Microsoft Entra-only authentication with Azure Synapse Analytics

Microsoft Entra 전용 인증을 사용하면 Azure Synapse Analytics를 Microsoft Entra 인증만을 지원하도록 설정할 수 있습니다.

참고

Microsoft Entra server principals는 현재 Azure Synapse Analytics에서 미리 보기 상태입니다.

Microsoft Entra 전용 인증은 독립형 전용 SQL 풀과 Azure Synapse 작업 공간에 사용할 수 있습니다. 작업 공간 설정에 대해서는 로컬 인증 비활성화를 참조하세요. Azure Synapse Analytics 작업 공간의 전용 SQL 풀은 논리 SQL 서버를 사용하지 않습니다.

Microsoft Entra 전용 인증을 활성화하면 SQL 인증(즉, SQL 관리자, 로그인 및 사용자의 연결 포함)을 모두 비활성화하게 됩니다. Microsoft Entra 인증을 사용하는 사용자만 접속할 수 있습니다.

독립형 전용 SQL 풀의 경우, Azure 포털, Azure CLI, PowerShell, REST API를 사용하여 Microsoft Entra 전용 인증을 활성화하거나 비활성화할 수 있습니다. 논리적 서버 생성 시 Azure Resource Manager(ARM) 템플릿으로 구성할 수도 있습니다.

자세한 내용은 인증 및 권한 부여를 참조하세요.

기능 설명

Microsoft Entra 전용 인증을 활성화하면 작업 공간이나 논리 서버의 SQL 인증이 비활성화됩니다. SQL 인증은 비활성화되어 있지만, 적절한 권한을 가진 Microsoft Entra 계정은 여전히 새로운 SQL 인증 로그인과 사용자를 생성할 수 있습니다. 새로 생성된 SQL 인증 계정으로는 연결할 수 없습니다. Microsoft Entra 전용 인증을 사용하도록 설정해도 기존 SQL 인증 로그인 및 사용자 계정이 제거되지는 않습니다. 이 기능은 단지 이 계정들이 서버와 이 서버에서 생성된 데이터베이스에 연결하는 것을 막는 것뿐입니다.

Permissions

Microsoft Entra 사용자 중 Azure 구독 소유자 및 기여자와 같은 권한 수준이 높은 Microsoft Entra 기본 제공 역할의 구성원은 Microsoft Entra 전용 인증을 활성화하거나 비활성화할 수 있습니다. 또한, SQL Security Manager라는 역할은 Microsoft Entra 전용 인증 기능을 활성화하거나 비활성화할 수 있습니다.

SQL Server 기여자 역할은 Microsoft Entra 전용 인증을 활성화하거나 비활성화할 권한이 없습니다. 이 제한은 업무 분리와 일치합니다: 논리적 서버를 만들 수 있는 사용자나 Microsoft Entra 관리자가 보안 기능을 활성화하거나 비활성화할 수 있는 것은 아닙니다.

필요한 작업

다음 작업은 Microsoft Entra 전용 인증 기능을 관리할 수 있도록 SQL Security Manager 역할에 추가됩니다.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read- Azure 포털 Microsoft Entra ID 메뉴에 접속하는 사용자에게만 필수

또한 이 작업을 Microsoft Entra 전용 인증을 관리하는 커스텀 역할에 추가할 수도 있습니다. 자세한 내용은 Microsoft Entra ID에서 사용자 지정 역할 만들기 및 할당을 참조하세요.

API를 사용하여 Microsoft Entra 전용 인증 관리

Important

Microsoft Entra 전용 인증을 활성화하기 전에 반드시 Microsoft Entra 관리자 설정을 해야 합니다.

Azure CLI

Azure CLI 버전 2.14.2 이상이 필요합니다.

name는 논리 서버 이름의 접두사(예: myserver)에 대응하며, resource-group는 자원 그룹(예: myresource)에 대응합니다.

독립형 전용 SQL 풀

자세한 내용은 az sql server ad-only-auth를 참조하세요.

사용 또는 사용 안 함

Enable

az sql server ad-only-auth enable --resource-group myresource --name myserver

비활성화

az sql server ad-only-auth disable --resource-group myresource --name myserver

상태를 확인하세요

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Az.Sql 2.10.0 이상 모듈이 필요합니다.

ServerName는 논리 서버 이름의 접두사(예: myserver)에 대응하며, ResourceGroupName는 자원 그룹(예: myresource)에 대응합니다.

독립형 전용 SQL 풀

사용 또는 사용 안 함

Enable

자세한 내용은 Enable-AzSqlServerActiveDirectoryOnlyAuthentication을 참조하세요. 또한 get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full을(를) 사용할 수 있습니다.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

다음 명령을 사용할 수도 있습니다.

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

비활성화

자세한 내용은 Disable-AzSqlServerActiveDirectoryOnlyAuthentication을 참조하세요.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

상태를 확인하세요

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

다음 명령을 사용할 수도 있습니다.

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST API

다음 매개 변수를 정의합니다.

• Azure 포털의 <subscriptionId>으로 이동하여 찾으세요.
• <myserver> 는 논리 서버 이름의 접두사입니다.
• <myresource>는 자원입니다.

최신 MSAL을 사용하려면 PowerShell 갤러리의 MSAL.PS에서 다운로드하세요.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

독립형 전용 SQL 풀

자세한 내용은 Server Azure AD 전용 인증 REST API 문서를 참조하세요.

사용 또는 사용 안 함

Enable

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

비활성화

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

상태를 확인하세요

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

ARM 템플릿

• 배포를 위한 Microsoft Entra 관리자를 입력하세요. 사용자 객체 ID는 Azure 포털로 가서 Microsoft Entra ID 리소스로 이동해 찾으세요. 관리에서 사용자를 선택합니다. 논리 서버의 관리자로 설정하고 싶은 사용자를 검색하세요. 사용자를 선택한 후 프로필 페이지에서 객체 ID를 확인하세요.
• 개요 페이지에서 Microsoft Entra ID 리소스의 테넌트 ID를 찾으세요.

독립형 전용 SQL 풀

Enable

다음 ARM 템플릿은 독립 실행형 전용 SQL 풀에 대해 논리 서버에서 Microsoft Entra 전용 인증을 가능하게 합니다. Microsoft Entra 전용 인증을 사용하지 않도록 설정하려면 azureADOnlyAuthentication의 속성을 false(으)로 설정하세요.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

자세한 내용은 Microsoft.Sql Server/azureADOnlyAuthentications를 참조하세요.

T-SQL을 사용하여 Azure AD 전용 인증 확인

SERVERPROPERTY 함수 IsExternalAuthenticationOnly 를 사용해 논리 서버에서 Microsoft Entra 전용 인증이 활성화되어 있는지 확인하세요. 1 기능은 활성화되었음을 나타내고, 0 비활성화된 것을 나타냅니다.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

시스템 생성 서버 관리자 계정

Microsoft Entra 전용 인증이 활성화된 논리 서버를 만들면, 서비스는 서버 관리자 이름과 임의의 비밀번호를 생성합니다. 생성된 이름은 무작위 문자열로 CloudSA 시작하며, Azure 포털에서 서버 관리자 로그인 상태로 나타납니다.

이 계정은 프로비저닝을 충족시키기 위해 존재할 뿐, 연결할 수 있는 수단을 제공하기 위한 것이 아닙니다. 어느 리소스 유형이든 프로비저닝할 때는 여전히 SQL 인증 관리자 값이 필요합니다. Microsoft Entra 전용 인증은 프로비저닝 후 연결할 수 있는 인증 방법을 변경하지만, 프로비저닝 요구사항을 없애지는 않으므로 서비스가 이를 충족하는 값만 생성합니다.

생성된 이름이 보인다고 해서 SQL 인증이 활성화된 것은 아닙니다. Microsoft Entra 전용 인증이 활성화되어 있을 때:

• 시스템 생성 관리자를 포함해 어떤 SQL 인증 계정도 연결할 수 없습니다.
• 생성된 계정은 공유 계정도, 예비 수단도, 비상 접근 경로도 아닙니다.
• 애플리케이션과 관리자는 연결을 위해 Microsoft Entra 인증을 사용해야 합니다.
• Microsoft Entra 관리자와 기타 권한이 있는 Microsoft Entra 보안 주체는 계속 지원되는 관리 방법입니다.
• 서비스는 프로비저닝 후 제어 평면에서 비밀번호를 영구적으로 제거합니다.

Remarks

• SQL Server 기여자는 Microsoft Entra 관리자를 설정하거나 제거할 수 있지만 Microsoft Entra 인증만 설정할 수는 없습니다. SQL Security Manager는 Microsoft Entra 관리자를 설정하거나 제거할 수 없지만 Microsoft Entra 인증만 설정할 수 있습니다. Azure RBAC 역할이 더 높은 계정 또는 두 권한이 모두 포함된 사용자 지정 역할만 Microsoft Entra 관리자를 설정하거나 제거하고 Microsoft Entra 인증만 설정할 수 있습니다. 이러한 역할 중 하나는 기여자 역할입니다.
• Azure 포털에서 Microsoft Entra 인증 전용을 활성화하거나 비활성화한 후, 활동 로그 항목이 나타납니다.
• Microsoft Entra 인증 전용 설정은 Microsoft Entra 관리자가 지정된 경우, 올바른 권한이 있는 사용자만 사용하거나 사용하지 않도록 설정할 수 있습니다. Microsoft Entra 관리자가 설정되지 않은 경우 Microsoft Entra 인증 전용 설정은 비활성 상태로 유지되며 사용하거나 사용하지 않도록 설정할 수 없습니다. Microsoft Entra 관리자가 설정되지 않은 경우에도 API를 사용하여 Microsoft Entra 전용 인증을 사용하도록 설정할 수 없습니다.
• 적절한 권한이 있는 사용자는 Microsoft Entra 전용 인증을 사용하도록 설정한 경우 Microsoft Entra 관리자를 변경할 수 있습니다.
• Microsoft Entra 관리자를 변경하고 적절한 권한이 있는 사용자를 위해 Azure Portal에서 Microsoft Entra 전용 인증을 사용하거나 사용하지 않도록 설정할 수 있습니다. 두 작업은 모두 Azure Portal에서 한 번의 저장으로 완료할 수 있습니다. Microsoft Entra 전용 인증을 사용하도록 설정하려면 Microsoft Entra 관리자를 설정해야 합니다.
• Microsoft Entra 전용 인증 기능이 사용하도록 설정된 경우 Microsoft Entra 관리자를 제거하는 것은 지원되지 않습니다. Microsoft Entra 전용 인증을 사용하는 경우 API를 사용하여 Microsoft Entra 관리자를 제거하면 실패합니다.
  • Microsoft Entra 인증만 사용을 설정하면 Azure Portal에서 관리자 제거 버튼이 비활성화됩니다.
• Microsoft Entra 관리자를 제거하고 Microsoft Entra 인증만 사용 설정을 사용하지 않도록 설정하는 것은 허용되지만 작업을 완료하려면 적절한 사용자 권한이 필요합니다. 두 작업은 모두 Azure Portal에서 한 번의 저장으로 완료할 수 있습니다.
• 적절한 권한이 있는 Microsoft Entra 사용자는 기존 SQL 사용자를 가장할 수 있습니다.
  • Microsoft Entra 전용 인증이 활성화된 경우에도 SQL 인증 사용자 간 가장(impersonation)은 계속 작동합니다.

관련 콘텐츠

• Synapse SQL과 함께 Microsoft Entra 인증을 사용하세요
• Azure Synapse Analytics용 Microsoft Entra 인증