Microsoft Entra-hitelesítés az Azure Synapse Analyticshez

Ez a cikk részletes áttekintést nyújt a Microsoft Entra hitelesítés használatáról a Synapse SQL-szel az Azure Synapse Analytics-ben.

Note

A Microsoft Entra server principals jelenleg előzetes verzióban érhetők el az Azure Synapse Analytics számára.

A Microsoft Entra hitelesítés konfigurálásához lásd: A Microsoft Entra hitelesítés konfigurálása és kezelése az Azure Synapse Analyticsben.

Overview

A Microsoft Entra ID lehetővé teszi az emberek és szolgáltatások identitásának központi kezelését az adattulajdonban. A Microsoft Entra és az Azure Synapse Analytics hitelesítési integrációjával egyszerűsítheti az identitás- és jogosultságkezelést, miközben lehetővé teszi a részletes, feltételes hozzáférést és az adataihoz való kapcsolatok felügyeletét.

A Microsoft Entra-hitelesítés használata a következő előnyöket foglalja magában:

  • Lecseréli a kevésbé biztonságos hitelesítési módszereket, például a felhasználóneveket és jelszavakat.
  • Megszünteti vagy megállítja a felhasználói identitások elterjedését a kiszolgálókon.
  • A Microsoft Entra-csoportok lehetővé teszik az adatbázisok engedélykezelésének absztrakcióját az egyes fiókoktól és az operatív csoportokig.
  • Lehetővé teszi a jelszóváltást egyetlen helyen.
  • A microsoft entra-only hitelesítés teljes alternatívát kínál az SQL-hitelesítés helyett.
  • Az Azure-erőforrások felügyelt identitásai nem igényelnek jelszavakat az adatbázisokhoz csatlakozó szolgáltatásokhoz, valamint az adatbázisokból más Azure-erőforrásokhoz való kapcsolatokhoz.
  • Lehetővé teszi a modern biztonsági vezérlők használatát, beleértve az erős többtényezős hitelesítést, számos egyszerű ellenőrzési lehetőséggel, például telefonhívással, szöveges üzenettel, pin-kóddal ellátott intelligens kártyával vagy mobilalkalmazás-értesítéssel.
  • A Microsoft Entra ID számos modern hitelesítési protokoll integrációját teszi lehetővé, beleértve az OpenID Connectet, az OAuth2.0-t, a Kerberos korlátozott delegálását stb.
  • Lehetővé teszi az adatforrásokhoz való kapcsolatok központosított monitorozását.
  • Lehetővé teszi a feltételes hozzáférés-vezérlést, például megfelelő eszközök vagy hitelesítési módszerek megkövetelése a sikeres kapcsolatokhoz.

Note

A Microsoft Entra-hitelesítés csak a Microsoft Entra-azonosítóból származó hozzáférési jogkivonatokat támogatja, külső hozzáférési jogkivonatokat nem. A Microsoft Entra ID nem támogatja a Microsoft Entra ID-lekérdezések külső végpontokra való átirányítását sem. Ez a korlátozás minden SQL platformra és minden operációs rendszerre vonatkozik, amely támogatja a Microsoft Entra hitelesítést.

Konfigurációs lépések

A Microsoft Entra-hitelesítés konfigurálására vonatkozó általános lépések a következők:

  1. Microsoft Entra-tenant létrehozása és adatainak feltöltése.
  2. Hozz létre egy Azure Synapse munkaterületet vagy önálló, dedikált SQL poolt.
  3. Rendelj Microsoft Entra rendszergazdát a munkaterületre vagy logikai szerverre.
  4. Hozzon létre olyan SQL-tagokat az adatbázisban, amelyek a Microsoft Entra-identitásokra vannak leképezve.
  5. Konfiguráld be kliensalkalmazásaidat úgy, hogy Azure Identity-kódtárakat és hitelesítési módszereket használnak a csatlakozáshoz.
  6. Csatlakozzon az adatbázishoz Microsoft Entra-identitásokkal.

Támogatott identitások és hitelesítési módszerek

Azure Synapse Analytics támogatja az alábbi Microsoft Entra identitások használatát bejelentkezésként és felhasználóként (principalsként) a Synapse SQL-ben:

  • Microsoft Entra-felhasználók: Bármilyen típusú felhasználó a Microsoft Entra-bérlőkben, beleértve a belső felhasználókat, külső felhasználókat, vendégeket és tagokat. A Microsoft Entra-azonosítóval összevont Active Directory-tartomány tagjai is támogatottak, és konfigurálhatók a zökkenőmentes egyszeri bejelentkezéshez.
  • Alkalmazások: Az Azure-ban létező alkalmazások szolgáltatásneveket vagy menedzselt identitásokat használhatnak közvetlenül az Azure Synapse Analytics-hez való hitelesítéshez. A menedzselt identitások használata előnyösebb, mert hitelesítés jelszó nélküli, és megszünteti a fejlesztő által kezelt hitelesítési adatok szükségességét.
  • Microsoft Entra-csoportok, amelyek egyszerűbbé teszik a hozzáférés-kezelést a szervezeten belül a felhasználói és alkalmazáshozzáférés csoporttagságon alapuló kezelésével.

A felhasználói identitások esetében a következő hitelesítési módszerek támogatottak:

  • Microsoft Entra Integrated (Windows Authentication), amelyet a Microsoft Entra Hibrid Azonosságok támogat Active Directoryval [szövetség] együtt.
  • Microsoft Entra MFA vagy többtényezős hitelesítés, amely a felhasználó tudásán túl további biztonsági ellenőrzéseket igényel.
  • Microsoft Entra Jelszóhitelesítés , amely a Microsoft Entra ID-ban tárolt és felügyelt felhasználói hitelesítő adatokat használja.
  • A Microsoft Entra alapértelmezett hitelesítése, amely az alkalmazás számítógépén található különböző hitelesítőadat-gyorsítótárakat vizsgálja, és felhasználói jogkivonatokkal hitelesítheti az SQL-t.

A szolgáltatás- vagy számítási feladatok identitásai esetében a következő hitelesítési módszerek támogatottak:

  • Felügyelt identitások az Azure-erőforrásokhoz, mind a felhasználó által hozzárendelt, mind a rendszer által hozzárendelt erőforrásokhoz. A felügyelt identitáshitelesítés jogkivonatalapú, amelyben az identitás hozzá van rendelve ahhoz az erőforráshoz, amely hitelesítést kíván végezni vele. Az Azure Identity platform ellenőrzi ezt a kapcsolatot, amely lehetővé teszi a jelszó nélküli hitelesítést.
  • A Microsoft Entra szolgáltatásnév és az alkalmazás (ügyfél) titkos kódja. Ez a hitelesítési módszer nem ajánlott a kitalálható és kiszivárogtatott jelszavakkal kapcsolatos kockázat miatt.
  • A Microsoft Entra alapértelmezett hitelesítése, amely az alkalmazás gépén különböző hitelesítőadat-gyorsítótárakat vizsgál, és alkalmazásjogkivonatokkal hitelesítheti az SQL-t.

Microsoft Entra-rendszergazda

A Microsoft Entra hitelesítés engedélyezéséhez egy Microsoft Entra adminisztrátort kell beállítani az Azure Synapse munkaterületedhez vagy logikai szerveréhez. Ez a rendszergazda az SQL-rendszergazda mellett létezik. A Microsoft Entra adminisztrátor lehet felhasználó, csoport, szolgáltatásnév vagy kezelt identitás az Azure-bérlőben. Egyszerre csak egy identitás konfigurálható. A Microsoft Entra adminisztrátor eltávolítása letiltja a Microsoft Entra hitelesítési alapú kapcsolatokat, még a meglévő Microsoft Entra felhasználók számára is, akik egy adatbázisban jogosultságokkal rendelkeznek.

Tip

A Microsoft Entra-csoportok lehetővé teszik több identitás számára, hogy Microsoft Entra-rendszergazdaként működjenek a kiszolgálón. Ha a rendszergazda egy csoportra van állítva, a csoport összes tagja örökli a Microsoft Entra rendszergazdai szerepkört. A Microsoft Entra-csoport rendszergazdái úgy javítják a kezelhetőséget, hogy a rendszergazdai felügyeletet a kiszolgálói adatsík-műveletekről a Microsoft Entra ID-ra és a csoporttulajdonosok kezére váltják. A csoportok az SQL-hez csatlakozó összes Microsoft Entra-identitáshoz használhatók, lehetővé téve az egyszeri felhasználó- és engedélykonfigurációt a kiszolgálón és az adatbázisokban, így az összes felhasználó felügyelete a csoportokra marad.

A Microsoft Entra rendszergazda speciális szerepet tölt be: ez az első olyan fiók, amely képes más Microsoft Entra-bejelentkezési azonosítókat és felhasználókat létrehozni, amelyeket együttesen biztonsági azonosítóknak nevezünk. A rendszergazda egy tartalmazott adatbázis-felhasználó a master kiszolgáló adatbázisában. A rendszergazdai fiókok az db_owner szerepkör tagjai minden felhasználói adatbázisban, és minden felhasználói adatbázist dbo-felhasználóként adnak meg. További információ a rendszergazdai fiókokról: Adatbázisok és bejelentkezések kezelése.

Microsoft Entra-felhasználók

Note

Microsoft Entra server principals (logins) jelenleg előzetes verzióban érhetők el az Azure Synapse Analyticshez.

Microsoft Entra-identitásokat rendszerbiztonsági tagként hozhatsz létre az Azure Synapse Analyticsben háromféleképpen is:

  • kiszolgálónévként vagy bejelentkezésként
  • bejelentkezés-alapú felhasználókként (az adatbázis jogosultság egy típusa)
  • tárolt adatbázis-felhasználókként

Important

Az Azure SQL Microsoft Entra-hitelesítése nem integrálható az Azure RBAC-vel. Ahhoz, hogy Microsoft Entra-identitásokkal csatlakozz Azure SQL-hez és lekérdezéseket hajts végre, ezeket az identitásokat Microsoft Entra-rendszerbiztonsági tagként kell létrehoznod azokban az adatbázisokban, amelyekhez hozzá kell férniük. A SQL Server Contributor és SQL DB Contributor szerepköre a menedzsmenthez kapcsolódó telepítési műveleteket védi, nem pedig az adatbázis-kapcsolódási hozzáférést.

Bejelentkezések (kiszolgálói rendszerbiztonsági tagok) dedikált SQL-készletekben

A Microsoft Entra-identitásokhoz tartozó kiszolgálói rendszerbiztonsági tagok (bejelentkezések) előzetes verzióban érhetők el az Azure Synapse Analytics dedikált SQL-készleteihez.

A következő T-SQL bemutatja, hogyan hozhat létre Microsoft Entra-bejelentkezést:

CREATE LOGIN [MSEntraUser] FROM EXTERNAL PROVIDER

A Microsoft Entra-bejelentkezés a következő tulajdonságokat tartalmazza a sys.server_principals-ben:

Property Value
SID (Biztonsági azonosító) A Microsoft Entra-identitás objektumazonosítójának bináris ábrázolása
típus E = Külső bejelentkezés vagy alkalmazás a Microsoft Entra-azonosítóból
X = Külső csoport a Microsoft Entra ID-ból
type_desc EXTERNAL_LOGIN Microsoft Entra-bejelentkezéshez vagy alkalmazáshoz
EXTERNAL_GROUP a Microsoft Entra-csoport számára

Bejelentkezésalapú felhasználók

A bejelentkezésalapú felhasználók öröklik a Microsoft Entra-bejelentkezéshez hozzárendelt kiszolgálószintű szerepköröket és engedélyeket.

Az alábbi T-SQL bemutatja, hogyan hozhat létre bejelentkezési alapú felhasználót egy Microsoft Entra-identitáshoz:

CREATE USER [MSEntraUser] FROM LOGIN [MSEntraUser]

Az alábbi táblázat a Microsoft Entra bejelentkezési alapú felhasználói tulajdonságértékeket ismerteti sys.database_principals-ban.

Property Value
SID (Biztonsági azonosító) A Microsoft Entra-identitás objektumazonosítójának bináris ábrázolása, valamint az "AADE"
típus E = Külső bejelentkezés vagy alkalmazás a Microsoft Entra-azonosítóból
X = Külső csoport a Microsoft Entra ID-ból
type_desc EXTERNAL_LOGIN Microsoft Entra-bejelentkezéshez vagy alkalmazáshoz
EXTERNAL_GROUP a Microsoft Entra-csoport számára

Tartalmazott adatbázis-felhasználók

A tárolt adatbázis felhasználói hordozhatók az adatbázissal. Nincs kapcsolatuk a szerverben vagy példányban meghatározott identitásokkal, és könnyen áthelyezheted őket az adatbázissal egyik szerverről vagy példányról a másikra, megszakítás nélkül.

Az alábbi T-SQL bemutatja, hogyan hozhat létre tartalmazott adatbázis-felhasználót egy Microsoft Entra-identitáshoz:

CREATE USER [MSEntraUser] FROM EXTERNAL PROVIDER

A Microsoft Entra adatbázis-alapú felhasználók tulajdonságértékei megegyeznek a sys.database_principals bejelentkezési alapú felhasználóival, kivéve a SID létrehozásának módját:

Property Value
SID (Biztonsági azonosító) A Microsoft Entra-identitás objektumazonosítójának bináris ábrázolása
típus E = Külső bejelentkezés vagy alkalmazás a Microsoft Entra-azonosítóból
X = Külső csoport a Microsoft Entra ID-ból
type_desc EXTERNAL_LOGIN Microsoft Entra-bejelentkezéshez vagy alkalmazáshoz
EXTERNAL_GROUP a Microsoft Entra-csoport számára

Az eredeti Microsoft Entra GUID, amelyre a SID épül, lekéréséhez használja a következő T-SQL-konverziót:

SELECT CAST(sid AS UNIQUEIDENTIFIER) AS EntraID FROM sys.database_principals

Caution

Lehet, hogy akaratlanul létrehozol egy önálló Microsoft Entra adatbázis-felhasználót, amelynek a neve megegyezik egy Microsoft Entra-bejelentkezés nevével szerver- vagy példányszinten. Mivel a rendszerbiztonsági elemek nincsenek összekapcsolva, az adatbázis-felhasználó nem örökli a jogosultságokat a kiszolgálói bejelentkezésből. Az identitások összekeveredhetnek a kapcsolatkérésekben, ami meghatározatlan viselkedéshez vezethet.

Az alábbi T-SQL-lekérdezéssel állapítsa meg, hogy az adatbázis-felhasználó bejelentkezési alapú vagy tartalmazott adatbázis-felhasználó-e:

SELECT CASE
    WHEN CONVERT(VARCHAR(100), sid, 2) LIKE '%AADE' AND len(sid) = 18 THEN 'login-based user'
    ELSE 'contained database user'
    END AS user_type,
    *
FROM sys.database_principals WHERE TYPE = 'E' OR TYPE = 'X'

Az alábbi T-SQL-lekérdezéssel megtekintheti az adatbázis összes Microsoft Entra-tagát:

SELECT
  name,
  CAST(sid AS UNIQUEIDENTIFIER) AS EntraID,
  CASE WHEN TYPE = 'E' THEN 'App/User' ELSE 'Group' AS user_type,
  sid
FROM sys.database_principals WHERE TYPE = 'E' OR TYPE = 'X'

Csak Microsoft Entra-hitelesítés

Ha engedélyezed a Microsoft Entra-alapú hitelesítést, akkor az SQL hitelesítést is letiltod. SQL hitelesítést nem használhatsz a munkaterülethez, SQL poolhoz vagy adatbázishoz való csatlakozáshoz.

A kezdéshez lásd a(z) A Microsoft Entra-only hitelesítés konfigurálása című cikket.

Többtényezős hitelesítés (MFA)

A Microsoft Entra többtényezős hitelesítés a Microsoft felhőalapú identitás- és hozzáférés-kezelési szolgáltatása által biztosított biztonsági szolgáltatás. A többtényezős hitelesítés növeli a felhasználói bejelentkezések biztonságát azáltal, hogy a felhasználóknak a jelszón túl további ellenőrzési lépéseket kell végrehajtaniuk.

A Microsoft Entra többtényezős hitelesítés segít megvédeni az adatokhoz és alkalmazásokhoz való hozzáférést, miközben kielégíti a felhasználói igényeket egy egyszerű bejelentkezési folyamathoz. Az MFA további biztonsági réteget biztosít a felhasználói bejelentkezésekhez azáltal, hogy a felhasználóknak két vagy több hitelesítési tényezőt kell megadniuk. Ezek a tényezők általában tartalmaznak valamit, amit a felhasználó tud (jelszó), valamit, amit a felhasználó birtokol (okostelefon vagy hardver token), és/vagy valami, amit a felhasználó van (biometrikus adatok). Több tényező kombinálásával az MFA jelentősen csökkenti a jogosulatlan hozzáférés valószínűségét.

A többfaktoros hitelesítés az Azure Synapse Analyticsben támogatott hitelesítési módszer.

A kezdéshez lásd: A Microsoft Entra többtényezős hitelesítés konfigurálása.

Microsoft Entra B2B-támogatás

A Microsoft Entra-hitelesítés minden SQL-termékben támogatja a Microsoft Entra B2B együttműködést is, amely lehetővé teszi a vállalatok számára, hogy meghívják a vendégfelhasználókat a szervezettel való együttműködésre. A vendégfelhasználók önálló felhasználóként vagy Microsoft Entra-csoport tagjaiként is csatlakozhatnak az adatbázisokhoz.

A Microsoft Entra és az Active Directory összevonásának megbízhatósági architektúrája

A Microsoft Entra ID integrálható az olyan ismerős identitás- és hozzáférés-kezelési megoldásokkal is, mint az Active Directory. Az helyi Active Directory hibrid csatlakoztatásával lehetővé teheted, hogy a Microsoft Entra ID-n keresztül föderált Windows-identitások egyszeri bejelentkezési hitelesítő adatokkal csatlakozzanak az Azure Synapse Analyticshez.

Az összevonáshoz a Microsoft Entra ID két biztonságos hitelesítési módszert biztosít: az átmenő és a jelszókivonatos hitelesítést. Ha azt tervezi, hogy a helyszíni Active Directoryt a Microsoft Entra ID-hez kapcsolja össze, tekintse át a Microsoft Entra hibrid identitásmegoldás megfelelő hitelesítési módszerének kiválasztása című cikket.

A Hibrid Microsoft Entra-identitások beállításával és szinkronizálásával kapcsolatos további információkért tekintse meg a következő cikkeket:

A Microsoft Entra ID hitelesíti az adóazonosító jelet, az adatbázis pedig megbízik benne, és érvényesíti a kiállítót és az egyéb adatokat. Az 1. ügyfél képviselheti a Microsoft Entra-azonosítót natív felhasználókkal, vagy a Microsoft Entra-azonosítót összevont felhasználókkal. A 2. ügyfél egy lehetséges megoldást jelöl, beleértve az importált felhasználókat is, ebben a példában egy összevont Microsoft Entra-azonosítóból származik, amely az ADFS-t szinkronizálja a Microsoft Entra-azonosítóval. Fontos megérteni, hogy az adatbázishoz való hozzáférés Microsoft Entra hitelesítéssel megköveteli, hogy a hhosting előfizetés a Microsoft Entra ID-hez legyen kötve. Ugyanazt az előfizetést kell használnod az Azure SQL vagy Azure Synapse erőforrások létrehozásához.

Permissions

A Microsoft Entra adminisztrátornak kijelölt engedélyek eltérnek az Azure Synapse Analytics más rendszerbiztonsági tagoknak rendelt jogosultságaitól. Bizonyos esetekben az Azure Synapse Analytics-nek Microsoft Graph engedélyekre is szüksége van a Microsoft Entra hitelesítés használatához.

Rendszergazdai engedélyek

Az alábbi jogosultságok és szerepek vannak hozzárendelve a Microsoft Entra adminhoz a létrehozásakor:

  • db_owner minden adatbázisnak

Azure Synapse Analytics engedélyek

Ahhoz, hogy egy szereplő létrehozhasson felhasználót, szüksége van az ALTER ANY USER engedélyre az adatbázisban.

Alapértelmezés szerint a szerveradminisztrátori fiókok, a CONTROL ON DATABASE rendelkező adatbázis-felhasználók és az db_owner adatbázis-szerepkör tagjai rendelkeznek a ALTER ANY USER jogosultsággal.

Ahhoz, hogy Microsoft Entra-princípált hozzon létre az Azure SQL-ben, a kérő identitásnak a Microsoft Graphtól kell lekérdeznie a princípál adatait. Kezdeti telepítéskor az egyetlen identitás, amely lekérdezheti a Microsoft Graph-ot, a Microsoft Entra admin. Ezért az adminisztrátornak kell elsőként létrehoznia más Microsoft Entra biztonsági elveket. Ezután a rendszergazda más identitásokhoz is hozzárendelheti a ALTER ANY USER elemet, hogy azok más Microsoft Entra-identitásokat hozhassanak létre.

Érintésmentes üzembe helyezés Microsoft Entra-hitelesítéssel

Mivel a Microsoft Entra adminisztrátornak kell elsőként kapcsolódnia az adatbázishoz és létrehozni más Microsoft Entra felhasználókat, hasznos lehet a telepítési infrastruktúra identitását adminisztrátorként hozzáadni. Az üzemelő példányok ezután elvégezhetik a kezdeti beállításokat, például létrehozhatnak más Microsoft Entra-tagokat, és engedélyeket rendelhetnek hozzájuk. Telepítésekhez használj olyan eszközöket, mint a PowerShell ARM-sablonok a rendszerbiztonsági tagok létrehozásának automatizálásához. Az Azure SQL ma nem támogatja a natív API-kat a felhasználók létrehozásának és a jogosultságkezelésnek a konfigurálásához. Ezeket a műveleteket csak közvetlenül az SQL instance-hoz való csatlakozással lehet végrehajtani.

Microsoft Graph-engedélyek

A Microsoft Entra-tagok és néhány más forgatókönyv létrehozásához az Azure SQL-nek Microsoft Graph-hívásokat kell indítania az identitással kapcsolatos információk lekéréséhez és ellenőrzéséhez a Microsoft Entra-azonosítóban. Ehhez az SQL folyamatnak rendelkeznie kell vagy meg kell szereznie a Microsoft Graph olvasási jogosultságait az ügyfél-bérlőben. Ezt a hozzáférést többféleképpen is elérheted:

  • Ha a parancsot végrehajtó SQL-rendszerbiztonsági tag felhasználói identitású, akkor nem kell további engedélyeket adni az SQL-példányon a Microsoft Graph lekérdezéséhez.
  • Ha a parancsot végrehajtó SQL-rendszerbiztonsági tag szolgáltatásidentitás, például szolgáltatásnév vagy felügyelt identitás, akkor az Azure SQL-példánynak saját jogosultságokra van szüksége a Microsoft Graph lekérdezéséhez.
    • Alkalmazásengedélyeket rendeljen a logikai szerver vagy kezelt példány elsődleges kiszolgálóidentitásához (menedzselt identitásához). Az SQL folyamat az elsődleges szerverazonosítót használhatja a bérlőn belüli más Azure-szolgáltatásoknál való hitelesítéshez, például a Microsoft Graphhoz. Az alábbi táblázat különböző forgatókönyveket és a parancs sikeres végrehajtásához szükséges Microsoft Graph-jogosultságokat magyarázza.
Scenario Minimális engedély
CREATE USER vagy CREATE LOGIN Microsoft Entra-szolgáltatásnév vagy felügyelt identitás esetén Application.Read.All
CREATE USERvagy CREATE LOGIN egy Microsoft Entra felhasználó számára Felhasználó.Olvass.Mindent
CREATE USERvagy CREATE LOGIN egy Microsoft Entra csoport számára GroupMember.Read.All

Tip

A Directory Readers szerepkör a legszűkebb hatókörű szerepkör, amelyet egy identitáshoz lehet rendelni, és lefedi az összes szükséges jogosultságot. Szerepek használatával ezeket Microsoft Entra biztonsági csoportokhoz rendelheted, ami a kezelést az egyes entitások helyett a fogalmi csoportokra helyezi.

Eszközök támogatása

Az SQL Server Management Studio (SSMS) számos Microsoft Entra hitelesítési csatlakozási lehetőséget támogat, beleértve a többtényezős hitelesítést is.

A Visual Studióhoz készült SQL Server Data Tools (SSDT) 2015-től kezdve támogatja a Microsoft Entra-azonosítóval történő jelszó-, integrált és interaktív hitelesítést. További információ: Microsoft Entra ID-támogatás az SQL Server Data Tools (SSDT)-ben.

  • Jelenleg az SSDT Object Explorer nem mutatja a Microsoft Entra felhasználókat. Alternatív megoldásként tekintse meg a felhasználókat a sys.database_principals-ban.

Minimális verziók

Ahhoz, hogy a Microsoft Entra hitelesítést az Azure Synapse Analytics-szel használhass, az alábbi minimális verziókra van szükséged ezeknek az eszközöknek a használatakor:

Kapcsolódj a Microsoft Entra-hoz az Azure Synapse Analyticshez

Miután beállította a Microsoft Entra hitelesítést az Azure SQL erőforrásához, csatlakozhat az SQL Server Management Studio, az SQL Server Data Tools és egy kliens alkalmazás segítségével.

Limitations

Microsoft Entra hitelesítés Azure Synapse Analytics szolgáltatással történő használata esetén vegye figyelembe a következő korlátozásokat:

  • Azok a Microsoft Entra-felhasználók és szolgáltatásnevek (Microsoft Entra-alkalmazások), amelyek 2048-nál több Microsoft Entra biztonsági csoport tagjai, nem támogatottak, és nem tudnak bejelentkezni az adatbázisba.

  • Az alábbi rendszerfunkciók nem támogatottak, és NULL értékeket adnak vissza, amikor a Microsoft Entra-felhasználók hajtják végre őket.

    • SUSER_ID()
    • SUSER_NAME(<ID>)
    • SUSER_SNAME(<SID>)
    • SUSER_ID(<name>)
    • SUSER_SID(<name>)

  • Javasoljuk, hogy állítsa be a kapcsolat időtúllépését 30 másodpercre.

  • Azok a Microsoft Entra felhasználók, akik olyan csoport tagjai, amely a db_owner adatbázisszerepkör tagja, a következő hibát tapasztalhatják, amikor az Azure Synapse Analyticsben használni próbálják a CREATE DATABASE SCOPED CREDENTIAL funkciót:

    SQL Error [2760] [S0001]: The specified schema name 'user@mydomain.com' either doesn't exist or you do not have permission to use it.

    A CREATE DATABASE SCOPED CREDENTIAL probléma megoldásához adja hozzá közvetlenül a Microsoft Entra-felhasználó identitását a db_owner szerepkörhöz.

  • Azure Synapse Analytics nem hoz létre implicit felhasználókat olyan felhasználók számára, akik a Microsoft Entra csoporttagságon keresztül jelentkeztek. Ennek következtében azok a műveletek, amelyek tulajdonjog hozzárendelését igénylik, megbukhatnak, még akkor is, ha a Microsoft Entra csoport tagja egy ilyen jogosultságokkal rendelkező szerepkörnek.

    Egy olyan felhasználó például, aki egy Microsoft Entra-csoporton keresztül jelentkezett be egy adatbázisba a db_ddladmin szerepkörrel, nem hajthat végre CREATE SCHEMAALTER SCHEMAmás objektumlétrehozási utasításokat séma explicit definiálása nélkül (például tábla, nézet vagy típus). A probléma megoldásához létre kell hozni egy Microsoft Entra-felhasználót az adott felhasználóhoz, vagy módosítani kell a Microsoft Entra csoportot egy DEFAULT_SCHEMA ilyen dbo hozzárendeléséhez.

  • A Microsoft Entra adminisztrátor eltávolítása megakadályozza a Microsoft Entra-hitelesítési kapcsolatok létrejöttét.

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: