Microsoft Entra-authenticatie in Azure Database for PostgreSQL flexible server

Microsoft Entra-verificatie is een mechanisme voor het maken van verbinding met Azure Database for PostgreSQL met behulp van identiteiten die zijn gedefinieerd in Microsoft Entra-id. Met behulp van Microsoft Entra-verificatie kunt u databasegebruikersidentiteiten en andere Microsoft-services op een centrale locatie beheren, wat het beheer van machtigingen vereenvoudigt.

Voordelen van het gebruik van Microsoft Entra ID zijn:

• Verificatie van gebruikers in Azure-services op een uniforme manier.
• Beheer van wachtwoordbeleid en wachtwoordrotatie op één plaats.
• Ondersteuning voor meerdere vormen van verificatie, waardoor wachtwoorden niet meer hoeven op te slaan.
• De mogelijkheid voor klanten om databasemachtigingen te beheren met behulp van externe (Microsoft Entra ID) groepen.
• Het gebruik van PostgreSQL-databaserollen voor het verifiëren van identiteiten op databaseniveau.
• Ondersteuning van verificatie op basis van tokens voor toepassingen die verbinding maken met Azure Database for PostgreSQL flexibele server.

Hoe Microsoft Entra-id werkt in Azure Database for PostgreSQL

In het volgende diagram op hoog niveau ziet u hoe verificatie werkt wanneer u Microsoft Entra-verificatie gebruikt met Azure Database for PostgreSQL. De pijlen geven communicatiepaden aan.

1. Uw toepassing kan een token aanvragen via het identiteitseindpunt van de Metadata Service van Azure Flexible Server.
2. Wanneer u de client-id en het certificaat gebruikt, wordt een aanroep naar Microsoft Entra-id uitgevoerd om een toegangstoken aan te vragen.
3. Microsoft Entra ID retourneert een JSON-toegangstoken (JWT). Uw toepassing verzendt het toegangstoken op een aanroep naar uw flexibele server.
4. De flexibele server valideert het token met Microsoft Entra ID.

Zie Microsoft Entra ID gebruiken voor verificatie met Azure Database for PostgreSQL voor de stappen voor het configureren van Microsoft Entra ID voor verificatie met Azure Database for PostgreSQL.

Verschillen tussen een PostgreSQL-beheerder en een Microsoft Entra-beheerder

Wanneer u Microsoft Entra-verificatie inschakelt voor uw Microsoft Entra-principal als Microsoft Entra-beheerder, is het account:

• Haalt dezelfde bevoegdheden op als de oorspronkelijke PostgreSQL-beheerder.
• Kan andere Microsoft Entra-functies op de server beheren.

De PostgreSQL-beheerder kan alleen lokale gebruikers op basis van een wachtwoord maken. Maar de Microsoft Entra-beheerder heeft de bevoegdheid om zowel Microsoft Entra-gebruikers als lokale gebruikers op basis van wachtwoorden te beheren.

De Microsoft Entra-beheerder kan een Microsoft Entra-gebruiker, Microsoft Entra-groep, service-principal of beheerde identiteit zijn. Het gebruik van een groepsaccount als beheerder verbetert de beheerbaarheid. Hiermee is het mogelijk om groepsleden centraal toe te voegen aan en te verwijderen uit Microsoft Entra ID, zonder de gebruikers of machtigingen binnen de Azure Database for PostgreSQL flexible server te wijzigen.

U kunt meerdere Microsoft Entra-beheerders gelijktijdig configureren. U kunt wachtwoordverificatie deactiveren naar een Azure Database for PostgreSQL flexibele server voor verbeterde controle- en nalevingsvereisten.

Microsoft Entra-beheerders die u maakt via Azure Portal, een API of SQL hebben dezelfde machtigingen als de gewone beheerder die u tijdens het inrichten van de server hebt gemaakt. U beheert databasemachtigingen voor niet-beheerdersrollen van Microsoft Entra, vergelijkbaar met gewone rollen.

Verbinding via Microsoft Entra-identiteiten

Microsoft Entra-verificatie ondersteunt de volgende methoden om verbinding te maken met een database met behulp van Microsoft Entra-identiteiten:

• Wachtwoordverificatie voor Microsoft Entra
• Geïntegreerde Microsoft Entra-verificatie
• Microsoft Entra universeel met meervoudige verificatie
• toepassingscertificaten van Active Directory of clientgeheimen
• beheerde identiteit

Nadat u zich hebt geverifieerd bij Active Directory, haalt u een token op. Dit token is uw wachtwoord voor het aanmelden.

Zie Microsoft Entra ID gebruiken voor verificatie met Azure Database for PostgreSQL voor de stappen voor het configureren van Microsoft Entra ID voor verificatie met Azure Database for PostgreSQL.

Beperkingen en overwegingen

Houd rekening met de volgende punten wanneer u Microsoft Entra-verificatie gebruikt met Azure Database for PostgreSQL:

• Als u Microsoft Entra principals de eigenaren van de gebruikersdatabases in een implementatieprocedure wilt maken, voegt u expliciete afhankelijkheden toe binnen uw implementatiemodule (Terraform of Azure Resource Manager) om ervoor te zorgen dat Microsoft Entra verificatie is ingeschakeld voordat u gebruikersdatabases maakt.

• U kunt op elk gewenst moment meerdere Microsoft Entra-principals (gebruiker, groep, service-principal of beheerde identiteit) configureren als Microsoft Entra beheerders voor een Azure Database for PostgreSQL flexibele server.

• Alleen een Microsoft Entra-beheerder voor PostgreSQL kan in eerste instantie verbinding maken met de Azure Database for PostgreSQL flexibele server met behulp van een Microsoft Entra-account. De Active Directory-beheerder kan vervolgens nieuwe Microsoft Entra-databasegebruikers configureren.

• Als u een Microsoft Entra principal verwijdert uit Microsoft Entra ID, blijft de principal een PostgreSQL-rol, maar kan deze geen nieuw toegangstoken verkrijgen. In dit geval, hoewel de overeenkomende rol nog steeds bestaat in de database, kan deze niet worden geverifieerd bij de server. Databasebeheerders moeten het eigendom overdragen en rollen handmatig verwijderen.

  Opmerking

  De verwijderde Microsoft Entra-gebruiker kan zich nog steeds aanmelden totdat het token verloopt (maximaal 60 minuten van het verlenen van tokens). Als u de gebruiker ook verwijdert uit Azure Database for PostgreSQL, wordt deze toegang onmiddellijk ingetrokken.

• Azure Database for PostgreSQL koppelt toegangstokens aan de databaserol op basis van de unieke Microsoft Entra-gebruikers-id van de gebruiker, in plaats van de gebruikersnaam. Als u een Microsoft Entra-gebruiker verwijdert en een nieuwe gebruiker met dezelfde naam maakt, beschouwt Azure Database for PostgreSQL die als een andere gebruiker. Als u daarom een gebruiker verwijdert uit Microsoft Entra ID en een nieuwe gebruiker met dezelfde naam toevoegt, kan de nieuwe gebruiker geen verbinding maken met de bestaande rol.

Veelgestelde vragen

• Wat zijn de beschikbare verificatiemodi in Azure Database for PostgreSQL?

  Azure Database for PostgreSQL ondersteunt drie verificatiemodi: alleen PostgreSQL-verificatie, alleen Microsoft Entra-verificatie en zowel PostgreSQL- als Microsoft Entra-verificatie.

• Kan ik meerdere Microsoft Entra beheerders configureren op mijn flexibele server?

  Ja. U kunt meerdere Microsoft Entra beheerders configureren op uw flexibele server. Tijdens het inrichten kunt u slechts één Microsoft Entra-beheerder instellen. Maar nadat de server is gemaakt, kunt u zo veel Microsoft Entra-beheerders instellen als u wilt door naar het deelvenster Verificatie te gaan.

• Is een Microsoft Entra-beheerder alleen een Microsoft Entra-gebruiker?

  Nee. Een Microsoft Entra-beheerder kan een gebruiker, groep, service-principal of beheerde identiteit zijn.

• Kan een Microsoft Entra-beheerder lokale gebruikers op basis van een wachtwoord maken?

  Een Microsoft Entra-beheerder heeft de bevoegdheid om zowel Microsoft Entra-gebruikers als lokale gebruikers op basis van wachtwoorden te beheren.

• Wat gebeurt er wanneer ik Microsoft Entra verificatie inschakelen op mijn Azure Database for PostgreSQL flexibele server?

  Wanneer u Microsoft Entra-verificatie instelt op serverniveau, wordt de PGAadAuth-extensie ingeschakeld en wordt de server opnieuw opgestart.

• Hoe meld ik me aan met behulp van Microsoft Entra-verificatie?

  U kunt clienthulpprogramma's gebruiken zoals psql of pgAdmin om u aan te melden bij uw flexibele server. Gebruik uw Microsoft Entra-gebruikers-id als gebruikersnaam en uw Microsoft Entra-token als uw wachtwoord.

• Hoe genereer ik mijn token?

  U genereert het token met behulp van az login. Zie Het Microsoft Entra-toegangstoken ophalen voor meer informatie.

• Wat is het verschil tussen groepsaanmelding en afzonderlijke aanmelding?

  Het enige verschil tussen aanmelden als lid van een Microsoft Entra-groep en aanmelden als een afzonderlijke Microsoft Entra-gebruiker ligt in de gebruikersnaam. Voor aanmelden als afzonderlijke gebruiker is een afzonderlijke Microsoft Entra-gebruikers-id vereist. Voor aanmelden als groepslid is de groepsnaam vereist. In beide scenario's gebruikt u hetzelfde afzonderlijke Microsoft Entra-token als het wachtwoord.

• Wat is het verschil tussen groepsverificatie en afzonderlijke verificatie?

  Het enige verschil tussen aanmelden als lid van een Microsoft Entra-groep en aanmelden als een afzonderlijke Microsoft Entra-gebruiker ligt in de gebruikersnaam. Voor aanmelden als afzonderlijke gebruiker is een afzonderlijke Microsoft Entra-gebruikers-id vereist. Voor aanmelden als groepslid is de groepsnaam vereist. In beide scenario's gebruikt u hetzelfde afzonderlijke Microsoft Entra-token als het wachtwoord.

Wat is de levensduur van het token?

Gebruikerstokens zijn maximaal 1 uur geldig. Tokens voor door het systeem toegewezen beheerde identiteiten zijn maximaal 24 uur geldig.

Verwante inhoud

• Microsoft Entra-id gebruiken in Azure Database for PostgreSQL
• Microsoft Entra-rollen beheren in Azure Database for PostgreSQL