Microsoft Entra-only authentication with Azure Synapse Analytics

Utilizzando l'autenticazione solo Microsoft Entra, puoi configurare Azure Synapse Analytics per supportare solo l'autenticazione Microsoft Entra.

Nota

Le entità server di Microsoft Entra sono attualmente in anteprima per Azure Synapse Analytics.

L'autenticazione solo Microsoft Entra è disponibile per pool SQL dedicati standalone e spazi di lavoro Azure Synapse. Per la configurazione dello spazio di lavoro, vedere Disabilitare l'autenticazione locale. I pool SQL dedicati negli spazi di lavoro di Azure Synapse Analytics non usano server SQL logici.

Quando abiliti l'autenticazione solo Microsoft Entra, disabiliti l'autenticazione SQL, incluse le connessioni da amministratori SQL, account di accesso e utenti. Solo gli utenti che utilizzano l'autenticazione Microsoft Entra possono connettersi.

Per un pool SQL dedicato standalone, puoi abilitare o disabilitare l'autenticazione esclusivamente Microsoft Entra utilizzando il portale Azure, interfaccia della riga di comando di Azure, PowerShell o l'API REST. Puoi anche configurarlo durante la creazione del server logico con un template Azure Resource Manager (ARM).

Per altre informazioni, vedere Autenticazione e autorizzazione.

Descrizione delle funzionalità

Quando abiliti l'autenticazione solo Microsoft Entra, disabiliti l'autenticazione SQL per lo spazio di lavoro o il server logico. Sebbene l'autenticazione SQL sia disabilitata, gli account Microsoft Entra con i permessi appropriati possono comunque creare nuovi login e utenti di autenticazione SQL. Gli account di autenticazione SQL appena creati non riescono a connettersi. L'abilitazione dell'autenticazione esclusivamente Microsoft Entra non rimuove gli account di accesso SQL e gli account utente esistenti. La funzione impedisce solo a questi account di connettersi al server e a qualsiasi database creato per questo server.

Permissions

Gli utenti Microsoft Entra che appartengono a ruoli integrati ad alto privilegio di Microsoft Entra, come i proprietari e i Collaboratori di abbonamento Azure, possono abilitare o disabilitare l'autenticazione esclusivamente Microsoft Entra. Inoltre, il ruolo SQL Security Manager può abilitare o disabilitare la funzionalità di autenticazione esclusivamente Microsoft Entra.

Il ruolo di SQL Server Contributor non ha il permesso di abilitare o disabilitare l'autenticazione Microsoft Entra-only. Questa restrizione è coerente con la separazione dei compiti: gli utenti che possono creare un server logico o essere amministratori di Microsoft Entra non possono necessariamente abilitare o disabilitare le funzionalità di sicurezza.

Azioni richieste

Le azioni seguenti vengono aggiunte al ruolo Gestore sicurezza SQL per consentire la gestione della funzionalità di autenticazione basata solo su Microsoft Entra.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read - richiesto solo per gli utenti che accedono al menu Microsoft Entra ID del portale Azure

Puoi anche aggiungere queste azioni a un ruolo personalizzato per gestire l'autenticazione basata solo su Microsoft Entra. Per altre informazioni, vedere Creare e assegnare un ruolo personalizzato in Microsoft Entra ID.

Gestire l'autenticazione basata solo su Microsoft Entra tramite le API

Importante

Devi impostare l'amministratore Microsoft Entra prima di abilitare l'autenticazione solo Microsoft Entra.

È necessaria la versione 2.14.2 o versioni successive dell'interfaccia della riga di comando di Azure.

name corrisponde al prefisso del nome logico del server (ad esempio, myserver) e resource-group corrisponde al gruppo di risorse (ad esempio, myresource).

Pool SQL dedicato autonomo

Per altre informazioni, vedere az sql server ad-only-auth.

Abilitare o disabilitare

Enable

az sql server ad-only-auth enable --resource-group myresource --name myserver

Disable

az sql server ad-only-auth disable --resource-group myresource --name myserver

Controlla lo stato

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Ti serve un modulo Az.Sql 2.10.0 o superiore.

ServerName corrisponde al prefisso del nome logico del server (ad esempio, myserver) e ResourceGroupName corrisponde al gruppo di risorse (ad esempio, myresource).

Pool SQL dedicato standalone

Abilitare o disabilitare

Enable

Per altre informazioni vedere Enable-AzSqlServerActiveDirectoryOnlyAuthentication. È anche possibile eseguire get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

È anche possibile usare il comando seguente:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Disable

Per altre informazioni vedere Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Controlla lo stato

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

È anche possibile usare il comando seguente:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

API REST

Definire i parametri seguenti:

• Trova <subscriptionId> andando su Abbonamenti nel portale Azure.
• <myserver> è il prefisso del nome logico del server.
• <myresource> è la risorsa.

Per utilizzare l'ultimo MSAL, scaricalo da MSAL.PS su PowerShell Gallery.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

Pool SQL dedicato standalone

Per altre informazioni, vedere la documentazione dell'API REST Autenticazioni server esclusive di Azure AD.

Abilitare o disabilitare

Enable

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Disable

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Controlla lo stato

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

Modello ARM

• Inserisci l'amministratore di Microsoft Entra per la distribuzione. Trova l'ID dell'Oggetto utente andando al portale Azure e navigando nella tua risorsa Microsoft Entra ID. In Gestisci, seleziona Utenti. Cerca l'utente che vuoi impostare come amministratore per il tuo server logico. Seleziona l'utente e, nella pagina Profilo, prendi nota di l'ID dell'Oggetto.
• Trova l'ID Tenant nella pagina Panoramica della tua risorsa Microsoft Entra ID.

Pool SQL dedicato standalone

Enable

Il seguente modello ARM consente l'autenticazione Microsoft Entra-only sul server logico per un pool SQL dedicato standalone. Per disabilitare l'autenticazione basata solo su Microsoft Entra, impostare la proprietà azureADOnlyAuthentication su false.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Per altre informazioni vedere Microsoft.Sql servers/azureADOnlyAuthentications.

Controllare l'autenticazione basata solo su Microsoft Entra tramite T-SQL

Usa la funzione SERVERPROPERTY per IsExternalAuthenticationOnly verificare se l'autenticazione solo Microsoft Entra è abilitata per il tuo server logico. 1 indica che la funzione è abilitata e 0 che è disabilitata.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Account dell'amministratore del server generato dal sistema

Quando crei un server logico con l'autenticazione solo Microsoft Entra abilitata, il servizio genera un nome amministratore del server e una password casuale. Il nome generato inizia con CloudSA seguito da una stringa casuale, e appare nel portale Azure come login amministratore del server.

L'account esiste per soddisfare il provisioning, non per fornire un modo per connettersi. Il provisioning di uno dei due tipi di risorsa richiede comunque valori amministratori di autenticazione SQL. L'autenticazione esclusivamente tramite Microsoft Entra modifica i metodi di autenticazione che possono essere usati per stabilire una connessione dopo il provisioning, ma non elimina il requisito del provisioning, quindi il servizio genera i valori necessari per soddisfarlo.

Vedere un nome generato non significa che l'autenticazione SQL sia abilitata. Quando è abilitata l'autenticazione esclusivamente tramite Microsoft Entra:

• Nessun account di autenticazione SQL può connettersi, incluso l'amministratore generato dal sistema.
• L'account generato non è un account condiviso, una soluzione di riserva o una procedura break-glass.
• Applicazioni e amministratori devono utilizzare l'autenticazione Microsoft Entra per connettersi.
• L'amministratore di Microsoft Entra e altre entità autorizzate di Microsoft Entra rimangono le modalità di amministrazione supportate.
• Il servizio rimuove permanentemente la password dal piano di controllo dopo il processo di provisioning.

Remarks

• Un collaboratore di SQL Server può impostare o rimuovere un amministratore di Microsoft Entra, ma non può configurare l'impostazione Autenticazione basata solo su Microsoft Entra. Il Gestore sicurezza SQL non può impostare o rimuovere un amministratore di Microsoft Entra, ma può configurare l'impostazione Autenticazione basata solo su Microsoft Entra. Solo gli account con ruoli di Azure RBAC di livello superiore o ruoli personalizzati che includono entrambe le autorizzazioni possono impostare o rimuovere un amministratore di Microsoft Entra e impostare l'impostazione Autenticazione di Microsoft Entra esclusiva. Uno di questi è il ruolo Collaboratore.
• Dopo aver abilitato o disabilitato solo autenticazione Microsoft Entra nel portale Azure, appare una voce Registro attività.
• L'impostazione Autenticazione basata solo su Microsoft Entra può essere abilitata o disabilitata solo dagli utenti con le autorizzazioni appropriate se è specificato l'amministratore di Microsoft Entra. Se l'amministratore di Microsoft Entra non è impostato, l'impostazione solo autenticazione di Microsoft Entra rimane inattiva e non può essere abilitata o disabilitata. L'uso delle API per abilitare l'autenticazione basata solo su Microsoft Entra avrà esito negativo anche se l'amministratore di Microsoft Entra non è stato impostato.
• La modifica di un amministratore di Microsoft Entra quando è abilitata l'autenticazione basata solo su Microsoft Entra è supportata per gli utenti con le autorizzazioni appropriate.
• La modifica di un amministratore di Microsoft Entra e l'abilitazione o la disabilitazione dell'autenticazione basata solo su Microsoft Entra è consentita nel portale di Azure per gli utenti con le autorizzazioni appropriate. Entrambe le operazioni possono essere completate facendo un clic su Salva nel portale di Azure. L'amministratore di Microsoft Entra deve essere impostato per abilitare l'autenticazione basata solo su Microsoft Entra.
• La rimozione di un amministratore di Microsoft Entra quando la funzionalità di autenticazione basata solo su Microsoft Entra è abilitata non è supportata. Se l'autenticazione basata solo su Microsoft Entra è abilitata, l'uso di una API per rimuovere un amministratore di Microsoft Entra avrà esito negativo.
  • Se l'impostazione autenticazione basata solo su Microsoft Entra è abilitata, il pulsante Rimuovi amministratore è inattivo nel portale di Azure.
• Rimuovere un amministratore di Microsoft Entra e disabilitare l'impostazione autenticazione basata solo su Microsoft Entra è consentito, ma richiede l'autorizzazione utente appropriata per completare le operazioni. Entrambe le operazioni possono essere completate facendo un clic su Salva nel portale di Azure.
• Gli utenti di Microsoft Entra con autorizzazioni appropriate possono rappresentare utenti SQL esistenti.
  • L'impersonazione continua a funzionare tra utenti con autenticazione SQL anche quando è abilitata l'autenticazione solo Microsoft Entra.

Contenuti correlati

• Usa l'autenticazione Microsoft Entra con Synapse SQL
• Autenticazione Microsoft Entra per Azure Synapse Analytics