Microsoft Entra-only authentication with Azure Synapse Analytics

A Microsoft Entra-alapú hitelesítés használatával konfigurálhatod az Azure Synapse Analytics-t úgy, hogy csak a Microsoft Entra hitelesítést támogassa.

Note

A Microsoft Entra server principals jelenleg preview alatt állnak az Azure Synapse Analyticsben.

Microsoft Entra-only hitelesítés elérhető önálló dedikált SQL poolokhoz és Azure Synapse munkaterületekhez. A munkaterület konfigurálásához lásd: Helyi hitelesítés letiltása. Az Azure Synapse Analytics workspace-ben található dedikált SQL poolok nem használnak logikai SQL szervereket.

Ha engedélyezed a Microsoft Entra-alapú hitelesítést, letiltod az SQL-hitelesítést, beleértve az SQL-rendszergazdáktól, bejelentkezésektől és felhasználóktól származó kapcsolatokat is. Csak azok a felhasználók csatlakozhatnak, akik Microsoft Entra hitelesítést használnak.

Egy önálló, dedikált SQL poolhoz engedélyezheted vagy letilthatod a csak Microsoft Entra-hitelesítést az Azure portál, Azure CLI, PowerShell vagy REST API használatával. Logikai szerver létrehozása közben is konfigurálhatod azt egy Azure Resource Manager (ARM) sablonnal.

További információ: Hitelesítés és engedélyezés.

Funkció leírása

Ha engedélyezed a Microsoft Entra-alapú hitelesítést, akkor letiltod az SQL hitelesítést a munkaterületen vagy a logikai szerveren. Bár az SQL hitelesítés le van tiltva, a megfelelő jogosultsággal rendelkező Microsoft Entra fiókok továbbra is létrehozhatnak új SQL hitelesítési bejelentkezéseket és felhasználókat. Az újonnan létrehozott SQL hitelesítési fiókok nem tudnak csatlakozni. A Csak Microsoft Entra-hitelesítés engedélyezése nem távolítja el a meglévő SQL-hitelesítési bejelentkezési és felhasználói fiókokat. Ez a funkció csak megakadályozza, hogy ezek a fiókok csatlakozzanak a szerverhez és az ehhez létrehozott adatbázisokhoz.

Permissions

Azok a Microsoft Entra-felhasználók, akik magas jogosultságokkal rendelkező beépített Microsoft Entra-szerepkörök tagjai, például az Azure-előfizetés Tulajdonosok és Közreműködők szerepkörei, engedélyezhetik vagy letilthatják a kizárólag Microsoft Entra-hitelesítést. Emellett az SQL Security Manager szerepkör engedélyezheti vagy letilthatja a kizárólagos Microsoft Entra-hitelesítési funkciót.

A SQL Server Contributor szerepkör nem rendelkezik jogosultsággal a kizárólag Microsoft Entra-hitelesítés engedélyezésére vagy letiltására. Ez a korlátozás összhangban van a feladatkörök szétválasztásával is: azok a felhasználók, akik logikai kiszolgálót hozhatnak létre, vagy Microsoft Entra-rendszergazdát jelölhetnek ki, nem feltétlenül engedélyezhetik vagy tilthatják le a biztonsági funkciókat.

Szükséges műveletek

A rendszer a következő műveleteket adja hozzá az SQL Security Manager szerepkörhöz a Csak Microsoft Entra hitelesítési funkció felügyeletének engedélyezéséhez.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read- csak az Azure portál Microsoft Entra ID menüjét elérő felhasználók számára szükséges.

Ezeket a műveleteket egy egyéni szerepkörhöz is hozzáadhatod, hogy kezeld a csak Microsoft Entra-hitelesítést. További információ: Egyéni szerepkör létrehozása és hozzárendelése a Microsoft Entra-azonosítóban.

Csak Microsoft Entra-hitelesítés kezelése API-k használatával

Important

Be kell állítani a Microsoft Entra admint, mielőtt engedélyeznéd a Microsoft Entra-alapú hitelesítést.

Azure parancssori felület

Az Azure CLI 2.14.2-es vagy újabb verziójával kell rendelkeznie.

name megfelel a logikai szerver nevének előtagjának (például myserver), és resource-group megfelel az erőforrás-csoportnak (például myresource).

Standalone dedicated SQL pool

További információért lásd: az sql server ad-only-auth.

Engedélyezés vagy letiltás

Enable

az sql server ad-only-auth enable --resource-group myresource --name myserver

Disable

az sql server ad-only-auth disable --resource-group myresource --name myserver

Ellenőrizd az állapotot

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Az.Sql 2.10.0 vagy annál magasabb modulra van szükséged.

ServerName megfelel a logikai szerver nevének előtagjának (például myserver), és ResourceGroupName az erőforráscsoportnak (például myresource).

Standalone dedicated SQL pool

Engedélyezés vagy letiltás

Enable

További információ: Enable-AzSqlServerActiveDirectoryOnlyAuthentication. A(z) get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full is futtatható.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

A következő parancsot is használhatja:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Disable

További információ: Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Ellenőrizd az állapotot

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

A következő parancsot is használhatja:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST API

Adja meg a következő paramétereket:

• Keresd <subscriptionId> meg az Azure portál Előfizetések menüjében.
• <myserver> a logikai kiszolgáló nevének előtagja.
• <myresource> az erőforrás.

A legfrissebb MSAL használatához töltsd le a PowerShell-galéria MSAL.PS oldaláról.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

Standalone dedicated SQL pool

További információkért tekintse meg a csak kiszolgálói Azure AD-hitelesítések REST API-dokumentációját.

Engedélyezés vagy letiltás

Enable

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Disable

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Ellenőrizd az állapotot

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

ARM-sablon

• Adja meg a telepítéshez a Microsoft Entra-rendszergazdát. Keresd meg a felhasználói Object ID-t úgy, hogy a Azure portálra lépsz, és a Microsoft Entra ID erőforrásodhoz navigálsz. A Kezelés alatt válassza a Felhasználókat. Keresd meg azt a felhasználót, akit a logikai szervered adminisztrátorának szeretnél beállítani. Válassza ki a felhasználót, és a Profil oldalon jegyezze meg az Objektumazonosítót.
• Keresse meg a Bérlőazonosítót a Áttekintés oldalán a(z) Microsoft Entra ID erőforrásnak.

Standalone dedicated SQL pool

Enable

A következő ARM-sablon lehetővé teszi a csak Microsoft Entra-hitelesítést a logikai szerveren egy önálló, dedikált SQL poolhoz. A Microsoft Entra-only hitelesítés letiltásához állítsa be a azureADOnlyAuthentication tulajdonságot a false értékre.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

További információ: Microsoft.Sql servers/azureADOnlyAuthentications.

Csak Microsoft Entra-hitelesítés ellenőrzése T-SQL használatával

Használd a SERVERPROPERTY funkciót arra, IsExternalAuthenticationOnly hogy ellenőrizd, engedélyezve van-e a csak Microsoft Entra-hitelesítés a logikai szerveredhez. 1 jelzi, hogy a funkció engedélyezett, és 0 azt jelzi, hogy ki van tiltva.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Rendszerrel generált szerveradminisztrátori fiók

Amikor logikai szervert hozol létre engedélyezett csak Microsoft Entra-hitelesítéssel, a szolgáltatás szerveradminisztrátor nevet és véletlenszerű jelszót generál. A generált név egy CloudSA véletlenszerű láncsorral kezdődik, és az Azure portálban megjelenik a szerveradmin bejelentkezésként.

A fiók azért létezik, hogy kielégítse a biztosítást, nem pedig a csatlakozási módot. Bármelyik erőforrástípus létrehozásához továbbra is SQL hitelesítési adírozó értékeket igényel. A csak Microsoft Entra-hitelesítés megváltoztatja, hogy a kiépítést követően mely hitelesítési módszerekkel lehet kapcsolatot létesíteni, de nem szünteti meg ezt a kiépítési követelményt, ezért a szolgáltatás előállítja az annak teljesítéséhez szükséges értékeket.

Az, hogy egy automatikusan létrehozott név látható, nem jelenti azt, hogy az SQL-hitelesítés engedélyezve van. Bár a Microsoft Entra-val csak hitelesítés engedélyezett:

• Egyetlen SQL hitelesítési fiók sem tud kapcsolódni, beleértve a rendszer által generált adminisztrátort is.
• A létrehozott fiók nem megosztott fiók, nem tartalékmegoldás, és nem vészhelyzeti hozzáférési útvonal.
• Az alkalmazásoknak és az adminisztrátoroknak Microsoft Entra hitelesítést kell használniuk a csatlakozáshoz.
• A Microsoft Entra-rendszergazda és más jogosult Microsoft Entra-felhasználók továbbra is a támogatott adminisztrációs módok maradnak.
• A szolgáltatás véglegesen eltávolítja a jelszót a vezérlősíkról a beállítás után.

Remarks

• Az SQL Server-közreműködő beállíthat vagy eltávolíthat egy Microsoft Entra-rendszergazdát, de nem állíthatja be a Microsoft Entra csupán a hitelesítését. Az SQL Security Manager nem tud Microsoft Entra-rendszergazdat beállítani vagy eltávolítani, de csak a Microsoft Entra hitelesítési beállítást állíthatja be. Csak a magasabb Azure RBAC-szerepkörökkel vagy egyéni szerepkörökkel rendelkező fiókok állíthatnak be vagy távolíthatnak el Microsoft Entra-rendszergazdákat, és csak a Microsoft Entra-hitelesítés beállítását állíthatják be. Ilyen szerepkör a Közreműködő szerepkör.
• Miután az Azure portálban engedélyezték vagy letiltották a kizárólag Microsoft Entra-hitelesítést, megjelenik egy Tevékenységnapló bejegyzés.
• A Microsoft Entra csak hitelesítési beállítást csak a megfelelő engedélyekkel rendelkező felhasználók engedélyezhetik vagy tilthatják le, ha a Microsoft Entra rendszergazdája meg van határozva. Ha a Microsoft Entra rendszergazdája nincs beállítva, a Microsoft Entra hitelesítési beállítása inaktív marad, és nem engedélyezhető vagy letiltható. Az API-k használata a csak Microsoft Entra-hitelesítés engedélyezésére is sikertelen lesz, ha a Microsoft Entra adminisztrátor nincs beállítva.
• Ha a Microsoft Entra-hitelesítés engedélyezve van, a Microsoft Entra rendszergazdájának módosítása a megfelelő engedélyekkel rendelkező felhasználók számára támogatott.
• A Microsoft Entra-rendszergazda módosítása és a csak Microsoft Entra-hitelesítés engedélyezése vagy letiltása az Azure Portalon engedélyezett a megfelelő engedélyekkel rendelkező felhasználók számára. Mindkét művelet elvégezhető egy Mentéssel az Azure Portalon. A Microsoft Entra-hitelesítés engedélyezéséhez be kell állítani a Microsoft Entra adminisztrátort.
• Nem támogatott a Microsoft Entra-rendszergazda eltávolítása, ha a Csak Microsoft Entra hitelesítési funkció engedélyezve van. Ha egy API-t használ a Microsoft Entra-rendszergazda eltávolítására, az nem fog sikerülni, ha engedélyezve van a kizárólag Microsoft Entra-hitelesítés.
  • Ha a Microsoft Entra hitelesítési beállítás engedélyezve van, a Rendszergazda eltávolítása gomb inaktív az Azure Portalon.
• A Microsoft Entra-rendszergazda eltávolítása és a Microsoft Entra hitelesítési beállítás letiltása csak engedélyezett, de a műveletek elvégzéséhez megfelelő felhasználói engedély szükséges. Mindkét művelet elvégezhető egy Mentéssel az Azure Portalon.
• A megfelelő engedélyekkel rendelkező Microsoft Entra-felhasználók megszemélyesíthetik a meglévő SQL-felhasználókat.
  • A megszemélyesítés továbbra is működik az SQL-hitelesítést használó felhasználók között, még akkor is, ha csak a Microsoft Entra-alapú hitelesítés van engedélyezve.

Kapcsolódó tartalom

• Használd a Microsoft Entra hitelesítést a Synapse SQL-szel
• Microsoft Entra hitelesítése ehhez: Azure Synapse Analytics