Azure SQL の接続設定

適用対象: Azure SQL Database Azure Synapse Analytics (専用 SQL プール (旧称 SQL DW) のみ)

この記事では、Azure SQL Database のサーバーと、Azure Synapse Analytics の専用 SQL プール (以前の SQL DW) への接続を制御する設定について説明します。 これらの設定は、このサーバーに関連するすべての SQL Database と専用 SQL プール (以前の SQL DW) データベースに適用されます。

これらの設定は、お使いの論理サーバーの [ネットワーク] タブから変更できます。

SQL サーバーの Azure portal のファイアウォールと仮想ネットワークの設定のスクリーンショット。

重要

この記事は、Azure SQL Managed Instance には適用されません。 この記事は、Azure Synapse Analytics ワークスペースの専用 SQL プールにも適用されません。 ワークスペースを使用する Azure Synapse Analytics のために IP ファイアウォール規則を構成する方法のガイダンスについては、「Azure Synapse Analytics の IP ファイアウォール規則」を参照してください。

パブリック ネットワーク アクセスの拒否

ネットワーク アクセスの概要に記載されているように、お客様がパブリック エンドポイント (IP ベースのサーバー レベルのファイアウォール規則、または仮想ネットワークのファイアウォール規則を使用) またはプライベート エンドポイント (Azure Private Link を使用) のいずれかを使用して接続できるように、[接続方法] 設定の既定値は [アクセスなし] です。

[接続方法][アクセスなし] に設定されている場合は、プライベート エンドポイント経由の接続のみが許可されます。 パブリック エンドポイント経由のすべての接続が拒否され、次のようなエラー メッセージが表示されます。

Error 47073
An instance-specific error occurred while establishing a connection to SQL Server. 
The public network interface on this server is not accessible. 
To connect to this server, use the Private Endpoint from inside your virtual network.

[接続方法][アクセスなし] に設定すると、ファイアウォール規則の追加、削除、編集を試みた場合にすべてが拒否され、次のようなエラー メッセージが表示されます。

Error 42101
Unable to create or modify firewall rules when public network interface for the server is disabled. 
To manage server or database level firewall rules, please enable the public network interface.

[接続方法][パブリック エンドポイント] または [プライベート エンドポイント] に設定されていることを確認して、Azure SQL Database と Azure Synapse Analytics のファイアウォール規則を追加、削除、または編集できるようにします。

パブリック ネットワーク アクセスの変更

パブリック ネットワーク アクセスは、Azure portal、Azure PowerShell、Azure CLI を使用して変更できます。

データベースをホストしている論理サーバーに対してパブリック ネットワーク アクセスを有効にするには、Azure portal[ネットワーク] ページに移動し、[パブリック アクセス] タブを選択し、[パブリック ネットワーク アクセス][ネットワークの選択] に設定します。

このページで、仮想ネットワーク規則を追加したり、パブリック エンドポイントのファイアウォール規則を構成したりすることができます。

[プライベート アクセス] タブを選択して、プライベート エンドポイントを構成します。

Note

これらの設定は、適用後すぐに有効になります。 各設定の要件を満たしていない場合、顧客の接続が失われるおそれがあります。

TLS の最小バージョン

最小トランスポート層セキュリティ (TLS) バージョン設定を使用すると、顧客が自身の SQL データベースで使用する TLS のバージョンを選択することができます。 最小 TLS バージョンは、Azure portal、Azure PowerShell、Azure CLI を使用して変更することができます。

現在、TLS 1.0、1.1、1.2 がサポートされています。 最小 TLS バージョンを設定すると、それより新しい TLS バージョンは確実にサポートされます。 たとえば、TLS バージョン 1.1 を選択した場合、TLS 1.1 と 1.2 を使用した接続のみが受け入れられ、TLS 1.0 を使用した接続は拒否されます。 アプリケーションでサポートされているかどうかをテストした後、最小 TLS バージョンを 1.2 に設定することをお勧めします。 このバージョンには、以前のバージョンの脆弱性に対する修正プログラムが含まれており、Azure SQL Database でサポートされている TLS の最上位バージョンです。

重要

最小 TLS バージョンの既定値は、すべてのバージョンを許可することです。 TLS のバージョンを適用した後で既定値に戻すことはできません。

以前のバージョンの TLS に依存するアプリケーションを使用しているお客様には、アプリケーションの要件に従って最小 TLS バージョンを設定することをお勧めします。 暗号化されていない接続を使用して接続するアプリケーションに依存しているお客様は、最少 TLS バージョンを設定しないことをお勧めします。

詳細については、「SQL Database の接続に関する TLS の考慮事項」を参照してください。

最小 TLS バージョンを設定すると、サーバーの最小 TLS バージョンより低い TLS バージョンを使用しているお客様からのログイン試行は、次のエラーで失敗します。

Error 47072
Login failed with invalid TLS version

Azure portalSQL Server リソースにアクセスします。 [セキュリティ] 設定で [ネットワーク] を選択し、[接続] タブを選択します。サーバーに関連付けられているすべてのデータベースに必要な [最小 TLS バージョン] を選択し、[保存] を選択します。

最小 TLS バージョンのドロップダウンが選択されている、論理サーバーの [ネットワーク] 設定の [接続] タブのスクリーンショット。

接続ポリシーを変更する

お客様が Azure SQL Database に接続する方法は、接続ポリシーによって決まります。

接続ポリシーは、Azure portal、Azure PowerShell、Azure CLI を使用して変更することができます。

Azure portal を使用して、論理サーバーの接続ポリシーを変更できます。

Azure portalSQL Server リソースにアクセスします。 [セキュリティ] 設定で [ネットワーク] を選択し、[接続] タブを選択します。目的の接続ポリシーを選択し、[保存] を選択します。

接続ポリシーが選択されている [ネットワーク] ページの [接続] タブのスクリーンショット。

次のステップ

  • Azure SQL Database で接続がどのように機能するかに関する概要については、接続のアーキテクチャに関するページを参照してください。
  • サーバーの接続ポリシーの変更方法については、「conn-policy」を参照してください。