이 글에서는 Azure Synapse Analytics에서 인증에 Microsoft Entra ID를 사용하는 방법을 보여줍니다.
참고
Microsoft Entra server principals는 현재 Azure Synapse Analytics에서 미리 보기로 제공됩니다.
Prerequisites
Microsoft Entra 인증을 Azure Synapse Analytics에서 사용하려면 다음 전제 조건이 필요합니다:
- 사용자 및 그룹으로 채워진 Microsoft Entra 테넌트입니다.
- 기존의 Azure Synapse 작업 공간 또는 독립형 전용 SQL 풀.
Microsoft Entra 테넌트 만들기 및 채우기
Azure Synapse Analytics에 대해 Microsoft Entra 인증을 설정하기 전에, Microsoft Entra 테넌트를 생성하고 사용자와 그룹을 추가해야 합니다. Microsoft Entra 테넌트는 Azure 내에서 전적으로 관리할 수 있고, 온프레미스 Active Directory 도메인 서비스의 페더레이션에 사용할 수도 있습니다.
자세한 내용은 다음을 참조하세요:
- Microsoft Entra ID는 무엇인가요?
- 온-프레미스 ID를 Microsoft Entra ID와 통합하기
- Microsoft Entra ID에 도메인 이름 추가
- Microsoft Entra ID 페더레이션은 무엇인가요?
- Microsoft Entra ID를 사용하여 디렉터리 동기화
- Windows PowerShell을 사용하여 Microsoft Entra ID 관리
- 포트 및 프로토콜이 필요한 하이브리드 ID
Microsoft Entra 관리자 설정
Microsoft Entra 인증을 사용하려면 Azure Synapse 리소스에 Microsoft Entra 관리자가 필요합니다.
리소스를 생성할 때 Microsoft Entra 관리자 설정도 가능합니다. 이미 관리자 설정이 되어 있다면 이 섹션은 건너뛰세요.
Azure Synapse 작업 영역
Azure Synapse 작업 공간의 경우, 작업 공간에서 Microsoft Entra 관리자를 설정하세요. 자세한 내용은 관리자 구조를 참조하세요.
독립형 전용 SQL 풀
Microsoft Entra 관리자를 설정하면 독립 실행형 전용 SQL 풀을 호스팅하는 논리 서버에 대해 Microsoft Entra 인증이 활성화됩니다. 관리자는 Azure 포털, PowerShell, Azure CLI, REST API를 사용해 설정할 수 있습니다.
Azure 포털에서 논리 서버 이름을 찾을 수 있습니다.
- Azure Synapse Analytics 독립 실행형 전용 SQL 풀의 Overview 페이지에 있는 server 이름 필드에 있습니다.
Azure Portal에서 논리 서버에 대한 Microsoft Entra 관리자를 설정하려면 다음 단계를 수행합니다.
Azure 포털 디렉토리 + 구독 창에서 Azure Synapse 리소스가 포함된 디렉터리를 현재 디렉터리로 선택하세요.
SQL 서버를 검색한 후 전용 SQL 풀의 논리 서버를 선택하여 SQL 서버 창을 열어보세요.
논리 서버의 SQL 서버 창에서 설정 아래 Microsoft Entra ID을 선택하여 Microsoft Entra ID 창을 엽니다.
Microsoft Entra ID 창에서 set admin을 선택하여 Microsoft Entra ID 창을 엽니다.
Microsoft Entra ID 창에는 현재 디렉터리의 모든 사용자, 그룹 및 애플리케이션이 표시되며 이름, 별칭 또는 ID별로 검색할 수 있습니다. Microsoft Entra 관리자에 대해 원하는 ID를 찾은 다음, 선택 선택하여 창을 닫습니다.
논리 서버의 Microsoft Entra ID 페이지 맨 위에서 저장을 선택하세요.
Microsoft Entra 사용자 및 그룹의 관리자 이름 옆에 Object ID 표시됩니다. 애플리케이션(서비스 주체)의 경우 애플리케이션 ID가 표시됩니다.
관리자를 변경하는 데는 몇 분이 걸릴 수 있습니다. 그런 다음 새 관리자가 Microsoft Entra 관리자 필드에 나타납니다.
관리자를 제거하려면 Microsoft Entra ID 페이지의 맨 위에서 관리자 제거를 선택한 다음, 저장을 선택합니다. Microsoft Entra 관리자를 제거하면 논리 서버에 대한 Microsoft Entra 인증이 비활성화됩니다.
참고
Microsoft Entra 관리자는 서버의 master 데이터베이스에 사용자(데이터베이스 보안 주체)로 저장됩니다. 데이터베이스 보안 주체 이름은 고유해야 하므로 관리자의 표시 이름은 서버 master 데이터베이스에 있는 사용자의 이름과 같을 수 없습니다. 이름을 가진 사용자가 이미 있는 경우 Microsoft Entra 관리자 설정이 실패하고 롤백되어 이름이 이미 사용 중임을 나타냅니다.
Microsoft Graph 권한 할당
일부 작업의 경우 Azure Synapse Analytics는 Microsoft Graph 권한에 설명된 대로 Microsoft Graph를 쿼리할 권한이 필요합니다. Azure Synapse Analytics는 리소스 ID에서 GroupMember.Read.All, Application.Read.All, User.Read.All와 같은 세분화된 Microsoft Graph API 권한을 지원합니다. 이 방법은 최소 권한 원칙을 따르며 권장됩니다. 디렉토리 리더 역할도 더 넓은 대안으로 사용할 수 있습니다. 자세한 내용은 Azure Synapse Analytics의 Managed identities in Microsoft Entra를 참조하세요.
디렉터리 읽기 권한자 역할
가이드 절차는 Microsoft Entra 그룹에 디렉터리 리더 역할 할당을 참조하세요.
다음 PowerShell 스크립트는 Directory Readers 역할에 Azure Synapse 리소스 아이덴티티를 추가합니다.
# This script grants "Directory Readers" permission to an Azure Synapse service principal.
# It can be executed only by a user who is a member of the **Privileged Roles Administrator** role.
Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>" # Enter the name of your managed instance or server
$tenantId = "<TenantId>" # Enter your tenant ID
Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"
# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
# Instantiate an instance of the role template
$roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}
# Get service principal for your logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
exit
}
if (-not ($roleMember.Count -eq 1)) {
Write-Output "Error: Multiple service principals with name '$($instanceName)'"
Write-Output $roleMember | Format-List DisplayName, Id, AppId
exit
}
# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
# Add principal to Directory Readers role
Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
$body = @{
"@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
}
New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}
Microsoft Entra 관리자는 이제 Microsoft Entra 서버 프린시펄(로그인)과 데이터베이스 프린시펄(사용자)을 생성할 수 있습니다.
SQL에서 Microsoft Entra 원리 만들기
Microsoft Entra 인증으로 Azure Synapse Analytics에서 데이터베이스에 연결하려면, 해당 아이덴티티에 대해 최소한 CONNECT 권한이 있는 데이터베이스 보안 주체를 설정해야 합니다.
데이터베이스 사용자 권한
데이터베이스 사용자를 생성하면 기본적으로 해당 데이터베이스에 대한 CONNECT 권한을 받습니다. 또한 데이터베이스 사용자는 다음 두 가지 상황에서 사용 권한을 상속합니다.
- 사용자는 서버에 권한이 할당된 Microsoft Entra 그룹의 멤버입니다.
- 로그인에서 사용자를 만들면, 사용자는 데이터베이스에 적용되는 로그인에 서버에서 할당된 권한을 상속받습니다.
서버 및 데이터베이스 보안 주체에 대한 권한 관리는 보안 주체 유형(Microsoft Entra ID, SQL 인증 등)에 관계없이 동일하게 작동합니다. 사용자에게 직접 권한을 부여하는 대신 데이터베이스 역할에 권한을 부여하세요. 그 다음 적절한 권한이 있는 역할에 사용자를 추가하세요. 이 접근법은 장기적인 권한 관리를 단순화하고, 더 이상 적절하지 않을 때 ID가 접근 권한을 유지할 가능성을 줄여줍니다.
자세한 내용은 다음을 참조하세요:
포함된 데이터베이스 사용자
포함된 데이터베이스 사용자는 master 데이터베이스의 로그인에 연결되지 않은 SQL 사용자 유형입니다. Microsoft Entra 포함 데이터베이스 사용자를 생성하려면, 최소한 ALTER ANY USER 권한이 있는 Microsoft Entra 신원으로 데이터베이스에 연결해야 합니다. 다음 T-SQL 예시는 Microsoft Entra ID에서 Microsoft_Entra_principal_name라는 이름의 데이터베이스 프린시펄을 생성합니다.
CREATE USER [<Microsoft_Entra_principal_name>] FROM EXTERNAL PROVIDER;
Microsoft Entra 그룹에 대해 포함된 데이터베이스 사용자를 만들려면 그룹의 표시 이름을 입력합니다.
CREATE USER [ICU Nurses] FROM EXTERNAL PROVIDER;
관리 ID 또는 서비스 주체에 대해 포함된 데이터베이스 사용자를 만들려면 ID의 표시 이름을 입력합니다.
CREATE USER [appName] FROM EXTERNAL PROVIDER;
Microsoft Entra 사용자에 대해 제한된 데이터베이스 사용자를 만들려면 ID의 사용자 주 이름을 입력합니다.
CREATE USER [adrian@contoso.com] FROM EXTERNAL PROVIDER;
로그인 기반 사용자
참고
Microsoft Entra server principals (logins)은 현재 Azure Synapse Analytics preview 중입니다.
Microsoft Entra 서버 주체(또는 로그인)가 지원되므로 포함된 데이터베이스 사용자가 필요하지 않습니다. 데이터베이스 보안 주체(사용자)는 서버 보안 주체를 기반으로 만들 수 있습니다. 즉, Microsoft Entra 사용자는 로그인의 서버 수준 할당 권한을 상속할 수 있습니다.
CREATE USER [appName] FROM LOGIN [appName];
Microsoft Entra 서버 보안 주체(로그인)를 만드는 구문은 CREATE LOGIN을 참조하세요.
외부 사용자
Azure 구독과 연결된 것과 다른 Microsoft Entra 테넌트에서 관리되는 ID에 대한 데이터베이스 사용자를 직접 만들 수 없습니다. 하지만 다른 디렉터리에서 사용자를 외부 사용자로 연관 디렉터리로 가져올 수는 있습니다. 그 후 이를 이용해 데이터베이스에 접근할 수 있는 포함된 데이터베이스 사용자를 생성할 수 있습니다. 외부 사용자는 Microsoft Entra 그룹의 멤버 자격을 통해 액세스 권한을 얻을 수도 있습니다.
Examples: 페더레이션되거나 관리되는 Microsoft Entra 도메인 사용자를 나타내는 포함된 데이터베이스 사용자를 만들려면 다음을 수행합니다.
CREATE USER [alice@fabrikam.com] FROM EXTERNAL PROVIDER;
- 외부 사용자로서 관리되는 도메인에 가져오는 연합 도메인 사용자 계정은 반드시 관리 도메인 ID를 사용해야 합니다.
이름 고려 사항
사용자 이름에서 T-SQL : 및 & 문에 콜론 CREATE LOGIN 또는 앰퍼샌드 CREATE USER 같은 특수 문자를 사용할 수 없습니다.
Microsoft Entra ID와 Azure Synapse Analytics는 사용자 관리 설계에서 한 가지 핵심적인 차이가 있습니다: Microsoft Entra ID는 테넌트 내에서 중복 표시명을 허용하는 반면, Azure Synapse Analytics는 전용 SQL 풀에서 고유한 서버 주체명과 데이터베이스 내 고유 데이터베이스 주체명을 요구합니다.
Microsoft Graph 권한
이 CREATE USER ... FROM EXTERNAL PROVIDER 명령은 Azure Synapse Analytics가 로그인한 사용자를 대신하여 Microsoft Entra ID(외부 공급자)에 액세스해야 합니다. 가끔 Microsoft Entra ID가 예외를 반환하기도 합니다.
- Microsoft Entra ID 관련 오류 메시지가 포함된 SQL 오류 33134가 발생할 수 있습니다. 대부분의 경우 액세스가 거부되었거나, 사용자가 리소스에 액세스하려면 MFA에 등록해야 하거나, 사전 인증을 통해 자사 애플리케이션 간의 액세스를 처리해야 한다는 오류가 표시됩니다. 처음 두 경우에서 문제는 일반적으로 사용자의 Microsoft Entra 테넌트에 설정된 조건부 액세스 정책으로 인해 발생합니다. 사용자가 외부 공급자에 액세스하지 못하게 합니다. 조건부 액세스 정책을 업데이트하여 애플리케이션
00000003-0000-0000-c000-000000000000에 대한 액세스를 허용하도록 (Microsoft Graph API의 애플리케이션 ID) 하면 문제가 해결될 것입니다. 사전 인증을 통해 자사 애플리케이션 간의 액세스를 처리해야 한다는 오류가 표시되는 경우 사용자가 서비스 주체로 로그인했기 때문에 문제가 발생합니다. 이 명령은 사용자가 대신 실행하는 경우 성공해야 합니다. -
Connection Timeout Expired를 수신하는 경우 연결 문자열
TransparentNetworkIPResolution매개 변수를 false로 설정해야 할 수 있습니다. 자세한 내용은 .NET Framework 4.6.1 - TransparentNetworkIPResolution의 연결 시간 제한 문제를 참조하세요.
Microsoft Entra ID를 기반으로 포함된 데이터베이스 사용자를 만드는 방법에 대한 자세한 내용은 CREATE USER를 참조하세요.
다단계 인증 구성
보안을 강화하기 위해 다단계 인증(MFA)을 설정하는 것을 고려해 보세요. MFA는 사용자가 전화 통화나 인증 앱과 같은 두 번째 방법을 사용하여 데이터베이스에 인증하도록 요구합니다.
Azure Synapse Analytics에서 다중 인증을 사용하려면 먼저 다중 인증(multifactor authentication)을 활성화한 후, 조건부 접근 정책을 사용해 MFA를 강제하세요.
Microsoft Entra에 연결하십시오
Microsoft Entra 인증이 설정된 후에는 SQL Server Management Studio 또는 SQL Server Data Tools를 통해 Azure Synapse Analytics에 연결하고, Microsoft Entra 아이덴티티를 사용해 클라이언트 애플리케이션이 연결할 수 있도록 설정할 수 있습니다.
Microsoft Entra 인증 문제 해결
안내는 Microsoft Entra 인증 관련 문제 문제 해결을 참조하세요.