Microsoft Entra-only authentication with Azure Synapse Analytics

Microsoft Entraのみの認証を使うことで、Azure Synapse AnalyticsをMicrosoft Entra認証のみをサポートするように設定できます。

注記

Microsoft Entra server principals は現在 Azure Synapse Analytics のプレビュー中です。

Microsoft Entra専用認証は、スタンドアロン専用SQLプールやAzure Synapseワークスペースで利用可能です。 ワークスペースの設定については、「 ローカル認証を無効にする」をご覧ください。 Azure Synapse Analyticsのワークスペースにある専用SQLプールは論理SQL Serverを使用しません。

Microsoft Entraのみの認証を有効にすると、SQL認証(SQL管理者、ログイン、ユーザーからの接続を含む)を無効にします。 Microsoft Entra認証を使用しているユーザーのみが接続可能です。

スタンドアロン専用SQLプールでは、Azureポータル、Azure CLI、PowerShell、REST APIを使ってMicrosoft Entraのみの認証を有効または無効にできます。 論理サーバー作成時にAzure Resource Manager(ARM)テンプレートを使って設定することもできます。

詳細については、「 認証と承認」を参照してください。

機能の説明

Microsoft Entraのみの認証を有効にすると、ワークスペースまたは論理サーバーのSQL認証を無効にします。 SQL認証は無効化されていますが、適切な権限を持つMicrosoft Entraアカウントは新しいSQL認証のログインやユーザーを作成できます。 新たに作成されたSQL認証アカウントは接続できません。 Microsoft Entra 専用認証を有効にしても、既存の SQL 認証ログインおよびユーザー アカウントは削除されません。 この機能は、これらのアカウントがサーバーやそのサーバーのために作成されたデータベースに接続するのを防ぐだけです。

Permissions

高い特権を持つMicrosoft Entra の組み込みロール（Azure サブスクリプションのオーナーや共同作成者など）のメンバーである Microsoft Entra ユーザーは、Microsoft Entra のみの認証を有効または無効にできます。 また、SQL Security Managerの役割はMicrosoft Entraのみの認証機能を有効または無効にできます。

SQL Server Contributorの役割は、Microsoft Entraのみの認証を有効または無効にする権限を持っていません。 この制限は職務分離と整合しており、論理サーバーを作成できるユーザーやMicrosoft Entra管理者が必ずしもセキュリティ機能を有効または無効にできるわけではありません。

必要なアクション

SQL セキュリティ管理者ロールには、Microsoft Entra 専用認証機能を管理できるように、次のアクションが追加されています。

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read- AzureポータルのMicrosoft Entra IDメニューにアクセスするユーザーのみに必要

これらのアクションをカスタムロールに追加して、Microsoft Entraのみの認証を管理することもできます。 詳細については、「Microsoft Entra ID でカスタム ロールを作成して割り当てる」を参照してください。

API を使用した Microsoft Entra 専用の認証の管理

Important

Microsoft Entra のみの認証を有効にする前に、Microsoft Entra 管理者を必ず設定してください。

Azure CLI バージョン 2.14.2 以上が必要です。

name は論理サーバー名の接頭辞(例: myserver)に対応し、 resource-group はリソースグループ(例: myresource)に対応します。

スタンドアロン専用SQLプール

詳細については、「az sql server ad-only-auth」を参照してください。

有効または無効にする

Enable

az sql server ad-only-auth enable --resource-group myresource --name myserver

無効にする

az sql server ad-only-auth disable --resource-group myresource --name myserver

状況を確認してください

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Az.SQL 2.10.0以上のモジュールが必要です。

ServerName は論理サーバー名の接頭辞(例: myserver)に対応し、 ResourceGroupName はリソースグループ(例: myresource)に対応します。

スタンドアロン専用SQLプール

有効または無効にする

Enable

詳細については、「Enable-AzSqlServerActiveDirectoryOnlyAuthentication」を参照してください。 get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full を実行することもできます。

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

次のコマンドを使用することもできます。

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

無効にする

詳細については、「Disable-AzSqlServerActiveDirectoryOnlyAuthentication」を参照してください。

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

状況を確認してください

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

次のコマンドを使用することもできます。

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST API

次のパラメーターを定義します。

• Azureポータルの<subscriptionId>に移動してを見つけてください。
• <myserver> は論理サーバー名の接頭辞です。
• <myresource> は資源です。

最新のMSALを使用するには、PowerShell ギャラリー の MSAL.PS からダウンロードしてください。

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

スタンドアロン専用SQLプール

詳細については、REST API ドキュメント「Server の Azure AD 専用認証」を参照してください。

有効または無効にする

Enable

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

無効にする

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

状況を確認してください

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

ARM テンプレート

• デプロイ用の Microsoft Entra 管理者を入力します。 Azureポータルにアクセスし、Microsoft Entra ID リソースに移動して、ユーザーの Object ID を確認します。 管理 で、ユーザー を選択します。 論理サーバーの管理者に設定したいユーザーを検索してください。 ユーザーを選択し、 プロファイル ページで オブジェクトIDを確認します。
• Microsoft Entra IDリソースの概要ページでテナント ID を見つけてください。

スタンドアロン専用SQLプール

Enable

以下のARMテンプレートは、スタンドアロンの専用SQLプール向けの論理サーバー上でMicrosoft Entra専用認証を可能にします。 Microsoft Entra 専用認証を無効にするには、azureADOnlyAuthentication プロパティを false に設定します。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

詳細については、「Microsoft.Sql servers/azureADOnlyAuthentications」を参照してください。

T-SQL を使用した Microsoft Entra 専用の認証の確認

IsExternalAuthenticationOnly 関数を使用して、論理サーバーで Microsoft Entra のみの認証が有効になっているかどうかを確認してください。 1は機能が有効であることを示し、0は無効であることを示します。

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

システム生成サーバー管理者アカウント

Microsoft Entraのみの認証を有効にした論理サーバーを作成すると、サービスはサーバー管理者名とランダムなパスワードを生成します。 生成された名前はCloudSAで始まり、その後ランダムな文字列が続き、Azureポータルにサーバー管理者ログインとして表示されます。

このアカウントはプロビジョニングを満たすために存在しており、接続手段を提供するためではありません。 いずれのリソースの種類をプロビジョニングする場合でも、引き続き SQL 認証管理者の設定値が必要です。 Microsoft Entra専用の認証は、プロビジョニング後にどの認証方法が接続を確立できるかを変更しますが、そのプロビジョニング要件は削除されず、サービスがそれを満たすために必要な値を生成します。

生成された名前が見えるからといってSQL認証が有効になっているわけではありません。 Microsoft Entraのみの認証が有効になっている場合:

• システム生成の管理者を含め、どのSQL認証アカウントも接続できません。
• 生成されたアカウントは、共有アカウントでも、フォールバックでも、緊急時アクセス経路でもありません。
• アプリケーションや管理者は接続するためにMicrosoft Entra認証を使用する必要があります。
• Microsoft Entra管理者およびその他の認可されたMicrosoft Entraプリンシパルは引き続きサポートされた管理パスとして利用されています。
• サービスはプロビジョニング後に制御プレーンからパスワードを永久に削除します。

Remarks

• SQL Server Contributorは、Microsoft Entra 管理者を設定または削除できますが、Microsoft Entra 認証のみの設定を行うことはできません。 SQL Sercurity Managerは、Microsoft Entra 管理者を設定または削除できますが、Microsoft Entra 認証のみの設定を行うことはできません。 両方のアクセス許可を含む上位の Azure RBAC ロールまたはカスタム ロールを持つアカウントだけが、Microsoft Entra 管理者を設定または削除でき、かつ [Microsoft Entra authentication only](Microsoft Entra 専用認証) を設定できます。 そのようなロールの 1 つは共同作成者ロールです。
• Azure ポータルで Microsoft Entra 認証のみ を有効または無効にすると、アクティビティ ログ のエントリが表示されます。
• Azure Active Directory 認証専用の設定は、Microsoft Entra 管理者が指定されている場合に、適切なアクセス許可を持つユーザーだけが有効または無効にできます。 Microsoft Entra 管理者が設定されていない場合、 Microsoft Entra 認証の設定は 非アクティブのままであり、有効または無効にすることはできません。 Microsoft Entra 管理者が設定されていない場合、API を使用して Microsoft Entra のみの認証を有効にしても失敗します。
• Microsoft Entra 専用認証が有効になっている場合に Microsoft Entra 管理者を変更する操作は、適切なアクセス許可を持つユーザーに対してサポートされています。
• Microsoft Entra 管理者を変更し、Microsoft Entra 専用認証を有効または無効にする操作は、適切なアクセス許可を持つユーザーに対して Azure portal で許可されます。 どちらの操作も、Azure portal で [保存] を 1 回使用して実行できます。 Microsoft Entra のみの認証を有効にするには、Microsoft Entra 管理者を設定する必要があります。
• Microsoft Entra 専用認証機能が有効になっている場合の Microsoft Entra 管理者の削除はサポートされていません。 Microsoft Entra のみの認証が有効になっている場合、API を使用して Microsoft Entra 管理者を削除すると失敗します。
  • [Microsoft Entra 認証のみ] 設定が有効になっている場合、Azure portal の [管理者の削除] ボタンは非アクティブになっています。
• Microsoft Entra 管理者を削除し、[Microsoft Entra 専用認証] 設定を無効にする操作は許可されますが、操作を完了するには適切なユーザー アクセス許可が必要です。 どちらの操作も、Azure portal で [保存] を 1 回使用して実行できます。
• 適切なアクセス許可を持つ Microsoft Entra ユーザーは、既存の SQL ユーザーの権限を借用できます。
  • Microsoft Entraのみの認証が有効になっていても、SQL認証ユーザー間でのなりすましは引き続き機能します。

関連するコンテンツ

• Synapse SQLでMicrosoft Entra認証を使おう
• Azure Synapse Analytics 向けの Microsoft Entra 認証