Autenticación Microsoft Entra-only con Azure Synapse Analytics

Utilizando autenticación solo de Microsoft Entra, puedes configurar Azure Synapse Analytics para soportar únicamente la autenticación Microsoft Entra.

Nota:

Las entidades de seguridad del servidor de Microsoft Entra están actualmente en vista previa para Azure Synapse Analytics.

La autenticación exclusiva de Microsoft Entra está disponible para pools SQL dedicados independientes y espacios de trabajo de Azure Synapse. Para la configuración del espacio de trabajo, consulte Desactivar autenticación local. Los pools SQL dedicados en los espacios de trabajo de Azure Synapse Analytics no usan servidores SQL lógicos.

Cuando activas la autenticación solo de Microsoft Entra, desactivas la autenticación SQL, incluyendo las conexiones de administradores SQL, inicios de sesión y usuarios. Solo los usuarios que usan autenticación Microsoft Entra pueden conectarse.

Para un pool SQL dedicado independiente, puedes habilitar o desactivar la autenticación solo de Microsoft Entra utilizando el portal de Azure, CLI de Azure, PowerShell o la API REST. También puedes configurarlo durante la creación del servidor lógico con una plantilla de Azure Resource Manager (ARM).

Para obtener más información, consulte Autenticación y autorización.

Descripción de la característica

Cuando activas la autenticación solo de Microsoft Entra, desactivas la autenticación SQL para el espacio de trabajo o servidor lógico. Aunque la autenticación SQL está deshabilitada, las cuentas de Microsoft Entra con los permisos adecuados aún pueden crear nuevos inicios de sesión y usuarios de autenticación SQL. Las cuentas de autenticación SQL recién creadas no pueden conectarse. Al habilitar la autenticación de solo Microsoft Entra no se quitan las cuentas de usuario y los inicios de sesión con autenticación de SQL existentes. La función solo impide que estas cuentas se conecten al servidor y a cualquier base de datos creada para este servidor.

Permissions

Los usuarios de Microsoft Entra que sean miembros de roles integrados de Microsoft Entra con privilegios elevados, como los Propietarios y Colaborador de suscripción de Azure, pueden habilitar o desactivar la autenticación exclusiva de Microsoft Entra. Además, el rol SQL Security Manager puede habilitar o desactivar la función de autenticación solo de Microsoft Entra.

El rol de SQL Server Contributor no tiene permiso para habilitar o deshabilitar la autenticación exclusiva de Microsoft Entra. Esta restricción es coherente con la separación de funciones: los usuarios que pueden crear un servidor lógico o configurar un administrador de Microsoft Entra no pueden necesariamente activar o desactivar funciones de seguridad.

Acciones necesarias

Se han agregado las siguientes acciones al rol Administrador de seguridad de SQL para permitir la administración de la característica de autenticación solo de Microsoft Entra.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read - requerida solo para usuarios que acceden al menú Microsoft Entra ID del portal de Azure

También puedes añadir estas acciones a un rol personalizado para gestionar la autenticación exclusiva de Microsoft Entra. Para más información, consulte Crear y asignar un rol personalizado en Microsoft Entra ID.

Administración de la autenticación exclusiva de Microsoft Entra mediante API

Importante

Debes configurar el administrador de Microsoft Entra antes de habilitar la autenticación solo de Microsoft Entra.

CLI de Azure

La versión de la CLI de Azure debe ser la versión 2.14.2 o posterior.

name corresponde al prefijo del nombre lógico del servidor (por ejemplo, myserver) y resource-group corresponde al grupo de recursos (por ejemplo, myresource).

Pool SQL dedicado independiente

Para más información, consulte az sql server ad-only-auth.

Habilitar o deshabilitar

Enable

az sql server ad-only-auth enable --resource-group myresource --name myserver

Deshabilitar

az sql server ad-only-auth disable --resource-group myresource --name myserver

Consulta el estado

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Necesitas un módulo Az.SQL 2.10.0 o superior.

ServerName corresponde al prefijo del nombre lógico del servidor (por ejemplo, myserver) y ResourceGroupName corresponde al grupo de recursos (por ejemplo, myresource).

Pool SQL dedicado independiente

Habilitar o deshabilitar

Enable

Para más información, consulte Enable-AzSqlServerActiveDirectoryOnlyAuthentication. También puede ejecutar get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Además, puede utilizar el siguiente comando:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Deshabilitar

Para más información, consulte Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Consulta el estado

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Además, puede utilizar el siguiente comando:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST API

Defina los parámetros siguientes:

• Encuentra <subscriptionId> yendo a Suscripciones en el portal de Azure.
• <myserver> es el prefijo del nombre lógico del servidor.
• <myresource> es el recurso.

Para usar la última MSAL, descárgala desde MSAL.PS en Galería de PowerShell.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

Pool SQL dedicado independiente

Para más información, consulte la documentación de la API REST sobre Autenticaciones solo de Azure AD de servidor.

Habilitar o deshabilitar

Enable

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Deshabilitar

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Consulta el estado

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

Plantilla de ARM

• Introduzca el administrador de Microsoft Entra para el despliegue. Encuentra el ID de objeto de usuario yendo al portal de Azure y navegando a tu recurso de Microsoft Entra ID. En Administrar, seleccione Usuarios. Busca el usuario que quieres poner como administrador de tu servidor lógico. Selecciona el usuario y, en la página Perfil, observa el ID del objeto.
• Encuentra el Id. de inquilino en la página de Resumen de tu recurso de Microsoft Entra ID.

Pool SQL dedicado independiente

Enable

La siguiente plantilla ARM permite la autenticación solo de Microsoft Entra en el servidor lógico para un pool SQL dedicado independiente. Para deshabilitar la autenticación solo de Microsoft Entra, establezca la propiedad azureADOnlyAuthentication en false.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Para más información, consulte Microsoft.Sql servers/azureADOnlyAuthentications.

Comprobación de la autenticación solo de Microsoft Entra mediante T-SQL

Utiliza la función SERVERPROPERTY con IsExternalAuthenticationOnly para comprobar si la autenticación exclusiva de Microsoft Entra está habilitada para tu servidor lógico. 1 indica que la función está activada e 0 indica que está desactivada.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Cuenta de administrador de servidor generada por el sistema

Cuando creas un servidor lógico con la autenticación solo de Microsoft Entra activada, el servicio genera un nombre de administrador del servidor y una contraseña aleatoria. El nombre generado comienza con CloudSA seguido de una cadena aleatoria, y aparece en el portal de Azure como el inicio de sesión de administrador del servidor.

La cuenta existe para satisfacer la provisión, no para proporcionar una forma de conectarse. Provisionar cualquiera de los dos tipos de recurso sigue requiriendo valores de administrador de autenticación SQL. La autenticación solo de Microsoft Entra cambia qué métodos de autenticación pueden establecer una conexión tras el aprovisionamiento, pero no elimina ese requisito de aprovisionamiento, por lo que el servicio genera los valores necesarios para cumplirlo.

Ver un nombre generado no significa que la autenticación SQL esté habilitada. Mientras la autenticación exclusiva de Microsoft Entra esté habilitada:

• Ninguna cuenta de autenticación SQL puede conectarse, incluida la administradora generada por el sistema.
• La cuenta generada no es una cuenta compartida, ni una alternativa de respaldo, ni una vía de acceso de emergencia.
• Las aplicaciones y administradores deben usar la autenticación Microsoft Entra para conectarse.
• El administrador de Microsoft Entra y otros principios autorizados de Microsoft Entra siguen siendo las vías de administración soportadas.
• El servicio elimina la contraseña del plano de control de forma permanente tras el aprovisionamiento.

Remarks

• Un colaborador de SQL Server puede establecer o eliminar un administrador de Microsoft Entra, pero no puede establecer la configuración de solo autenticación de Microsoft Entra. El Administrador de seguridad de SQL no puede establecer o eliminar un administrador de Microsoft Entra, pero puede establecer la configuración de solo autenticación de Microsoft Entra. Solo las cuentas con roles de RBAC de Azure superiores o roles personalizados que contengan ambos permisos pueden establecer o quitar un administrador de Microsoft Entra y establecer la configuración de autenticación solo de Microsoft Entra. Uno de estos roles es el rol Colaborador.
• Tras habilitar o desactivar solo autenticación de Microsoft Entra en el portal de Azure, aparece una entrada Registro de actividad.
• La autenticación solo de Microsoft Entra solo la pueden habilitar o deshabilitar los usuarios con los permisos adecuados si se especifica el administrador de Microsoft Entra. Si no se establece el administrador de Microsoft Entra, la configuración de autenticación de Microsoft Entra solo permanece inactiva y no se puede habilitar ni deshabilitar. El uso de las API para habilitar la autenticación exclusiva de Microsoft Entra también dará error si no se ha configurado el administrador de Microsoft Entra.
• El cambio de un administrador de Microsoft Entra cuando está habilitada la autenticación exclusiva de Microsoft Entra es compatible para los usuarios con los permisos adecuados.
• El cambio de un administrador de Microsoft Entra y la habilitación o deshabilitación de la autenticación solo de Microsoft Entra se permite en Azure Portal para los usuarios con los permisos adecuados. Ambas operaciones se pueden completar con una operación Guardar en Azure Portal. El administrador de Microsoft Entra tiene que estar configurado para habilitar la autenticación exclusiva de Microsoft Entra.
• No se admite la eliminación de un administrador de Microsoft Entra cuando está habilitada la característica de autenticación solo de Microsoft Entra. El uso de una API para eliminar un administrador de Microsoft Entra dará error si está activada la autenticación solo de Microsoft Entra.
  • Si la configuración de autenticación solo de Microsoft Entra está habilitada, el botón Quitar administrador está inactivo en Azure Portal.
• Se permite quitar un administrador de Microsoft Entra y deshabilitar la configuración de autenticación solo de Microsoft Entra, pero requiere el permiso de usuario adecuado para completar las operaciones. Ambas operaciones se pueden completar con una operación Guardar en Azure Portal.
• Los usuarios de Microsoft Entra con los permisos adecuados pueden suplantar a los usuarios de SQL existentes.
  • La suplantación sigue funcionando entre usuarios de autenticación SQL incluso cuando la autenticación solo de Microsoft Entra está activada.

Contenido relacionado

• Utiliza la autenticación Microsoft Entra con Synapse SQL
• Autenticación de Microsoft Entra para Azure Synapse Analytics