Controles de acceso a la red de Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse es un almacenamiento relacional de escala empresarial en una base de lago de datos, con una arquitectura lista para el futuro, inteligencia artificial integrada y nuevas características. Si no está familiarizado con el almacenamiento de datos, comience con Fabric Data Warehouse. Las cargas de trabajo del grupo dedicado de SQL pueden actualizarse a Fabric para acceder a funcionalidades avanzadas en ciencia de datos, análisis en tiempo real e informes.

Azure Synapse Analytics proporciona controles de acceso a redes públicas y privadas para Synapse SQL. Los controles disponibles dependen de si el pool SQL está en un espacio de trabajo Synapse o en un pool SQL dedicado independiente (anteriormente SQL DW).

Cuando creas un nuevo servidor SQL para Azure Synapse Analytics, obtienes un endpoint público en el formato: yourservername.database.windows.net. De forma predeterminada, el servidor lógico deniega todas las conexiones para garantizar la seguridad. Utiliza uno o más de los siguientes controles de acceso a la red para permitir selectivamente el acceso a una base de datos a través del punto final público:

  • Reglas de firewall basadas en IP: use esta característica para permitir explícitamente las conexiones desde una dirección IP específica. Por ejemplo, permitir máquinas locales o un rango de direcciones IP especificando la dirección IP inicial y final.

  • Permitir que los servicios y recursos de Azure accedan a este servidor: Cuando está habilitado, otros recursos dentro del límite de Azure pueden acceder al servidor.

También puede permitir el acceso privado a la base de datos desde redes virtuales a través de:

  • Reglas de firewall de red virtual: use esta característica para permitir el tráfico desde una red virtual específica dentro de los límites de Azure.

  • Private Link: Utiliza esta función para crear un punto final privado para el servidor SQL dentro de una red virtual específica.

Reglas de cortafuegos IP

Las reglas de cortafuegos basadas en IP son una característica del servidor lógico en Azure que impide todo acceso a tu servidor hasta que añades explícitamente las direcciones IP de las máquinas clientes.

Hay dos tipos de reglas de firewall:

  • reglas de firewall de nivel de servidor: estas reglas se aplican a todas las bases de datos del servidor. Puedes configurarlos a través del portal de Azure, PowerShell o comandos T-SQL como sp_set_firewall_rule.
  • Reglas de cortafuegos a nivel de base de datos: Estas reglas se aplican a bases de datos individuales y solo pueden configurarse usando comandos T-SQL como sp_set_database_firewall_rule.

Las siguientes restricciones se aplican a la denominación de reglas de firewall:

  • El nombre de la regla de firewall no puede estar vacío.
  • No puede contener los siguientes caracteres: <, >, *, %, &, :, \\, /, ?.
  • No puede terminar con un punto (.).
  • El nombre de la regla de firewall no puede superar los 128 caracteres.

Si intentas crear reglas de firewall que no cumplen con estas restricciones, obtienes un mensaje de error. Puede tardar hasta cinco minutos en que las modificaciones de las reglas de firewall existentes basadas en IP entren en vigor.

Pools SQL en un espacio de trabajo de Synapse

Un espacio de trabajo de Synapse expone SQL dedicado, SQL serverless y endpoints de desarrollo. La configuración de red a nivel de espacio de trabajo protege estos endpoints de forma conjunta.

  • Las reglas del cortafuegos IP permiten conexiones públicas desde direcciones o rangos IPv4 específicos del cliente. Las reglas de firewall de espacio de trabajo se aplican a SQL dedicado, SQL serverless y endpoints de desarrollo. Los espacios de trabajo de Synapse solo soportan reglas a nivel de servidor, no reglas de firewall a nivel de base de datos. Para los pasos de configuración, consulta las reglas de firewall IP de Azure Synapse Analytics.
  • Permitir que los servicios y recursos de Azure accedan a esta área de trabajo permite las conexiones desde recursos de Azure externos a su suscripción. Actívala solo cuando sea necesario y utiliza autenticación y autorización de base de datos para restringir el acceso.
  • El acceso a la red pública controla si el espacio de trabajo acepta tráfico de redes públicas. Cuando se desactiva el acceso a la red pública, los clientes deben utilizar puntos finales privados. Para obtener más información, consulte Azure Synapse Analytics configuración de conectividad.
  • Los puntos de conexión privados asignan direcciones IP privadas en su red virtual al punto de conexión de SQL dedicado, SQL sin servidor o de desarrollo del área de trabajo. Para más información, consulta Azure Private Link for Azure Synapse Analytics.
  • Los endpoints privados gestionados proporcionan conectividad privada saliente desde una red virtual de espacio de trabajo gestionado hacia recursos Azure aprobados. Para más información, consulte puntos de conexión privados administrados de Azure Synapse Analytics.

Grupos de SQL dedicados independientes

Un pool SQL dedicado independiente se aloja en un servidor lógico. El servidor lógico niega las conexiones públicas hasta que configuras el acceso.

  • Las reglas del cortafuegos IP permiten direcciones o rangos públicos de clientes seleccionados. Para los pasos de configuración, consulta las reglas de firewall IP de Azure Synapse.
  • Permitir que los servicios y recursos de Azure accedan a este servidor crea una regla de nivel de servidor desde 0.0.0.0 hasta 0.0.0.0. Esta configuración permite conexiones desde recursos de Azure fuera de tu suscripción, así que actívala solo cuando sea necesario.
  • Las reglas de red virtual permiten el tráfico desde subredes de red virtual seleccionadas a través de puntos de conexión de servicio. Los endpoints y reglas de servicios de red virtual son alternativas más sencillas para establecer y gestionar el acceso desde una subred específica que contiene tus máquinas virtuales.
  • Private Link expone el servidor lógico a través de un punto final privado en tu red virtual. Un punto de conexión privado es una dirección IP privada dentro de una red virtual y una subred específicas.
  • El acceso a la red pública puede desactivarse una vez configurada la conectividad privada. Cuando está desactivado, las reglas de firewall y red virtual no permiten conexiones públicas.

Etiqueta de servicio de SQL

Puede utilizar etiquetas de servicio en las reglas de seguridad y en las rutas desde los clientes a una base de datos SQL. Puedes usar etiquetas de servicio en grupos de seguridad de red, Azure Firewall y rutas definidas por el usuario especificándolas en el campo de origen o destino de una regla de seguridad.
La Sql etiqueta de servicio consta de todas las direcciones IP que Azure Synapse Analytics utiliza para una base de datos SQL. La etiqueta está segmentada por región. Por ejemplo, Sql.WestUS lista todas las direcciones IP en la región de Azure del oeste de EE. UU.

La Sql etiqueta Service Tag consiste en direcciones IP necesarias para establecer la conectividad.

Contenido relacionado

  • Se actualizó por última vez el