Microsoft Entra-only authentication with Azure Synapse Analytics

Durch die Verwendung von Microsoft Entra-only Authentifizierung können Sie Azure Synapse Analytics so konfigurieren, dass es nur Microsoft Entra-Authentifizierung unterstützt.

Hinweis

Microsoft Entra Server Principals befinden sich derzeit in der Vorschauversion für Azure Synapse Analytics.

Microsoft Entra-only Authentifizierung ist für eigenständige dedizierte SQL-Pools und Azure Synapse-Arbeitsbereiche verfügbar. Zur Konfiguration des Arbeitsbereichs siehe Deaktivieren der lokalen Authentifizierung. Dedizierte SQL-Pools in Azure Synapse Analytics-Arbeitsbereichen verwenden keine logischen SQL-Server.

Wenn Sie Microsoft Entra-only Authentifizierung aktivieren, deaktivieren Sie die SQL-Authentifizierung, einschließlich Verbindungen von SQL-Administratoren, Logins und Benutzern. Nur Nutzer, die die Microsoft Entra-Authentifizierung nutzen, können sich verbinden.

Für einen eigenständigen dedizierten SQL-Pool können Sie die Microsoft Entra-only Authentifizierung über das Azure-Portal, die Azure CLI, PowerShell oder die REST API aktivieren oder deaktivieren. Sie können es auch während der Erstellung des logischen Servers mit einer Azure Resource Manager (ARM)-Vorlage konfigurieren.

Weitere Informationen finden Sie unter Authentifizierung und Autorisierung.

Funktionsbeschreibung

Wenn Sie die Microsoft Entra-only Authentifizierung aktivieren, deaktivieren Sie die SQL-Authentifizierung für den Arbeitsbereich oder den logischen Server. Obwohl die SQL-Authentifizierung deaktiviert ist, können Microsoft Entra-Konten mit den entsprechenden Berechtigungen weiterhin neue SQL-Authentifizierungsanmeldungen und Nutzer erstellen. Neu erstellte Konten für die SQL-Authentifizierung können keine Verbindung herstellen. Durch das Aktivieren der reinen Microsoft Entra-Authentifizierung werden keine vorhandenen Anmeldungen und Benutzerkonten für die SQL-Authentifizierung entfernt. Die Funktion verhindert nur, dass diese Konten sich mit dem Server und einer für diesen Server erstellten Datenbanken verbinden.

Erlaubnisse

Microsoft Entra-Nutzer, die Mitglieder hochprivilegierter integrierter Microsoft Entra-Rollen wie Besitzer und Mitwirkende sind, können die Microsoft Entra-Only-Authentifizierung aktivieren oder deaktivieren. Außerdem kann die Rolle SQL Security Manager die Microsoft Entra-only Authentifizierungsfunktion aktivieren oder deaktivieren.

Die Rolle SQL Server Contributor hat keine Berechtigung, Microsoft Entra-only Authentifizierung zu aktivieren oder zu deaktivieren. Diese Einschränkung entspricht der Aufgabentrennung: Benutzer, die einen logischen Server erstellen können oder Microsoft Entra-Administratoren sind, können Sicherheitsfunktionen nicht unbedingt aktivieren oder deaktivieren.

Erforderliche Aktionen

Der Rolle SQL-Sicherheits-Manager werden folgende Aktionen hinzugefügt, um die Verwaltung der reinen Microsoft Entra-Authentifizierung zu ermöglichen:

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read - nur erforderlich für Nutzer, die auf das Menü Microsoft Entra ID im Azure-Portal zugreifen

Sie können diese Aktionen auch einer benutzerdefinierten Rolle hinzufügen, um die Microsoft Entra-Only-Authentifizierung zu verwalten. Weitere Informationen finden Sie unter Erstellen und Zuweisen einer benutzerdefinierten Rolle in Microsoft Entra ID.

Die reine Microsoft Entra-Authentifizierung mithilfe von APIs verwalten

Important

Sie müssen den Microsoft Entra-Administrator festlegen, bevor Sie die Microsoft Entra-only-Authentifizierung aktivieren.

Sie benötigen mindestens die Azure CLI-Version 2.14.2.

name entspricht dem Präfix des logischen Servernamens (zum Beispiel myserver) und resource-group entspricht der Ressourcengruppe (zum Beispiel myresource).

Eigenständiger dedizierter SQL-Pool

Weitere Informationen finden Sie unter az sql server ad-only-auth.

Aktivieren oder Deaktivieren

Aktivieren

az sql server ad-only-auth enable --resource-group myresource --name myserver

Deaktivieren

az sql server ad-only-auth disable --resource-group myresource --name myserver

Überprüfen Sie den Status

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Du brauchst das Modul Az.Sql 2.10.0 oder höher.

ServerName entspricht dem Präfix des logischen Servernamens (zum Beispiel myserver) und ResourceGroupName entspricht der Ressourcengruppe (zum Beispiel myresource).

Eigenständiger dedizierter SQL-Pool

Aktivieren oder Deaktivieren

Aktivieren

Weitere Informationen finden Sie unter Enable-AzSqlServerActiveDirectoryOnlyAuthentication. Sie können auch get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full ausführen.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Sie können auch den folgenden Befehl verwenden:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Deaktivieren

Weitere Informationen finden Sie unter Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Überprüfen Sie den Status

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Sie können auch den folgenden Befehl verwenden:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST-API

Definieren Sie die folgenden Parameter:

• Finden <subscriptionId> Sie, indem Sie im Azure-Portal zu Abonnements gehen.
• <myserver> ist das Präfix des logischen Servernamens.
• <myresource> ist die Ressource.

Um das neueste MSAL zu verwenden, laden Sie es von MSAL.PS auf PowerShell-Katalog herunter.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

Eigenständiger dedizierter SQL-Pool

Weitere Informationen finden Sie in der REST-API-Dokumentation unter Reine Azure AD-Authentifizierungen für Server.

Aktivieren oder Deaktivieren

Aktivieren

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Deaktivieren

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Überprüfen Sie den Status

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

ARM-Vorlage

• Geben Sie den Microsoft Entra-Administrator für die Bereitstellung ein. Finden Sie die Benutzerobjekt-ID, indem Sie zum Azure-Portal gehen und zu Ihrer Microsoft Entra ID-Ressource navigieren. Wählen Sie unter Verwalten die Option Benutzer aus. Suchen Sie nach dem Benutzer, den Sie als Administrator für Ihren logischen Server festlegen möchten. Wählen Sie den Benutzer aus und notieren Sie auf der Profilseite die Objekt-ID.
• Finden Sie die Tenant-ID auf der Übersichtsseite Ihrer Microsoft Entra ID-Ressource.

Eigenständiger dedizierter SQL-Pool

Enable

Die folgende ARM-Vorlage ermöglicht eine ausschließlich Microsoft Entra-Authentifizierung auf dem logischen Server für einen eigenständigen dedizierten SQL-Pool. Wenn Sie die reine Microsoft Entra-Authentifizierung deaktivieren möchten, legen Sie die Eigenschaft azureADOnlyAuthentication auf false fest.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Weitere Informationen finden Sie unter Microsoft.Sql servers/azureADOnlyAuthentications.

Die reine Microsoft Entra-Authentifizierung mithilfe von T-SQL überprüfen

Verwenden Sie die Funktion SERVERPROPERTY,IsExternalAuthenticationOnly um zu prüfen, ob Microsoft Entra-only Authentifizierung für Ihren logischen Server aktiviert ist. 1 zeigt an, dass die Funktion aktiviert ist, und 0 dass sie deaktiviert ist.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Systemgeneriertes Serveradministratorkonto

Wenn Sie einen logischen Server mit aktivierter Microsoft Entra-Authentifizierung erstellen, generiert der Dienst einen Serveradministratornamen und ein zufälliges Passwort. Der generierte Name beginnt mit CloudSA gefolgt von einer zufälligen Zeichenkette und erscheint im Azure-Portal als Server-Admin-Login.

Das Konto existiert, um die Provisionierung zu erfüllen, nicht um eine Möglichkeit zur Verbindung zu bieten. Die Bereitstellung eines der beiden Ressourcentypen erfordert weiterhin SQL-Authentifizierungsadministratorwerte. Die Nur-Microsoft-Entra-Authentifizierung ändert, mit welchen Authentifizierungsmethoden nach der Bereitstellung eine Verbindung hergestellt werden kann, hebt diese Bereitstellungsanforderung jedoch nicht auf, sodass der Dienst die dafür erforderlichen Werte generiert.

Ein generierter Name zu sehen bedeutet nicht, dass die SQL-Authentifizierung aktiviert ist. Während Microsoft Entra-only Authentifizierung aktiviert ist:

• Kein SQL-Authentifizierungskonto kann sich verbinden, einschließlich des systemgenerierten Administrators.
• Das generierte Konto ist weder ein gemeinsam genutztes Konto noch eine Ausweichoption oder ein Notfallzugang.
• Anwendungen und Administratoren müssen Microsoft Entra-Authentifizierung verwenden, um sich zu verbinden.
• Der Microsoft Entra-Administrator und andere autorisierte Microsoft Entra-Verantwortliche bleiben die unterstützten Verwaltungspfade.
• Der Dienst entfernt das Passwort nach der Bereitstellung dauerhaft aus der Kontrollebene.

Bemerkungen

• Ein SQL Server-Mitwirkender kann einen Microsoft Entra-Administrator festlegen oder entfernen, jedoch nicht die Einstellung für die reine Microsoft Entra-Authentifizierung festlegen. Ein SQL-Sicherheitsmanger kann einen Microsoft Entra-Administrator festlegen oder entfernen, jedoch nicht die Einstellung für die reine Microsoft Entra-Authentifizierung festlegen. Nur Konten mit höheren Azure RBAC-Rollen oder benutzerdefinierten Rollen, die beide Berechtigungen enthalten, können einen Microsoft Entra-Administrator festlegen oder entfernen und die Einstellung Reine Microsoft Entra-Authentifizierung festlegen. Hierzu zählt unter anderem die Rolle Mitwirkender.
• Nach dem Aktivieren oder Deaktivieren der nur Microsoft Entra-Authentifizierung im Azure-Portal erscheint ein Aktivitätsprotokolleintrag.
• Die Einstellung Reine Microsoft Entra-Authentifizierung kann nur von Benutzern mit den passenden Berechtigungen aktiviert oder deaktiviert werden, wenn der Microsoft Entra-Administrator angegeben ist. Wenn der Microsoft Entra-Administrator nicht festgelegt ist, bleibt die Einstellung für die Microsoft Entra-Authentifizierung nur inaktiv und kann nicht aktiviert oder deaktiviert werden. Die Verwendung von APIs zum Aktivieren der reinen Microsoft Entra-Authentifizierung schlägt auch fehl, wenn der Microsoft Entra-Administrator nicht festgelegt wurde.
• Das Ändern eines Microsoft Entra-Administrators bei aktivierter ausschließlicher Microsoft Entra-Authentifizierung wird für Benutzer mit den entsprechenden Berechtigungen unterstützt.
• Über das Azure-Portal können Benutzer mit entsprechenden Berechtigungen den Microsoft Entra-Administrator ändern und die reine Microsoft Entra-Authentifizierung aktivieren oder deaktivieren. Beide Vorgänge können im Azure-Portal mit einem Klick auf Speichern abgeschlossen werden. Der Microsoft Entra-Administrator muss für den Server festgelegt werden, bevor die reine Microsoft Entra-Authentifizierung aktiviert werden kann.
• Das Entfernen eines Microsoft Entra-Administrators, wenn die Funktion der reinen Microsoft Entra-Authentifizierung aktiviert ist, wird nicht unterstützt. Die Verwendung von APIs zum Entfernen eines Microsoft Entra-Administrators schlägt fehl, wenn die reine Microsoft Entra-Authentifizierung aktiviert ist.
  • Wenn die Einstellung Reine Microsoft Entra-Authentifizierung aktiviert ist, ist die Schaltfläche Administrator entfernen im Azure-Portal inaktiv.
• Das Entfernen eines Microsoft Entra-Administrators und das Deaktivieren der Einstellung Nur Microsoft Entra-Authentifizierung sind zulässig, erfordern zum Ausführen der Vorgänge jedoch die entsprechende Benutzerberechtigung. Beide Vorgänge können im Azure-Portal mit einem Klick auf Speichern abgeschlossen werden.
• Microsoft Entra-Benutzer mit entsprechenden Berechtigungen können die Identität vorhandener SQL-Benutzer annehmen.
  • Der Identitätswechsel funktioniert weiterhin zwischen SQL-Authentifizierungsbenutzern, selbst wenn die ausschließliche Microsoft Entra-Authentifizierung aktiviert ist.

Verwandte Inhalte

• Verwenden Sie Microsoft Entra-Authentifizierung mit Synapse SQL
• Microsoft Entra authentication for Azure Synapse Analytics