Authentification Microsoft Entra uniquement avec Azure Synapse Analytics

En utilisant l’authentification Microsoft Entra uniquement, vous pouvez configurer Azure Synapse Analytics pour ne prendre en charge que l’authentification Microsoft Entra.

Remarque

Les principaux de serveur Microsoft Entra sont actuellement en préversion pour Azure Synapse Analytics.

L’authentification Microsoft Entra uniquement est disponible pour les pools SQL dédiés autonomes et les espaces de travail Azure Synapse. Pour la configuration de l’espace de travail, voir Désactiver l’authentification locale. Les pools SQL dédiés dans les espaces de travail Azure Synapse Analytics n'utilisent pas de serveurs SQL logiques.

Lorsque vous activez l’authentification Microsoft Entra uniquement, vous désactivez l’authentification SQL, y compris les connexions des administrateurs SQL, les identifiants de connexion et les utilisateurs. Seuls les utilisateurs utilisant l’authentification Microsoft Entra peuvent se connecter.

Pour un pool SQL dédié autonome, vous pouvez activer ou désactiver l’authentification Microsoft Entra uniquement en utilisant le portail Azure, Azure CLI, PowerShell ou l’API REST. Vous pouvez aussi le configurer lors de la création du serveur logique avec un modèle Azure Resource Manager (ARM).

Pour plus d’informations, consultez Authentification et autorisation.

Description de la fonctionnalité

Lorsque vous activez l’authentification Microsoft Entra uniquement, vous désactivez l’authentification SQL pour l’espace de travail ou le serveur logique. Bien que l’authentification SQL soit désactivée, les comptes Microsoft Entra avec les permissions appropriées peuvent toujours créer de nouvelles connexions et utilisateurs d’authentification SQL. Les comptes d’authentification SQL nouvellement créés ne peuvent pas se connecter. L’activation de l’authentification par Microsoft Entra uniquement ne supprime ni comptes d’utilisateur ni connexion d’authentification SQL existants. Cette fonctionnalité empêche seulement ces comptes de se connecter au serveur et à toute base de données créée pour ce serveur.

Permissions

Les utilisateurs de Microsoft Entra membres de rôles intégrés à haut privilège de Microsoft Entra, tels que les Owners et Contributors d’abonnement Azure, peuvent activer ou désactiver l’authentification Microsoft Entra uniquement. De plus, le rôle SQL Security Manager peut activer ou désactiver la fonction d’authentification Microsoft Entra uniquement.

Le rôle de contributeur SQL Server n'a pas la permission d'activer ou de désactiver l'authentification Microsoft Entra uniquement. Cette restriction est cohérente avec la séparation des tâches : les utilisateurs capables de créer un serveur logique ou de configurer un administrateur Microsoft Entra ne peuvent pas nécessairement activer ou désactiver les fonctions de sécurité.

Actions requises

Les actions suivantes sont ajoutées au rôle gestionnaire de sécurité SQL pour permettre la gestion de la fonctionnalité d’authentification par Microsoft Entra uniquement.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read - requise uniquement pour les utilisateurs accédant au menu Microsoft Entra ID du portail Azure

Vous pouvez également ajouter ces actions à un rôle personnalisé pour gérer l’authentification uniquement Microsoft Entra. Pour plus d’informations, consultez Créer et attribuer un rôle personnalisé dans Microsoft Entra ID.

Gérer l’authentification par Microsoft Entra uniquement à l’aide d’API

Important

Vous devez définir l’administrateur Microsoft Entra avant d’activer l’authentification Microsoft Entra uniquement.

Service de contrôle d’accès Azure (CLI)

Vous devez disposer d’Azure CLI 2.14.2 ou version ultérieure.

name correspond au préfixe du nom logique du serveur (par exemple, myserver) et resource-group correspond au groupe de ressources (par exemple, myresource).

pool SQL dédié autonome

Pour plus d’informations, voir az sql server ad-only-auth.

Activer ou désactiver

Activer

az sql server ad-only-auth enable --resource-group myresource --name myserver

Désactiver

az sql server ad-only-auth disable --resource-group myresource --name myserver

Vérifiez le statut

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Vous avez besoin du module Az.Sql 2.10.0 ou d’une version ultérieure.

ServerName correspond au préfixe du nom du serveur logique (par exemple, myserver) et ResourceGroupName correspond au groupe de ressources (par exemple, myresource).

pool SQL dédié autonome

Activer ou désactiver

Activer

Pour plus d’informations, voir Enable-AzSqlServerActiveDirectoryOnlyAuthentication. Vous pouvez également exécuter get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Vous pouvez également utiliser la commande suivante :

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Désactiver

Pour plus d’informations, voir Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Vérifiez le statut

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Vous pouvez également utiliser la commande suivante :

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST API

Définissez les paramètres suivants :

• Trouvez <subscriptionId> en allant dans la section Abonnements sur le portail Azure.
• <myserver> est le préfixe du nom logique du serveur.
• <myresource> est la ressource.

Pour utiliser la dernière MSAL, téléchargez-la depuis MSAL.PS sur PowerShell Gallery.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

Dedicated SQL pool autonome

Pour plus d’informations, consultez la documentation de l’API REST Authentifications Azure AD uniquement pour le serveur.

Activer ou désactiver

Activer

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Désactiver

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Vérifiez le statut

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

Modèle ARM

• Saisissez l’administrateur Microsoft Entra pour le déploiement. Trouvez l’identifiant d’objet utilisateur en allant sur le portail Azure et en naviguant vers votre ressource Microsoft Entra ID. Sous Gérer, sélectionnez Utilisateurs. Cherchez l’utilisateur que vous souhaitez définir comme administrateur pour votre serveur logique. Sélectionnez l’utilisateur, et sur la page Profil, notez l’ID de l’objet.
• Trouvez l’ID locataire dans la page Vue d’ensemble de votre ressource Microsoft Entra ID.

pool SQL dédié autonome

Activer

Le modèle ARM suivant permet l’authentification uniquement via Microsoft Entra sur le serveur logique pour un pool SQL dédié autonome. Pour désactiver l’authentification Microsoft Entra uniquement, définissez la propriété azureADOnlyAuthentication sur false.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Pour plus d’informations, voir Microsoft.Sql servers/azureADOnlyAuthentications.

Vérification de l’authentification Microsoft Entra uniquement à l’aide de T-SQL

Utilisez la fonction SERVERPROPERTY pour IsExternalAuthenticationOnly vérifier si l’authentification Microsoft Entra uniquement est activée pour votre serveur logique. 1 indique que la fonctionnalité est activée, et 0 indique qu’elle est désactivée.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Compte administrateur serveur généré par le système

Lorsque vous créez un serveur logique avec l’authentification Microsoft Entra uniquement activée, le service génère un nom d’administrateur serveur et un mot de passe aléatoire. Le nom généré commence par CloudSA suivi d’une chaîne aléatoire, et apparaît dans le portail Azure comme connexion administrateur serveur.

Le compte existe pour satisfaire le provisionnement, pas pour fournir un moyen de connexion. Le provisionnement de l’un ou l’autre type de ressource nécessite toujours des valeurs administrateur d’authentification SQL. L'authentification Microsoft Entra uniquement change quelles méthodes d'authentification peuvent établir une connexion après provisionnement, mais cela ne supprime pas cette exigence de provisionnement, donc le service génère les valeurs nécessaires pour y répondre.

Voir un nom généré ne signifie pas que l’authentification SQL est activée. Pendant que l’authentification Microsoft Entra uniquement est activée :

• Aucun compte d’authentification SQL ne peut se connecter, y compris l’administrateur généré par le système.
• Le compte généré n’est ni un compte partagé, ni une solution de repli, ni une procédure d’urgence.
• Les applications et les administrateurs doivent utiliser l’authentification Microsoft Entra pour se connecter.
• L’admin Microsoft Entra et les autres principaux Microsoft Entra autorisés restent les méthodes d’administration prises en charge.
• Le service supprime définitivement le mot de passe du plan de contrôle après le provisionnement.

Remarks

• Un contributeur SQL Server peut définir ou supprimer un administrateur Microsoft Entra, mais ne peut pas définir le paramètre d’authentification Microsoft Entra uniquement. Le Gestionnaire de sécurité SQL ne peut pas définir ou supprimer un administrateur Microsoft Entra, mais il ne peut définir que le paramètre d’authentification Microsoft Entra uniquement. Seuls les comptes ayant des rôles Azure RBAC ou des rôles personnalisés plus élevés qui contiennent des autorisations peuvent définir ou supprimer un administrateur Microsoft Entra et définir le paramètre d’authentification Microsoft Entra uniquement. Le rôle Contributeur est l’un de ces rôles.
• Après avoir activé ou désactivé l’authentification Microsoft Entra uniquement dans le portail Azure, une entrée de journal d’activité apparaît.
• Le paramètre Authentification Microsoft Entra uniquement ne peut être activé ou désactivé que par des utilisateurs disposant des autorisations appropriées si l’administrateur Microsoft Entra est spécifié. Si l’administrateur Microsoft Entra n’est pas défini, le paramètre Authentification Microsoft Entra uniquement reste inactif et ne peut pas être activé ou désactivé. L’utilisation d’API pour activer l’authentification Microsoft Entra uniquement échoue également si l’administrateur Microsoft Entra n’a pas été défini.
• Le changement d’administrateur Microsoft Entra lorsque l’authentification Microsoft Entra uniquement est activée est pris en charge pour les utilisateurs disposant des autorisations appropriées.
• Le changement d’administrateur Microsoft Entra et l’activation ou la désactivation de l’authentification Microsoft Entra uniquement sont autorisés sur le portail Azure pour les utilisateurs disposant des autorisations appropriées. Les deux opérations peuvent être effectuées à l’aide de l’option Enregistrer sur le portail Azure. L’administrateur Microsoft Entra doit être défini pour activer l’authentification Microsoft Entra uniquement.
• La suppression d’un administrateur Microsoft Entra lorsque la fonctionnalité d’authentification Microsoft Entra uniquement est activée n’est pas prise en charge. L’utilisation d’une API pour supprimer un administrateur Microsoft Entra échoue si l’authentification Microsoft Entra uniquement est activée.
  • Si le paramètre d’Authentification Microsoft Entra uniquement est activé, le boutonSupprimer l’administrateur est inactif sur le portail Azure.
• La suppression d’un administrateur Microsoft Entra et la désactivation du paramètre Authentification Microsoft Entra uniquement sont autorisées, mais nécessitent l’autorisation d’un utilisateur approprié pour effectuer les opérations. Les deux opérations peuvent être effectuées à l’aide de l’option Enregistrer sur le portail Azure.
• Les utilisateurs Microsoft Entra disposant des autorisations appropriées peuvent usurper l’identité d’utilisateurs SQL existants.
  • L’usurpation d’identité continue de fonctionner entre les utilisateurs d’authentification SQL même lorsque l’authentification Microsoft Entra uniquement est activée.

Contenu connexe

• Utilisez l’authentification Microsoft Entra avec Synapse SQL
• Authentification Microsoft Entra pour Azure Synapse Analytics