Azure Private Link for Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse adalah gudang relasional skala perusahaan pada fondasi data lake, dengan arsitektur siap masa depan, AI bawaan, dan fitur baru. Jika Anda baru menggunakan pergudangan data, mulailah dengan Fabric Data Warehouse. Beban kerja kumpulan SQL terdedikasi yang ada dapat ditingkatkan ke Fabric untuk mengakses kemampuan baru di seluruh ilmu data, analitik waktu nyata, dan pelaporan.

Dengan menggunakan Azure Private Link, Anda dapat terhubung ke Synapse SQL melalui endpoint privat. Titik akhir privat adalah antarmuka jaringan dengan alamat IP privat di jaringan virtual dan subnet Anda. Lalu lintas tetap berada di jaringan backbone Microsoft, bukan melalui internet publik.

Selalu gunakan nama domain yang sepenuhnya memenuhi syarat (FQDN) server (<server>.database.windows.net) dalam string koneksi untuk semua driver dan alat klien. Upaya autentikasi yang menggunakan alamat IP privat atau FQDN tautan privat (<server>.privatelink.database.windows.net) tidak berhasil. Perilaku ini memang dirancang karena endpoint privat mengarahkan lalu lintas ke SQL Gateway, yang membutuhkan FQDN yang benar untuk mengarahkan permintaan autentikasi dengan sukses.

Proses pembuatan

Buat endpoint privat menggunakan portal Azure, PowerShell, atau Azure CLI:

Proses persetujuan

Setelah admin jaringan membuat endpoint privat (PE), admin SQL dapat mengelola koneksi endpoint privat (PEC) ke SQL Database.

  1. Buka sumber daya server di portal Azure.

  2. Buka halaman persetujuan endpoint privat. Di sumber daya server SQL Azure Synapse Analytics, di bawah Security pada menu resource, pilih Private endpoint connections.

  3. Lihat hal-hal berikut:

    • Daftar semua koneksi endpoint privat (PEC)
    • Endpoint pribadi (PE) yang dibuat

  4. Jika tidak ada titik akhir privat, buatlah satu dengan memilih Buat titik akhir privat. Jika tidak, pilih PEC individual dari daftar dengan memilihnya.

  5. Admin SQL dapat menyetujui atau menolak PEC dan secara opsional menambahkan respons teks singkat.

  6. Setelah persetujuan atau penolakan, daftar tersebut mencerminkan status yang sesuai beserta teks respons.

  7. Pilih nama endpoint privat.

    Tindakan ini membawa Anda ke halaman ikhtisar endpoint privat . Pilih tautan antarmuka jaringan untuk melihat detail antarmuka jaringan untuk koneksi endpoint privat.

    Halaman Antarmuka jaringan memperlihatkan alamat IP privat untuk koneksi titik akhir privat.

Important

Saat Anda menambahkan koneksi titik akhir privat, perutean publik ke server logis Anda tidak diblokir secara default. Di panel Firewall dan jaringan virtual, pengaturan Tolak akses jaringan publik tidak dipilih secara default. Untuk menonaktifkan akses jaringan publik, pastikan Anda memilih Tolak akses jaringan publik.

Menonaktifkan akses publik ke server logis Anda

Di server SQL Azure Synapse Analytics Anda, Anda dapat menonaktifkan semua akses publik ke server logis Anda dan hanya mengizinkan koneksi dari jaringan virtual Anda.

Pertama, pastikan koneksi titik akhir privat Anda diaktifkan dan dikonfigurasi. Kemudian, nonaktifkan akses publik ke server logis Azure SQL Anda:

  1. Akses halaman Networking server logis Anda.
  2. Pilih kotak centang Tolak akses jaringan publik.

Menguji konektivitas ke SQL Database dari Azure VM di jaringan virtual yang sama

Untuk skenario ini, asumsikan Anda membuat Azure Virtual Machine (VM) yang menjalankan versi terbaru Windows di jaringan virtual yang sama dengan endpoint privat.

  1. Mulai sesi Desktop Jarak Jauh (RDP) dan sambungkan ke komputer virtual.

  2. Anda kemudian dapat melakukan beberapa pemeriksaan konektivitas dasar untuk memastikan VM terhubung ke SQL Database melalui endpoint privat dengan menggunakan alat berikut:

Periksa konektivitas menggunakan Telnet

Telnet adalah fitur Windows yang dapat Anda gunakan untuk menguji konektivitas. Tergantung pada versi Windows, Anda mungkin perlu secara eksplisit mengaktifkan fitur ini.

Buka jendela Command Prompt setelah Anda menginstal Telnet. Jalankan perintah Telnet dan tentukan alamat IP dan titik akhir privat database di SQL Database.

telnet 10.9.0.4 1433

Ketika Telnet berhasil terhubung, layar kosong akan muncul di jendela perintah.

Periksa konektivitas menggunakan PowerShell

Gunakan perintah PowerShell untuk memeriksa konektivitas:

Test-NetConnection -computer myserver.database.windows.net -port 1433

Periksa konektivitas menggunakan PsPing

Gunakan PsPing sebagai berikut untuk memeriksa bahwa endpoint pribadi mendengarkan koneksi pada port 1433.

Jalankan PsPing dengan menyediakan FQDN untuk server SQL logis dan port 1433:

PsPing.exe mysqldbsrvr.database.windows.net:1433

Contoh ini menunjukkan output yang diharapkan:

TCP connect to 10.9.0.4:1433:
5 iterations (warmup 1) ping test:
Connecting to 10.9.0.4:1433 (warmup): from 10.6.0.4:49953: 2.83ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49954: 1.26ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49955: 1.98ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49956: 1.43ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49958: 2.28ms

Output menunjukkan bahwa PsPing dapat melakukan ping pada alamat IP privat yang terkait dengan endpoint privat tersebut.

Periksa konektivitas menggunakan Nmap

Nmap (Network Mapper) adalah alat gratis dan sumber terbuka untuk penemuan jaringan dan audit keamanan. Untuk informasi lebih lanjut dan tautan unduhan, kunjungi https://Nmap.org. Gunakan alat ini untuk memastikan bahwa endpoint privat mendengarkan koneksi pada port 1433.

Jalankan Nmap dengan menyediakan rentang alamat subnet yang menjadi host endpoint privat.

Nmap -n -sP 10.9.0.0/24

Contoh ini menunjukkan output yang diharapkan:

Nmap scan report for 10.9.0.4
Host is up (0.00s latency).
Nmap done: 256 IP addresses (1 host up) scanned in 207.00 seconds

Hasilnya menunjukkan bahwa satu alamat IP aktif, yang sesuai dengan alamat IP untuk titik akhir privat.

Periksa konektivitas menggunakan SQL Server Management Studio (SSMS)

Gunakan Nama Domain Berkualifikasi Penuh (FQDN) server dalam string koneksi untuk klien Anda ( <server>.database.windows.net ). Setiap upaya login yang dilakukan langsung ke alamat IP atau menggunakan tautan privat FQDN (<server>.privatelink.database.windows.net) gagal. Perilaku ini memang disengaja, karena endpoint privat mengarahkan lalu lintas ke SQL Gateway di wilayah tersebut. Anda perlu menentukan FQDN yang benar agar login berhasil.

Ikuti langkah-langkah di Use SSMS to Connect to the SQL Database. Setelah Anda terhubung menggunakan SSMS, kueri berikut mengembalikan client_net_address yang sesuai dengan alamat IP privat VM Azure yang Anda gunakan untuk terhubung:

SELECT client_net_address
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Konektivitas lokal melalui "private peering"

Saat Anda terhubung ke endpoint publik dari mesin on-premises, Anda perlu menambahkan alamat IP Anda ke firewall berbasis IP menggunakan aturan firewall tingkat server. Meskipun model ini bekerja dengan baik untuk memungkinkan akses ke komputer individu untuk beban kerja pengembangan atau pengujian, sulit untuk dikelola di lingkungan produksi.

Dengan menggunakan Private Link, Anda dapat mengaktifkan akses lintas lingkungan lokal ke endpoint privat dengan menggunakan ExpressRoute, private peering, atau tunneling VPN. Anda kemudian dapat menonaktifkan semua akses melalui endpoint publik dan tidak menggunakan firewall berbasis IP untuk mengizinkan alamat IP apa pun.

Klien dapat terhubung ke titik akhir privat dari jaringan virtual yang sama, jaringan virtual peered di wilayah yang sama, atau melalui koneksi jaringan virtual ke jaringan virtual lintas wilayah. Selain itu, klien dapat terhubung dari lingkungan lokal dengan menggunakan ExpressRoute, private peering, atau VPN tunneling. Diagram yang disederhanakan berikut menunjukkan kasus penggunaan umum.

Selain itu, layanan yang tidak berjalan langsung di jaringan virtual tetapi terintegrasi dengannya (misalnya, aplikasi web App Service atau Functions) juga dapat mencapai konektivitas privat ke database.

Terhubung dari VM Azure dalam jaringan virtual peered

Konfigurasikan peering jaringan virtual untuk membangun konektivitas ke SQL Database dai komputer virtual Azure dalam jaringan virtual peering.

Menghubungkan dari sebuah Azure VM yang berada di jaringan virtual ke dalam lingkungan jaringan virtual.

Konfigurasikan jaringan virtual ke koneksi gateway VPN jaringan virtual untuk membangun konektivitas ke database di SQL Database dari komputer virtual Azure di wilayah atau langganan yang berbeda.

Menyambungkan dari lingkungan lokal melalui VPN

Untuk membangun konektivitas dari lingkungan on-premises, pilih dan terapkan salah satu opsi berikut:

Pertimbangkan skenario konfigurasi DNS juga, karena FQDN layanan dapat diresolusikan menjadi alamat IP publik.

Hubungkan Azure Synapse Analytics ke Azure Storage dengan menggunakan PolyBase dan pernyataan COPY

Gunakan PolyBase dan pernyataan COPY untuk memuat data ke Azure Synapse Analytics dari akun Azure Storage. Jika akun Azure Storage yang menjadi sumber pemuatan data Anda membatasi akses hanya ke serangkaian subnet jaringan virtual dengan menggunakan Private Endpoints, Service Endpoints, atau firewall berbasis IP, konektivitas dari PolyBase dan pernyataan COPY ke akun akan terputus. Untuk mengaktifkan skenario impor dan ekspor dengan Azure Synapse Analytics yang terhubung ke Azure Storage yang diamankan ke jaringan virtual, lihat Dampak penggunaan titik akhir layanan jaringan virtual dengan Azure Storage.

Pencegahan penyelundupan data

Eksfiltrasi data terjadi ketika seorang pengguna, seperti admin basis data, mengekstrak data dari satu sistem dan memindahkannya ke lokasi atau sistem lain di luar organisasi. Misalnya, pengguna memindahkan data ke akun penyimpanan yang dimiliki oleh entitas non-Microsoft.

Pertimbangkan skenario dengan pengguna yang menjalankan SQL Server Management Studio (SSMS) dalam komputer virtual Azure yang menyambungkan ke database di SQL Database. Database ini berada di pusat data AS Barat. Contoh berikut menunjukkan cara membatasi akses dengan endpoint publik dengan menggunakan kontrol akses jaringan.

  1. Nonaktifkan semua lalu lintas layanan Azure ke SQL Database melalui endpoint publik dengan mengatur Izinkan Azure Services ke OFF. Pastikan aturan firewall tingkat server dan basis data tidak mengizinkan alamat IP apa pun. Untuk informasi lebih lanjut, lihat kontrol akses jaringan Azure Synapse Analytics.
  2. Izinkan lalu lintas hanya ke alamat IP privat VM. Untuk informasi lebih lanjut, lihat aturan firewall jaringan virtual.
  3. Pada Azure VM, persempit cakupan koneksi keluar dengan menggunakan Network Security Groups (NSG) dan Service Tags sebagai berikut:
    • Tetapkan aturan NSG untuk mengizinkan lalu lintas bagi Service Tag = SQL.WestUs - hanya mengizinkan koneksi ke SQL Database di West US.
    • Tentukan aturan NSG dengan prioritas lebih tinggi untuk menolak lalu lintas Service Tag = Sql - menolak koneksi ke SQL Database di semua wilayah.

Pada akhir pengaturan ini, VM Azure hanya dapat terhubung ke sumber daya di region West US. Namun, konektivitas tidak terbatas pada satu basis data saja. VM masih dapat terhubung ke database mana pun di wilayah West US, termasuk database yang bukan bagian dari langganan. Meskipun Anda memperkecil cakupan eksfiltrasi data dalam skenario sebelumnya ke wilayah tertentu, Anda tidak menghilangkannya sepenuhnya.

Dengan menggunakan Private Link, Anda dapat mengatur kontrol akses jaringan seperti NSG untuk membatasi akses ke endpoint privat. Anda dapat memetakan sumber daya Azure PaaS individual ke endpoint privat tertentu. Orang dalam yang berbahaya hanya dapat mengakses sumber daya PaaS yang dipetakan dan tidak dapat mengakses sumber daya lainnya.

Konten terkait

  • Terakhir diperbarui pada