Autentikasi khusus Microsoft Entra dengan Azure Synapse Analytics

Dengan menggunakan autentikasi khusus Microsoft Entra, Anda dapat mengonfigurasi Azure Synapse Analytics untuk hanya mendukung autentikasi Microsoft Entra.

Catatan

Prinsipal server Microsoft Entra saat ini sedang dalam pratinjau untuk Azure Synapse Analytics.

Autentikasi khusus Microsoft Entra tersedia untuk pool SQL khusus mandiri dan workspace Azure Synapse. Untuk konfigurasi workspace, lihat Nonaktifkan autentikasi lokal. Pool SQL khusus di workspace Azure Synapse Analytics tidak menggunakan server SQL logis.

Saat Anda mengaktifkan autentikasi hanya Microsoft Entra, Anda menonaktifkan autentikasi SQL, termasuk koneksi dari administrator SQL, login, dan pengguna. Hanya pengguna yang menggunakan autentikasi Microsoft Entra yang dapat terhubung.

Untuk pool SQL khusus mandiri, Anda dapat mengaktifkan atau menonaktifkan autentikasi khusus Microsoft Entra saja dengan menggunakan portal Azure, Azure CLI, PowerShell, atau REST API. Anda juga dapat mengonfigurasinya saat pembuatan server logis dengan template Azure Resource Manager (ARM).

Untuk informasi selengkapnya, lihat Autentikasi dan otorisasi.

Deskripsi fitur

Saat Anda mengaktifkan autentikasi hanya Microsoft Entra, Anda menonaktifkan autentikasi SQL untuk workspace atau server logis. Meskipun autentikasi SQL dinonaktifkan, akun Microsoft Entra dengan izin yang tepat masih dapat membuat login dan pengguna autentikasi SQL baru. Akun autentikasi SQL yang baru dibuat tidak dapat terhubung. Mengaktifkan autentikasi Microsoft Entra-only tidak menghapus login autentikasi SQL dan akun pengguna yang ada. Fitur ini hanya mencegah akun-akun tersebut terhubung ke server dan database apa pun yang dibuat untuk server tersebut.

Permissions

Pengguna Microsoft Entra yang merupakan anggota peran bawaan Microsoft Entra dengan hak istimewa tinggi, seperti langganan Azure Pemilik dan Kontributor, dapat mengaktifkan atau menonaktifkan autentikasi khusus Microsoft Entra. Selain itu, peran SQL Security Manager dapat mengaktifkan atau menonaktifkan fitur autentikasi khusus Microsoft Entra.

Peran SQL Server Contributor tidak memiliki izin untuk mengaktifkan atau menonaktifkan autentikasi khusus Microsoft Entra. Pembatasan ini konsisten dengan pemisahan tugas: pengguna yang dapat membuat server logis atau administrator Microsoft Entra tidak selalu dapat mengaktifkan atau menonaktifkan fitur keamanan.

Tindakan yang diperlukan

Tindakan berikut ditambahkan ke peran SQL Security Manager untuk memungkinkan manajemen fitur autentikasi khusus Microsoft Entra.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read - hanya diperlukan untuk pengguna yang mengakses menu Microsoft Entra ID di portal Azure

Anda juga dapat menambahkan aksi-aksi ini ke peran khusus untuk mengelola autentikasi khusus Microsoft Entra. Untuk informasi selengkapnya, lihat Membuat dan menetapkan peran kustom di Microsoft Entra ID.

Mengelola autentikasi Microsoft Entra-only menggunakan API

Important

Anda harus mengatur admin Microsoft Entra sebelum mengaktifkan autentikasi hanya Microsoft Entra.

Azure CLI

Anda harus memiliki versi Azure CLI 2.14.2 atau lebih tinggi.

name sesuai dengan awalan nama server logis (misalnya, myserver) dan resource-group sesuai dengan grup sumber daya (misalnya, myresource).

Dedicated SQL pool mandiri

Untuk informasi selengkapnya, lihat az sql server ad-only-auth.

Mengaktifkan atau menonaktifkan

Aktifkan

az sql server ad-only-auth enable --resource-group myresource --name myserver

Nonaktifkan

az sql server ad-only-auth disable --resource-group myresource --name myserver

Periksa status

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Anda membutuhkan modul Az.Sql 2.10.0 atau lebih tinggi.

ServerName sesuai dengan awalan nama server logis (misalnya, myserver) dan ResourceGroupName sesuai dengan grup sumber daya (misalnya, myresource).

dedicated SQL pool mandiri

Mengaktifkan atau menonaktifkan

Aktifkan

Untuk informasi selengkapnya, lihat Enable-AzSqlServerActiveDirectoryOnlyAuthentication. Anda juga dapat menjalankan get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Anda juga dapat menggunakan perintah berikut:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Nonaktifkan

Untuk informasi selengkapnya, lihat Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Periksa status

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Anda juga dapat menggunakan perintah berikut:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST API

Tentukan parameter berikut:

• Temukan <subscriptionId> dengan mengunjungi Langganan di portal Azure.
• <myserver> adalah awalan dari nama server logis.
• <myresource> adalah sumber daya.

Untuk menggunakan MSAL terbaru, unduh dari MSAL.PS di PowerShell Gallery.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

dedicated SQL pool mandiri

Untuk informasi selengkapnya, lihat dokumentasi REST API Autentikasi Khusus Server Microsoft Azure AD.

Mengaktifkan atau menonaktifkan

Aktifkan

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Nonaktifkan

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Periksa status

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

Templat ARM

• Masukkan admin Microsoft Entra untuk deployment. Temukan ID Objek pengguna dengan pergi ke portal Azure dan navigasikan ke sumber Microsoft Entra ID Anda. Pada Kelola, pilih Pengguna. Cari pengguna yang ingin Anda tetapkan sebagai administrator untuk server logis Anda. Pilih pengguna, dan di halaman Profil , catat ID Objek.
• Temukan Tenant ID di halaman Ikhtisar sumber daya Microsoft Entra ID Anda.

dedicated SQL pool mandiri

Enable

Template ARM berikut mengaktifkan autentikasi Microsoft Entra-only pada server logis untuk pool SQL khusus yang berdiri sendiri. Untuk menonaktifkan autentikasi Microsoft Entra-only, atur azureADOnlyAuthentication properti ke false.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Untuk informasi selengkapnya, lihat Microsoft.Sql servers/azureADOnlyAuthentications.

Periksa autentikasi Microsoft Entra-only menggunakan T-SQL

Gunakan fungsi SERVERPROPERTY dengan IsExternalAuthenticationOnly untuk memeriksa apakah autentikasi hanya Microsoft Entra diaktifkan untuk server logis Anda. 1 menunjukkan bahwa fitur tersebut diaktifkan, dan 0 menunjukkan bahwa fitur tersebut dinonaktifkan.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Akun administrator server yang dihasilkan sistem

Saat Anda membuat server logis dengan autentikasi khusus Microsoft Entra diaktifkan, layanan akan menghasilkan nama administrator server dan kata sandi acak. Nama yang dihasilkan dimulai dengan CloudSA diikuti oleh string acak, dan muncul di portal Azure sebagai login admin Server.

Akun ini ada untuk memenuhi provisioning, bukan untuk menyediakan cara terhubung. Penyediaan kedua tipe sumber daya tersebut masih memerlukan nilai administrator autentikasi SQL. Autentikasi khusus Microsoft Entra mengubah metode autentikasi yang dapat digunakan untuk membuat koneksi setelah penyediaan, tetapi tidak menghilangkan persyaratan penyediaan tersebut, sehingga layanan menghasilkan nilai yang diperlukan untuk memenuhinya.

Melihat nama yang dihasilkan tidak berarti autentikasi SQL diaktifkan. Saat autentikasi khusus Microsoft Entra diaktifkan:

• Tidak ada akun autentikasi SQL yang dapat terhubung, termasuk administrator yang dihasilkan sistem.
• Akun yang dihasilkan bukanlah akun bersama, opsi cadangan, atau jalur akses darurat.
• Aplikasi dan administrator harus menggunakan autentikasi Microsoft Entra untuk terhubung.
• Admin Microsoft Entra dan prinsipal Microsoft Entra resmi lainnya tetap menjadi jalur administrasi yang didukung.
• Layanan menghapus kata sandi dari bidang kontrol secara permanen setelah penyediaan.

Remarks

• Kontributor SQL Server dapat menetapkan atau menghapus admin Microsoft Entra, tetapi tidak dapat menetapkan pengaturan Autentikasi Microsoft Entra saja. SQL Security Manager tidak dapat mengatur atau menghapus admin Microsoft Entra, tetapi dapat mengatur pengaturan autentikasi Microsoft Entra saja. Hanya akun dengan peran Azure RBAC yang lebih tinggi atau peran kustom yang berisi kedua izin yang dapat mengatur atau menghapus admin Microsoft Entra dan mengatur pengaturan autentikasi Microsoft Entra saja . Salah satu peran tersebut adalah peran Kontributor.
• Setelah mengaktifkan atau menonaktifkan autentikasi Microsoft Entra hanya di portal Azure, entri log aktivitas akan muncul.
• Pengaturan "hanya autentikasi Microsoft Entra" hanya dapat diaktifkan atau dinonaktifkan oleh pengguna dengan izin yang sesuai jika admin Microsoft Entra ditetapkan. Jika admin Microsoft Entra tidak diatur, pengaturan autentikasi Microsoft Entra saja tetap tidak aktif dan tidak dapat diaktifkan atau dinonaktifkan. Menggunakan API untuk mengaktifkan autentikasi khusus Microsoft Entra juga akan gagal jika admin Microsoft Entra belum ditetapkan.
• Jika autentikasi khusus Microsoft Entra diaktifkan, penggantian administrator Microsoft Entra didukung untuk pengguna yang memiliki izin yang sesuai.
• Mengubah admin Microsoft Entra dan mengaktifkan atau menonaktifkan autentikasi Microsoft Entra-only diizinkan dalam portal Azure untuk pengguna dengan izin yang sesuai. Kedua operasi dapat diselesaikan dengan satu Simpan di portal Microsoft Azure. Admin Microsoft Entra harus diatur untuk mengaktifkan autentikasi khusus Microsoft Entra.
• Menghapus admin Microsoft Entra saat fitur autentikasi khusus Microsoft Entra diaktifkan tidak didukung. Menggunakan API untuk menghapus admin Microsoft Entra akan gagal jika autentikasi khusus Microsoft Entra diaktifkan.
  • Jika pengaturan autentikasi Microsoft Entra saja diaktifkan, tombol Hapus admin tidak aktif di portal Azure.
• Menghapus admin Microsoft Entra dan menonaktifkan pengaturan autentikasi Microsoft Entra saja diizinkan, tetapi memerlukan izin pengguna yang tepat untuk menyelesaikan operasi. Kedua operasi dapat diselesaikan dengan satu Simpan di portal Microsoft Azure.
• Pengguna Microsoft Entra dengan izin yang tepat dapat meniru pengguna SQL yang ada.
  • Impersonasi tetap berjalan di antara pengguna yang menggunakan autentikasi SQL bahkan ketika autentikasi khusus Microsoft Entra diaktifkan.

Konten terkait

• Gunakan autentikasi Microsoft Entra dengan Synapse SQL
• autentikasi Microsoft Entra untuk Azure Synapse Analytics