Azure Synapse Analytics Netzwerkzugriffssteuerungen

Tip

Microsoft Fabric Data Warehouse ist ein relationales Enterprise-Warehouse auf einem Data Lake-Fundament mit zukunftsfähiger Architektur, integrierter KI und neuen Features. Wenn Sie mit Data Warehouse noch nicht vertraut sind, beginnen Sie mit Fabric Data Warehouse. Vorhandene dedizierte SQL-Pool-Workloads können auf Fabric aktualisieren, um neue Funktionen in den Bereichen Data Science, Echtzeitanalyse und Berichterstellung zu nutzen.

Azure Synapse Analytics bietet öffentliche und private Netzwerkzugangskontrollen für Synapse SQL. Die verfügbaren Steuerungen hängen davon ab, ob sich der SQL-Pool in einem Synapse-Arbeitsbereich befindet oder ein eigenständiger dedizierter SQL-Pool (früher SQL DW) ist.

Wenn Sie einen neuen SQL-Server für Azure Synapse Analytics erstellen, erhalten Sie einen öffentlichen Endpunkt im Format: yourservername.database.windows.net. Standardmäßig verweigert der logische Server alle Verbindungen, um die Sicherheit zu gewährleisten. Verwenden Sie eine oder mehrere der folgenden Netzwerkzugriffskontrollen, um selektiv Zugriff auf eine Datenbank über den öffentlichen Endpunkt zu ermöglichen:

  • IP-Firewallregeln: Verwenden Sie dieses Feature, um Verbindungen von einer bestimmten IP-Adresse explizit zuzulassen. Zum Beispiel kann man On-Premises-Maschinen oder eine Reihe von IP-Adressen erlauben, indem man Start- und End-IP-Adresse angibt.

  • Erlauben Sie Azure-Diensten und -Ressourcen, auf diesen Server zuzugreifen: Wenn aktiviert, können andere Dienste und Ressourcen innerhalb der Azure-Grenze auf den Server zugreifen.

Sie können den privaten Zugriff auf die Datenbank über virtuelle Netzwerke auch wie folgt zulassen:

  • Firewallregeln für virtuelle Netzwerke: Verwenden Sie dieses Feature, um Datenverkehr von einem bestimmten virtuellen Netzwerk innerhalb der Azure-Grenze zuzulassen.

  • Private Link: Nutzen Sie diese Funktion, um einen privaten Endpunkt für den SQL-Server innerhalb eines bestimmten virtuellen Netzwerks zu erstellen.

IP-Firewallregeln

IP-basierte Firewall-Regeln sind eine Funktion des logischen Servers in Azure, die jeglichen Zugriff auf Ihren Server verhindert, bis Sie explizit IP-Adressen der Client-Rechner hinzufügen.

Es gibt zwei Arten von Firewallregeln:

  • Firewallregeln auf Serverebene: Diese Regeln gelten für alle Datenbanken auf dem Server. Sie können sie über das Azure Portal, PowerShell oder T-SQL-Befehle wie sp_set_firewall_rule konfigurieren.
  • Datenbankebene Firewall-Regeln: Diese Regeln gelten für einzelne Datenbanken und können nur mit T-SQL-Befehlen wie sp_set_database_firewall_rule konfiguriert werden.

Die folgenden Einschränkungen gelten für die Benennung von Firewall-Regeln:

  • Der Name der Firewallregel darf nicht leer sein.
  • Sie darf die folgenden Zeichen nicht enthalten: <, >, *, %, &, :, \\, /, ?.
  • Er darf nicht mit einem Punkt (.) enden.
  • Der Name der Firewallregel darf 128 Zeichen nicht überschreiten.

Wenn du versuchst, Firewall-Regeln zu erstellen, die diese Einschränkungen nicht erfüllen, erhältst du eine Fehlermeldung. Es kann bis zu fünf Minuten dauern, bis Änderungen an bestehenden IP-basierten Firewall-Regeln in Kraft treten.

SQL-Pools in einem Synapse-Arbeitsbereich

Ein Synapse-Arbeitsbereich stellt dediziertes SQL, serverloses SQL und Entwicklungsendpunkte bereit. Arbeitsbereichs-Netzwerkeinstellungen schützen diese Endpunkte zusammen.

  • IP-Firewall-Regeln erlauben öffentliche Verbindungen von bestimmten Client-IPv4-Adressen oder -Bereichen. Workspace-Firewall-Regeln gelten für dediziertes SQL, serverloses SQL und Entwicklungs-Endpunkte. Synapse-Arbeitsbereiche unterstützen nur Regeln auf Serverebene, keine Firewallregeln auf Datenbankebene. Für Konfigurationsschritte, siehe Azure Synapse Analytics IP firewall rules.
  • Die Option Erlauben Sie Azure-Diensten und -Ressourcen, auf diesen Arbeitsbereich zuzugreifen ermöglicht Verbindungen von Azure-Ressourcen außerhalb Ihres Abonnements. Aktivieren Sie sie nur, wenn erforderlich, und verwenden Sie Datenbank-Authentifizierung und Autorisierung, um den Zugriff einzuschränken.
  • Der öffentliche Netzwerkzugang bestimmt, ob der Arbeitsbereich Verkehr von öffentlichen Netzwerken akzeptiert. Wenn der öffentliche Netzwerkzugang deaktiviert ist, müssen Clients private Endpunkte verwenden. Weitere Informationen finden Sie unter Azure Synapse Analytics Verbindungseinstellungen.
  • Private Endpunkte weisen dem dedizierten SQL-, serverlosen SQL- oder Entwicklungsendpunkt des Arbeitsbereichs private IP-Adressen in Ihrem virtuellen Netzwerk zu. Für weitere Informationen siehe Azure Private Link for Azure Synapse Analytics.
  • Verwaltete private Endpunkte bieten ausgehende private Verbindungen von einem verwalteten Arbeitsbereich-Virtualnetzwerk zu genehmigten Azure-Ressourcen. Weitere Informationen finden Sie unter Azure Synapse Analytics managed private endpoints.

Eigenständige, dedizierte SQL-Pools

Ein eigenständiger dedizierter SQL-Pool wird von einem logischen Server gehostet. Der logische Server verweigert öffentliche Verbindungen, bis du den Zugriff konfiguriert hast.

  • IP-Firewall-Regeln erlauben ausgewählte öffentliche Client-Adressen oder -bereiche. Für Konfigurationsschritte siehe Azure Synapse IP firewall rules.
  • Erlauben Sie Azure-Diensten und -Ressourcen, auf diesen Server zuzugreifen erstellt eine Regel auf Serverebene von 0.0.0.0 bis 0.0.0.0. Diese Einstellung erlaubt Verbindungen von Azure-Ressourcen außerhalb Ihres Abonnements, also aktivieren Sie sie nur, wenn sie benötigt wird.
  • Virtuelle Netzwerkregeln erlauben den Datenverkehr von ausgewählten virtuellen Netzwerksubnetzen über Service-Endpunkte. Virtuelle Netzwerk-Service-Endpunkte und -Regeln sind einfachere Alternativen, um Zugriff von einem bestimmten Subnetz aus zu etablieren und zu verwalten, das Ihre VMs enthält.
  • Private Link macht den logischen Server über einen privaten Endpunkt in Ihrem virtuellen Netzwerk verfügbar. Ein privater Endpunkt ist eine private IP-Adresse in einem bestimmten virtuellen Netzwerk und Subnetz.
  • Der öffentliche Netzzugang kann nach der Konfiguration der privaten Konnektivität deaktiviert werden. Wenn deaktiviert, erlauben Firewall- und virtuelle Netzwerkregeln keine öffentlichen Verbindungen.

SQL-Diensttag

Du kannst Service-Tags in Sicherheitsregeln und Routen von Clients zu einer SQL-Datenbank verwenden. Sie können Servicetags in Netzwerksicherheitsgruppen, Azure Firewall und benutzerdefinierten Routen verwenden, indem Sie sie im Quell- oder Zielfeld einer Sicherheitsregel angeben.
Das Sql-Diensttag besteht aus allen IP-Adressen, die Azure Synapse Analytics für SQL-Datenbanken verwendet. Das Schlagwort ist nach Region segmentiert. Zum Beispiel listet Sql.WestUS alle IP-Adressen in der westlichen US-Azure-Region auf.

Das Sql Service-Tag besteht aus IP-Adressen, die zur Herstellung der Konnektivität erforderlich sind.

Verwandte Inhalte

  • Zuletzt aktualisiert um