Condividi tramite

Configurare l'ID Microsoft Entra per la federazione di SQL Server

Questa pagina descrive come configurare la federazione di Databricks Lakehouse per eseguire query federate in Microsoft SQL Server usando l'autenticazione microsoft Entra ID. Sono supportati sia i flussi OAuth da utente a computer (U2M) che da computer a computer (M2M).

Flussi OAuth supportati

  • U2M: eseguire l'autenticazione con un account Microsoft. All'utente viene richiesto di accedere usando un URI di reindirizzamento e viene rilasciato il token di accesso per l'utente.
  • M2M: eseguire l'autenticazione con un'entità servizio. Il token di accesso viene rilasciato per l'applicazione anziché per un utente specifico.

Nell'area di lavoro Databricks, OAuth fa riferimento all'autenticazione U2M e OAuth Machine to Machine fa riferimento all'autenticazione M2M.

Prima di iniziare

Prima di poter eseguire query federate in SQL Server usando Entra ID, è necessario disporre degli elementi seguenti:

  • Accesso a una sottoscrizione di Azure e autorizzazioni per registrare le applicazioni in Microsoft Entra ID.
  • Accesso amministratore all'istanza di SQL Server per creare oggetti principali Entra.

Registrare un'applicazione in Microsoft Entra ID

Per creare una registrazione dell'applicazione per l'autenticazione, eseguire le operazioni seguenti:

  1. Accedi al portale di Azure.
  2. Passare a Microsoft Entra ID>Registrazioni app>Nuova registrazione.
  3. Immettere un nome per l'app.
    • Per U2M (OAuth) impostare l'URI di reindirizzamento su quanto segue: https://<workspace-url>/login/oauth/azure.html
    • Per M2M (Service Principal), lasciare vuoto l'URI di reindirizzamento.
  4. Fare clic su Registra.
  5. Copiare l'ID dell'applicazione (client) e l'ID della directory (tenant).
  6. Passare a Certificati e segreti>Nuovo segreto client.
  7. Salvare il valore del segreto generato.

Assegnare autorizzazioni all'applicazione

Per consentire all'applicazione di eseguire l'autenticazione in SQL Server, assegnare le autorizzazioni API necessarie:

  1. Passare a Autorizzazioni> APIAggiungere un'autorizzazione.
  2. Selezionare Azure SQL Database>user_impersonation (autorizzazioni delegate).
  3. Per M2M, garantire che l'applicazione abbia le autorizzazioni necessarie per l'autenticazione del principale del servizio.
  4. Per l'autenticazione M2M in Istanza SQL gestita di Azure, assicurarsi di aver assegnato al ruolo "Lettori directory" l'identità dell'istanza gestita.

Creare un'entità servizio in SQL Server (solo M2M)

  1. Connettersi all'istanza di SQL Server usando le credenziali di accesso dell'ID Entra. È necessario disporre delle autorizzazioni per creare un nuovo utente.

  2. Creare un nuovo account di accesso e un nuovo utente per l'app Entra.

  3. Concedere le autorizzazioni di lettura all'utente.

    CREATE LOGIN [<app_name>] FROM EXTERNAL PROVIDER;
CREATE USER [<app_name>] FROM LOGIN [<app_name>];
ALTER ROLE db_datareader ADD MEMBER [<app_name>];

Per informazioni dettagliate e scenari avanzati, vedere le pagine seguenti nella documentazione di Microsoft:

Creare una connessione

Nell'area di lavoro Databricks eseguire le operazioni seguenti:

  1. Nella barra laterale fare clic su Catalogo>Aggiungi>una connessione.
  2. In Tipo di connessione selezionare SQL Server.
  3. Per Tipo di autenticazione selezionare OAuth (U2M) o OAuth Machine to Machine (M2M).
  4. Immettere le proprietà di connessione seguenti:
    • Host: nome host di SQL Server.
    • Porta: porta di SQL Server.
    • Utente: per U2M, l'utente dell'account Microsoft. Per M2M, nome principale del servizio.
    • Immettere l'ID client e il segreto client dalla registrazione dell'app Entra.
    • Immettere l'endpoint di autorizzazione:
      • U2M: https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/authorize
      • M2M: https://login.microsoftonline.com/<tenant-id>/oauth2/v2.0/token
    • Per ambito OAuth, inserire https://database.windows.net/.default offline_access (solo U2M).
  5. Per U2M, fare clic su Accedi con l'ID Entra di Azure e completare il flusso di autenticazione.
  6. Fare clic su Crea connessione e passare alla creazione del catalogo.

Passaggi successivi

Ora che la connessione a SQL Server è stata creata, è possibile:

  • Last updated on