Azure SQL-connectiviteitsinstellingen

Van toepassing op: Azure SQL DatabaseAzure Synapse Analytics (alleen toegewezen SQL-pools)

In dit artikel worden instellingen geïntroduceerd voor het beheren van connectiviteit met de server voor Azure SQL Database en een toegewezen SQL-pool (voorheen SQL DW) in Azure Synapse Analytics. Deze instellingen zijn van toepassing op alle SQL Database- en toegewezen SQL-pooldatabases (voorheen SQL DW) die zijn gekoppeld aan de server.

U kunt deze instellingen wijzigen op het tabblad Netwerken van uw logische server:

Belangrijk

Dit artikel is niet van toepassing op Azure SQL Managed Instance. Dit artikel is ook niet van toepassing op toegewezen SQL-pools in Azure Synapse Analytics-werkruimten. Zie IP-firewallregels voor Azure Synapse Analytics voor hulp bij het configureren van IP-firewallregels voor Azure Synapse Analytics met werkruimten.

Openbare netwerktoegang weigeren

De standaardinstelling voor openbare netwerktoegang is Uitschakelen. Klanten kunnen ervoor kiezen om verbinding te maken met een database met behulp van openbare eindpunten (met firewallregels op IP-niveau of met firewallregels voor virtuele netwerken) of privé-eindpunten (met behulp van Azure Private Link), zoals wordt beschreven in het overzicht van netwerktoegang.

Wanneer openbare netwerktoegang is ingesteld op Uitschakelen, zijn alleen verbindingen van privé-eindpunten toegestaan. Alle verbindingen van openbare eindpunten worden geweigerd met een foutbericht dat vergelijkbaar is met:

Error 47073
An instance-specific error occurred while establishing a connection to SQL Server. 
The public network interface on this server is not accessible. 
To connect to this server, use the Private Endpoint from inside your virtual network.

Wanneer openbare netwerktoegang is ingesteld op Uitschakelen, worden pogingen om firewallregels toe te voegen, te verwijderen of te bewerken geweigerd met een foutbericht dat vergelijkbaar is met:

Error 42101
Unable to create or modify firewall rules when public network interface for the server is disabled. 
To manage server or database level firewall rules, please enable the public network interface.

Zorg ervoor dat openbare netwerktoegang is ingesteld op Geselecteerde netwerken om firewallregels voor Azure SQL Database en Azure Synapse Analytics toe te voegen, te verwijderen of te bewerken.

Openbare netwerktoegang wijzigen

Het is mogelijk om de toegang tot het openbare netwerk te wijzigen via Azure Portal, Azure PowerShell en de Azure CLI.

Portal

Als u openbare netwerktoegang wilt inschakelen voor de logische server die als host fungeert voor uw databases, gaat u naar de pagina Netwerken in Azure Portal voor uw logische server in Azure, kiest u het tabblad Openbare toegang en stelt u vervolgens de openbare netwerktoegang in op Netwerken selecteren.

Op deze pagina kunt u een regel voor een virtueel netwerk toevoegen en firewallregels configureren voor uw openbare eindpunt.

Kies het tabblad Privétoegang om een privé-eindpunt te configureren.

Notitie

Deze instellingen worden onmiddellijk van kracht nadat ze zijn toegepast. Uw klanten kunnen verbindingsverlies ondervinden als ze niet voldoen aan de vereisten voor elke instelling.

PowerShell

Het is mogelijk om de toegang tot openbare netwerken te wijzigen met behulp van Azure PowerShell.

Belangrijk

Azure SQL Database ondersteunt nog steeds de PowerShell Azure Resource Manager-module, maar alle toekomstige ontwikkeling is voor de Az.Sql-module. Zie AzureRM.Sql voor deze cmdlets. De argumenten voor de opdrachten in de Az-module en in de AzureRm-modules zijn vrijwel identiek. Voor het volgende script is de Azure PowerShell-module vereist.

In het volgende PowerShell-script ziet u hoe Get u en Set de eigenschap Openbare netwerktoegang op serverniveau kunt gebruiken:

# Get the Public Network Access property
(Get-AzSqlServer -ServerName sql-server-name -ResourceGroupName sql-server-group).PublicNetworkAccess

# Update Public Network Access to Disabled
$SecureString = ConvertTo-SecureString "password" -AsPlainText -Force

Set-AzSqlServer -ServerName sql-server-name -ResourceGroupName sql-server-group -SqlAdministratorPassword $SecureString -PublicNetworkAccess "Disabled"

Azure-CLI

Het is mogelijk om de instellingen voor het openbare netwerk te wijzigen met behulp van de Azure CLI.

Belangrijk

Voor alle scripts in deze sectie is de Azure CLI vereist.

Het volgende CLI-script laat zien hoe u de instelling voor openbare netwerktoegang in een Bash-shell wijzigt:

# Get current setting for Public Network Access
az sql server show -n sql-server-name -g sql-server-group --query "publicNetworkAccess"

# Update setting for Public Network Access
az sql server update -n sql-server-name -g sql-server-group --set publicNetworkAccess="Disabled"

Minimale TLS-versie

Met de minimale TLS-versie-instelling (Transport Layer Security) kunnen klanten kiezen welke versie van TLS hun SQL-database gebruikt. Het is mogelijk om de minimale TLS-versie te wijzigen met behulp van Azure Portal, Azure PowerShell en de Azure CLI.

Momenteel bieden we ondersteuning voor TLS 1.0, 1.1 en TLS 1.2. Door een minimale TLS-versie in te stellen zorgt u ervoor dat nieuwere versies van TLS worden ondersteund. Als u bijvoorbeeld een TLS-versie 1.1 kiest, betekent dit dat alleen verbindingen via TLS 1.1 en 1.2 worden geaccepteerd. Verbindingen via TLS 1.0 worden geweigerd. Als u hebt getest of uw toepassingen inderdaad ondersteuning bieden voor TLS 1.2, raden we u aan de minimale TLS-versie hierop in te stellen. Deze versie omvat oplossingen voor beveiligingsproblemen in eerdere versies, en is de hoogste versie van TLS die wordt ondersteund in Azure SQL Database.

Belangrijk

De standaardinstelling voor de minimale TLS-versie is om alle versies toe te staan. Wanneer u een versie van TLS afdwingt, is het niet mogelijk om terug te keren naar de standaardinstelling.

Voor klanten met toepassingen die afhankelijk zijn van oudere versies van TLS, wordt u aangeraden de minimale TLS-versie in te stellen op basis van de vereisten van uw toepassingen. Als toepassingsvereisten onbekend zijn of workloads afhankelijk zijn van oudere stuurprogramma's die niet meer worden onderhouden, raden we u aan geen minimale TLS-versie in te stellen.

Zie TLS-overwegingen voor SQL Database-connectiviteit voor meer informatie.

Nadat u de minimale TLS-versie hebt ingesteld, mislukken aanmeldingspogingen van klanten die een TLS-versie gebruiken die lager is dan de minimale TLS-versie van de server, met de volgende fout:

Error 47072
Login failed with invalid TLS version

Notitie

Wanneer u een minimale TLS-versie configureert, wordt die minimale versie afgedwongen op de toepassingslaag. Hulpprogramma's die TLS-ondersteuning op de protocollaag proberen te bepalen, kunnen TLS-versies retourneren naast de minimaal vereiste versie wanneer ze rechtstreeks worden uitgevoerd op het SQL Database-eindpunt.

Portal

Ga in Azure Portal naar uw SQL Server-resource. Selecteer Onder de beveiligingsinstellingen netwerken en kies vervolgens het tabblad Verbinding maken iviteit. Selecteer de gewenste minimale TLS-versie voor alle databases die aan de server zijn gekoppeld en selecteer Opslaan.

PowerShell

Het is mogelijk om de minimale TLS-versie te wijzigen met behulp van Azure PowerShell.

Belangrijk

Azure SQL Database ondersteunt nog steeds de PowerShell Azure Resource Manager-module, maar alle toekomstige ontwikkeling is voor de Az.Sql-module. Zie AzureRM.Sql voor deze cmdlets. De argumenten voor de opdrachten in de Az-module en in de AzureRm-modules zijn vrijwel identiek. Voor het volgende script is de Azure PowerShell-module vereist.

Het volgende PowerShell-script laat zien hoe Get en Set de eigenschap Minimale TLS-versie op het niveau van de logische server:

# Get the Minimal TLS Version property
(Get-AzSqlServer -ServerName sql-server-name -ResourceGroupName sql-server-group).MinimalTlsVersion

# Update Minimal TLS Version to 1.2
$SecureString = ConvertTo-SecureString "password" -AsPlainText -Force

Set-AzSqlServer -ServerName sql-server-name -ResourceGroupName sql-server-group -SqlAdministratorPassword $SecureString  -MinimalTlsVersion "1.2"

Azure-CLI

Het is mogelijk om de minimale TLS-instellingen te wijzigen met behulp van de Azure CLI.

Belangrijk

Voor alle scripts in deze sectie is de Azure CLI vereist.

Het volgende CLI-script laat zien hoe u de instelling minimale TLS-versie wijzigt in een Bash-shell:

# Get current setting for Minimal TLS Version
az sql server show -n sql-server-name -g sql-server-group --query "minimalTlsVersion"

# Update setting for Minimal TLS Version
az sql server update -n sql-server-name -g sql-server-group --set minimalTlsVersion="1.2"

Het verbindingsbeleid wijzigen

Verbinding maken iebeleid bepaalt hoe klanten verbinding maken met Azure SQL Database.

Het is mogelijk om het verbindingsbeleid te wijzigen met behulp van Azure Portal, Azure PowerShell en de Azure CLI.

Portal

Het is mogelijk om uw verbindingsbeleid voor uw logische server te wijzigen met behulp van Azure Portal.

Ga in Azure Portal naar uw SQL Server-resource. Selecteer Onder de beveiligingsinstellingen netwerken en kies vervolgens het tabblad Verbinding maken iviteit. Kies het gewenste verbindingsbeleid en selecteer Opslaan.

PowerShell

Het is mogelijk om het verbindingsbeleid voor uw logische server te wijzigen met behulp van Azure PowerShell.

Belangrijk

Azure SQL Database ondersteunt nog steeds de PowerShell Azure Resource Manager-module, maar alle toekomstige ontwikkeling is voor de Az.Sql-module. Zie AzureRM.Sql voor deze cmdlets. De argumenten voor de opdrachten in de Az-module en in de AzureRm-modules zijn vrijwel identiek. Voor het volgende script is de Azure PowerShell-module vereist.

Het volgende PowerShell-script laat zien hoe u het verbindingsbeleid wijzigt met behulp van PowerShell:

# Get SQL Server ID
$sqlserverid=(Get-AzSqlServer -ServerName sql-server-name -ResourceGroupName sql-server-group).ResourceId

# Set URI
$id="$sqlserverid/connectionPolicies/Default"

# Get current connection policy
(Get-AzResource -ResourceId $id -ApiVersion 2014-04-01 -Verbose).Properties.ConnectionType

# Update connection policy
Set-AzResource -ResourceId $id -Properties @{"connectionType" = "Proxy"} -f

Azure-CLI

Het is mogelijk om het verbindingsbeleid voor uw logische server te wijzigen met behulp van de Azure CLI.

Belangrijk

Voor alle scripts in deze sectie is de Azure CLI vereist.

Azure CLI in een Bash-shell

Het volgende CLI-script laat zien hoe u het verbindingsbeleid wijzigt in een Bash-shell:

# Get SQL Server ID
sqlserverid=$(az sql server show -n sql-server-name -g sql-server-group --query 'id' -o tsv)

# Set URI
ids="$sqlserverid/connectionPolicies/Default"

# Get current connection policy
az resource show --ids $ids

# Update connection policy
az resource update --ids $ids --set properties.connectionType=Proxy

Azure CLI vanaf een Windows-opdrachtprompt

In het volgende CLI-script ziet u hoe u het verbindingsbeleid wijzigt vanuit een Windows-opdrachtprompt (waarbij de Azure CLI is geïnstalleerd):

# Get SQL Server ID and set URI
FOR /F "tokens=*" %g IN ('az sql server show --resource-group myResourceGroup-571418053 --name server-538465606 --query "id" -o tsv') do (SET sqlserverid=%g/connectionPolicies/Default)

# Get current connection policy
az resource show --ids %sqlserverid%

# Update connection policy
az resource update --ids %sqlserverid% --set properties.connectionType=Proxy

Volgende stappen

• Raadpleeg Verbinding maken iviteitsarchitectuur voor een overzicht van de werking van connectiviteit in Azure SQL Database.
• Zie conn-policy voor meer informatie over het wijzigen van het verbindingsbeleid voor een server.