (biometrische Daten). Durch die Kombination mehrerer Faktoren reduziert MFA die Wahrscheinlichkeit eines nicht autorisierten Zugriffs erheblich.

Multifaktor-Authentifizierung ist eine unterstützte Authentifizierungsmethode für Azure Synapse Analytics.

Um zu starten, siehe Microsoft Entra Multifaktor-Authentifizierung konfigurieren.

Microsoft Entra B2B-Unterstützung

Die Microsoft Entra-Authentifizierung in allen SQL-Produkten unterstützt auch den Dienst Microsoft Entra B2B Collaboration, mit dem Unternehmen Gastbenutzer zur Zusammenarbeit mit ihrer Organisation einladen können. Gastbenutzer können entweder als einzelne Benutzer oder als Mitglieder einer Microsoft Entra-Gruppe eine Verbindung mit Datenbanken herstellen.

Vertrauensarchitektur für die Microsoft Entra-Föderation mit Active Directory

Microsoft Entra ID ist auch in vertraute Identitäts- und Zugriffsverwaltungslösungen wie Active Directory integriert. Durch den hybriden Beitritt zu Ihrem lokales Active Directory ermöglichen Sie Windows-Identitäten, die über Microsoft Entra ID föderiert sind, die Verwendung von Single Sign-On-Anmeldedaten, um sich mit Azure Synapse Analytics zu verbinden.

Für die Föderation stellt die Microsoft Entra ID zwei sichere Authentifizierungsmethoden bereit: Passthrough- und Kennwort-Hash-Authentifizierung. Wenn Sie erwägen, Ihr lokales Active Directory mit der Microsoft Entra ID zu verbinden, lesen Sie die Wählen Sie die richtige Authentifizierungsmethode für Ihre hybride Identitätslösung von Microsoft Entra.

Weitere Informationen zur Einrichtung und Synchronisierung von Microsoft Entra-Hybrididentitäten finden Sie in den folgenden Artikeln:

Die Microsoft Entra ID authentifiziert das Token und die Datenbank vertraut ihm und überprüft den Aussteller und andere Details. Kunde 1 kann Microsoft Entra ID mit nativen Benutzern oder Microsoft Entra ID mit Verbundbenutzern darstellen. Kunde 2 stellt eine mögliche Lösung mit importierten Benutzern dar. In diesem Beispiel stammen diese aus Microsoft Entra ID im Verbund, wobei ADFS mit Microsoft Entra ID synchronisiert wird. Es ist wichtig zu verstehen, dass für den Zugriff auf eine Datenbank mittels Microsoft Entra-Authentifizierung erforderlich ist, dass das Hosting-Abonnement mit der Microsoft Entra ID verknüpft ist. Sie müssen dasselbe Abonnement verwenden, um die Azure SQL- oder Azure Synapse-Ressourcen zu erstellen.

Erlaubnisse

Berechtigungen, die dem Microsoft Entra-Administrator zugewiesen werden, unterscheiden sich von denen, die anderen Sicherheitsprinzipalen in Azure Synapse Analytics zugewiesen werden. In einigen Szenarien benötigt Azure Synapse Analytics auch Microsoft Graph-Berechtigungen, um Microsoft Entra-Authentifizierung zu verwenden.

Administrator-berechtigungen

Die folgenden Berechtigungen und Rollen werden dem Microsoft Entra-Administrator bei der Erstellung zugewiesen:

  • der db_owner jeder Datenbank

Azure Synapse Analytics-Berechtigungen

Ein Prinzipal benötigt die ALTER ANY USER-Berechtigung in der Datenbank, um einen Benutzer zu erstellen.

Standardmäßig haben Serveradministrator-Konten, Datenbankbenutzer mit CONTROL ON DATABASEund Mitglieder der db_owner Datenbankrolle die Berechtigung ALTER ANY USER .

Um einen Microsoft Entra-Principal in Azure SQL zu erstellen, muss die anfordernde Identität Microsoft Graph nach Details zum Principal anfragen. Bei der Erstbereitstellung ist die einzige Identität, die Microsoft Graph abfragen kann, der Microsoft Entra-Administrator. Daher muss der Administrator die erste Identität sein, die andere Microsoft Entra-Sicherheitsprinzipale erstellt. Danach kann der Administrator ALTER ANY USER anderen Principals zuweisen, damit sie weitere Microsoft Entra Principals erstellen können.

Zero-Touch-Bereitstellungen mit Microsoft Entra-Authentifizierung

Da der Microsoft Entra-Administrator die erste Identität sein muss, die sich mit der Datenbank verbindet und weitere Microsoft Entra-Benutzer erstellt, kann es hilfreich sein, die Identität Ihrer Bereitstellungsinfrastruktur als Administrator anzugeben. Ihre Bereitstellungen können dann initiale Konfigurationen durchführen, wie beispielsweise das Erstellen anderer Microsoft Entra-Prinzipale und das Zuweisen von Berechtigungen. Für Deployments verwenden Sie Tools wie PowerShell ARM-Vorlagen, um die automatisierte Erstellung von Dienstprinzipalen zu skripten. Azure SQL unterstützt heute keine nativen APIs, um Benutzererstellung und Berechtigungsverwaltung zu konfigurieren. Diese Operationen können Sie nur über eine direkte Verbindung zur SQL-Instanz durchführen.

Microsoft Graph-Berechtigungen

Zum Erstellen von Microsoft Entra-Prinzipalen und einigen anderen Szenarien muss Azure SQL Microsoft Graph-Aufrufe ausführen, um Informationen abzurufen und das Vorhandensein der Identität in Microsoft Entra ID zu überprüfen. Dazu muss der SQL-Prozess Zugriff auf Microsoft Graph-Leseberechtigungen innerhalb des Kunden-Tenants haben oder erhalten. Diesen Zugriff können Sie auf verschiedene Weise erhalten:

  • Wenn der SQL-Prinzipal, der den Befehl ausführt, eine Benutzeridentität ist, müssen Sie der SQL-Instanz keine zusätzlichen Berechtigungen erteilen, um Microsoft Graph abzufragen.
  • Wenn der SQL-Prinzipal, der den Befehl ausführt, eine Service-Identität ist, wie ein Service-Principal oder eine verwaltete Identität, benötigt die Azure SQL-Instanz eigene Berechtigungen, um Microsoft Graph abzufragen.
    • Weisen Sie der primären Serveridentität (verwaltete Identität) des logischen Servers oder der verwalteten Instanz Anwendungsberechtigungen zu. Der SQL-Prozess kann die primäre Serveridentität verwenden, um sich bei anderen Azure-Diensten in einem Tenant, wie z. B. Microsoft Graph, zu authentifizieren. Die folgende Tabelle erklärt verschiedene Szenarien und die Microsoft Graph-Berechtigungen, die für die erfolgreiche Ausführung des Befehls erforderlich sind.
Scenario Mindestberechtigung
CREATE USERoder CREATE LOGIN für einen Microsoft Entra Service Principal oder eine verwaltete Identität Application.Read.All
CREATE USERoder CREATE LOGIN für einen Microsoft Entra-Nutzer User.Read.All
CREATE USERoder CREATE LOGIN für eine Microsoft Entra-Gruppe Gruppenmitglied.Lesen.Alles

Tip

Die Rolle Verzeichnisleser ist die kleinste Rolle, die Sie einer Identität zuweisen können, und deckt alle erforderlichen Berechtigungen ab. Durch die Nutzung von Rollen können Sie Rollen Microsoft Entra-Sicherheitsgruppen zuweisen, wodurch die Verwaltung von einzelnen Entitäten auf konzeptionelle Gruppen verlagert wird.

Tool-Unterstützung

SQL Server Management Studio (SSMS) unterstützt eine Reihe von Microsoft Entra-Authentifizierungsoptionen, einschließlich Multi-Faktor-Authentifizierung.

SQL Server Data Tools (SSDT) für Visual Studio, beginnend mit 2015, unterstützt Passwort, integrierte und interaktive Authentifizierung mit Microsoft Entra ID. Weitere Informationen finden Sie unter Microsoft Entra ID-Unterstützung in SQL Server Data Tools (SSDT).

  • Derzeit zeigt der SSDT Objekt-Explorer keine Microsoft Entra-Nutzer an. Sie können die Benutzer in sys.database_principals anzeigen, um dieses Problem zu umgehen.

Mindestversionen

Um Microsoft Entra-Authentifizierung mit Azure Synapse Analytics zu verwenden, benötigen Sie bei der Nutzung dieser Tools die folgenden Mindestversionen:

Mit Microsoft Entra eine Verbindung mit Azure Synapse Analytics herstellen

Nachdem Sie die Microsoft Entra-Authentifizierung für Ihre Azure SQL-Ressource konfiguriert haben, können Sie sich über SQL Server Management Studio, SQL Server Data Tools und eine Client-Anwendung verbinden.

Einschränkungen

Bei der Verwendung der Microsoft Entra-Authentifizierung mit Azure Synapse Analytics sollten Sie folgende Einschränkungen berücksichtigen:

  • Microsoft Entra-Benutzer und Dienstprinzipale (Microsoft Entra-Anwendungen), die Mitglieder von mehr als 2048 Microsoft Entra-Sicherheitsgruppen sind, werden nicht unterstützt und können sich nicht bei der Datenbank anmelden.

  • Die folgenden Systemfunktionen werden nicht unterstützt und geben NULL Werte zurück, wenn sie von Microsoft Entra-Entitäten ausgeführt werden.

    • SUSER_ID()
    • SUSER_NAME(<ID>)
    • SUSER_SNAME(<SID>)
    • SUSER_ID(<name>)
    • SUSER_SID(<name>)

  • Es wird empfohlen, das Verbindungstimeout auf 30 Sekunden festzulegen.

  • Microsoft Entra-Nutzer, die Teil einer Gruppe sind, die zur db_owner Datenbankrolle gehört, könnten beim Versuch, CREATE DATABASE SCOPED CREDENTIAL in Azure Synapse Analytics zu verwenden, folgenden Fehler sehen:

    SQL Error [2760] [S0001]: The specified schema name 'user@mydomain.com' either doesn't exist or you do not have permission to use it.

    Um das CREATE DATABASE SCOPED CREDENTIAL Problem zu beheben, fügen Sie die Identität des Microsoft Entra-Benutzers direkt zur db_owner Rolle hinzu.

  • Azure Synapse Analytics erstellt keine impliziten Nutzer für Nutzer, die sich über die Microsoft Entra-Gruppenmitgliedschaft angemeldet haben. Deshalb können Operationen, die das Zuweisen des Besitzers erfordern, scheitern, selbst wenn die Microsoft Entra-Gruppe Mitglied einer Rolle mit diesen Berechtigungen ist.

    Beispielsweise kann ein Benutzer, der über eine Microsoft Entra-Gruppe mit der Rolle db_ddladmin bei einer Datenbank angemeldet ist, CREATE SCHEMA keine Anweisungen zur Objekterstellung und andere Objekterstellungsanweisungen wie ALTER SCHEMA ohne ein explizit definiertes Schema (wie z. B. Tabelle, Ansicht oder Typ) ausführen. Um dies zu beheben, muss ein Microsoft Entra-Benutzer für diesen Benutzer erstellt werden, oder die Microsoft Entra-Gruppe muss so geändert werden, dass ein DEFAULT_SCHEMA wie ein dbo zugewiesen wird.

  • Das Entfernen des Microsoft Entra-Administrators verhindert Microsoft Entra-Authentifizierungsverbindungen.

Verwandte Inhalte

  • Zuletzt aktualisiert um