Microsoft Entra authentication for Azure Synapse Analytics

Dit artikel geeft een diepgaand overzicht van het gebruik van Microsoft Entra-authenticatie met Synapse SQL in Azure Synapse Analytics.

Note

Microsoft Entra Server Principals zijn momenteel in preview voor Azure Synapse Analytics.

Om Microsoft Entra-authenticatie te configureren, zie Configureer en beheer Microsoft Entra-authenticatie met Azure Synapse Analytics.

Overview

Met Microsoft Entra ID kunt u de identiteiten van mensen en services in uw gegevensdomein centraal beheren. Door Microsoft Entra te integreren met Azure Synapse Analytics voor authenticatie, kun je identiteits- en machtigingsbeheer vereenvoudigen en tegelijkertijd gedetailleerde voorwaardelijke toegang en governance van verbindingen met je data mogelijk maken.

Het gebruik van Microsoft Entra-verificatie omvat de volgende voordelen:

  • Vervangt minder veilige verificatiemethoden, zoals gebruikersnamen en wachtwoorden.
  • Elimineert of helpt bij het stoppen van de verspreiding van gebruikersidentiteiten op servers.
  • Met Microsoft Entra-groepen kan databasemachtigingsbeheer worden verwijderd van afzonderlijke accounts en in operationele groepen.
  • Maakt rotatie van wachtwoorden op één plek mogelijk.
  • Microsoft Entra-only-verificatie biedt een volledig alternatief voor SQL-verificatie.
  • Beheerde identiteiten voor Azure-resources elimineren de noodzaak om wachtwoorden op te slaan voor services die verbinding maken met uw databases en verbindingen van uw databases met andere Azure-resources.
  • Maakt moderne beveiligingscontroles mogelijk, waaronder sterke meervoudige verificatie met een scala aan eenvoudige verificatieopties, zoals een telefoongesprek, sms-bericht, smartcard met pincode of mobiele app-melding.
  • Microsoft Entra ID maakt integratie mogelijk met veel moderne verificatieprotocollen, waaronder OpenID Connect, OAuth2.0, Beperkte Kerberos-delegering en meer.
  • Maakt gecentraliseerde bewaking van verbindingen met gegevensbronnen mogelijk.
  • Hiermee stelt u beheersmaatregelen voor voorwaardelijke toegang in, zoals het vereisen van naleving door apparaten of verificatiemethoden voor succesvolle verbindingen.

Note

Microsoft Entra-verificatie ondersteunt alleen toegangstokens die afkomstig zijn van Microsoft Entra-id en geen toegangstokens van derden. Microsoft Entra ID biedt ook geen ondersteuning voor het omleiden van Microsoft Entra ID-query's naar eindpunten van derden. Deze beperking geldt voor alle SQL-platforms en alle besturingssystemen die Microsoft Entra-authenticatie ondersteunen.

Configuratiestappen

De algemene stappen voor het configureren van Microsoft Entra-verificatie zijn:

  1. Een Microsoft Entra-tenant maken en vullen.
  2. Maak een Azure Synapse-werkruimte of zelfstandige toegewezen SQL-pool.
  3. Wijs een Microsoft Entra-beheerder toe aan de werkruimte of logische server.
  4. Maak SQL-principalen in uw database die zijn toegewezen aan Microsoft Entra-identiteiten.
  5. Configureer je clientapplicaties om verbinding te maken door gebruik te maken van Azure Identity-bibliotheken en authenticatiemethoden.
  6. Maak verbinding met uw database met Microsoft Entra-identiteiten.

Ondersteunde identiteiten en verificatiemethoden

Azure Synapse Analytics ondersteunt het gebruik van de volgende Microsoft Entra-identiteiten als logins en users (principals) in Synapse SQL:

  • Microsoft Entra-gebruikers: elk type gebruiker in een Microsoft Entra-tenant, waaronder interne gebruikers, externe gebruikers, gasten en leden. Leden van een Active Directory-domein dat is gefedereerd met Microsoft Entra ID worden ook ondersteund en kunnen worden geconfigureerd voor naadloze eenmalige aanmelding.
  • Applicaties: Applicaties die in Azure bestaan, kunnen gebruikmaken van service principals of managed identities om direct te authenticeren bij Azure Synapse Analytics. Het gebruik van beheerde identiteiten is te verkiezen omdat authenticatie wachtwoordloos is en de noodzaak van door ontwikkelaars beheerde inloggegevens elimineert.
  • Microsoft Entra-groepen, waarmee toegangsbeheer in uw organisatie kan worden vereenvoudigd door gebruikers- en toepassingstoegang te beheren op basis van groepslidmaatschap.

Voor gebruikersidentiteiten worden de volgende verificatiemethoden ondersteund:

  • Microsoft Entra Integrated (Windows Authentication) ondersteund door Microsoft Entra Hybrid Identities met Active Directory [federatie].
  • Microsoft Entra MFA of meervoudige verificatie, waarvoor aanvullende beveiligingscontroles nodig zijn buiten de kennis van de gebruiker.
  • Microsoft Entra-wachtwoordverificatie , die gebruikmaakt van gebruikersreferenties die zijn opgeslagen en beheerd in Microsoft Entra-id.
  • Microsoft Entra-standaardverificatie , waarmee verschillende referentiecaches op de computer van de toepassing worden gescand en gebruikerstokens kunnen worden gebruikt om te verifiëren bij SQL.

Voor service- of workloadidentiteiten worden de volgende verificatiemethoden ondersteund:

  • Beheerde identiteiten voor Azure-resources, zowel door de gebruiker toegewezen als door het systeem toegewezen. Verificatie van beheerde identiteit is op tokens gebaseerd, waarbij de identiteit wordt toegewezen aan de resource die deze wil verifiëren. Het Azure Identity-platform valideert die relatie, waardoor verificatie zonder wachtwoord mogelijk is.
  • Microsoft Entra service-principalnaam en toepassing (client) geheim. Deze verificatiemethode wordt niet aanbevolen vanwege het risico dat is gekoppeld aan wachtwoorden die kunnen worden geraden en gelekt.
  • Microsoft Entra-standaardverificatie , waarmee verschillende referentiecaches op de computer van de toepassing worden gescand en toepassingstokens kunnen worden gebruikt om te verifiëren bij SQL.

Microsoft Entra-beheerder

Om Microsoft Entra-authenticatie mogelijk te maken, moet er een Microsoft Entra-beheerder worden ingesteld voor je Azure Synapse-werkruimte of logische server. Deze beheerder is er naast de SQL-beheerder. De Microsoft Entra-beheerder kan een gebruiker, groep, service-principal of beheerde identiteit zijn in uw Azure-tenant. Er kan maar één identiteit tegelijk worden geconfigureerd. Het verwijderen van de Microsoft Entra-beheerder schakelt Microsoft Entra-authenticatie-gebaseerde verbindingen uit, zelfs voor bestaande Microsoft Entra-gebruikers met rechten in een database.

Tip

Met Microsoft Entra-groepen kunnen meerdere identiteiten fungeren als de Microsoft Entra-beheerder op de server. Wanneer de beheerder is toegewezen aan een groep, erven alle groepsleden de Microsoft Entra-beheerdersrol. Een Microsoft Entra-groepsbeheerder verbetert de beheerbaarheid door beheerbeheer te verplaatsen van acties op servergegevensvlak naar Microsoft Entra-id en de handen van de groepseigenaren. Groepen kunnen worden gebruikt voor alle Microsoft Entra-identiteiten die verbinding maken met SQL, waardoor eenmalige gebruikers- en machtigingsconfiguratie in de server en databases mogelijk is, waardoor alle gebruikersbeheer aan de groepen wordt overgelaten.

De Microsoft Entra-beheerder speelt een speciale rol: het is het eerste account dat andere Microsoft Entra aanmeldingen en gebruikers kan maken, gezamenlijk principals genoemd. De beheerder is een ingesloten databasegebruiker in de master database van de server. Beheerdersaccounts zijn lid van de db_owner rol in elke gebruikersdatabase en elke gebruikersdatabase wordt ingevoerd als de dbo-gebruiker . Zie Databases en aanmeldingen beheren voor meer informatie over beheerdersaccounts.

Microsoft Entra-hoofdelementen

Note

Microsoft Entra Server Principals (logins) zijn momenteel in preview voor Azure Synapse Analytics.

Je kunt Microsoft Entra-identiteiten als principals aanmaken in Azure Synapse Analytics op drie manieren:

  • als server-principals of aanmeldingen
  • als gebruikers op basis van aanmelding (een type database-principal)
  • als ingesloten databasegebruikers

Important

Microsoft Entra-verificatie voor Azure SQL kan niet worden geïntegreerd met Azure RBAC. Om Microsoft Entra-identiteiten te gebruiken om verbinding te maken met Azure SQL en queries uit te voeren, moet je die identiteiten aanmaken als Microsoft Entra-principals in de databases waartoe ze toegang moeten hebben. De rollen SQL Server Contributor en SQL DB Contributor maken beheergerelateerde implementatieactiviteiten mogelijk, niet de toegang tot databaseconnectiviteit.

Aanmeldingen (server principals) in speciale SQL-pools

Server principals (logins) voor Microsoft Entra identiteiten zijn in preview voor Azure Synapse Analytics dedicated SQL pools.

In de volgende T-SQL ziet u hoe u een Microsoft Entra-aanmelding maakt:

CREATE LOGIN [MSEntraUser] FROM EXTERNAL PROVIDER

Een Microsoft Entra-aanmelding heeft de volgende eigenschapswaarden in sys.server_principals:

Property Value
SID (Beveiligings-id) Binaire weergave van de object-id van de Microsoft Entra-identiteit
type E = Externe aanmelding of toepassing van Microsoft Entra-id
X = Externe groep van Microsoft Entra-id
type_desc EXTERNAL_LOGIN voor aanmelding of app van Microsoft Entra
EXTERNAL_GROUP voor Microsoft Entra-groep

Gebruikers op basis van aanmelding

Gebruikers op basis van aanmelding nemen de rollen en machtigingen op serverniveau over die zijn toegewezen aan de Microsoft Entra-aanmelding.

In de volgende T-SQL ziet u hoe u een op aanmelding gebaseerde gebruiker maakt voor een Microsoft Entra-identiteit:

CREATE USER [MSEntraUser] FROM LOGIN [MSEntraUser]

In de volgende tabel worden de inlog-gebaseerde gebruikerseigenschapswaarden van Microsoft Entra in sys.database_principals weergegeven.

Property Value
SID (Beveiligings-id) Binaire weergave van de object-id van de Microsoft Entra-identiteit, plus AADE
type E = Externe aanmelding of toepassing van Microsoft Entra-id
X = Externe groep van Microsoft Entra-id
type_desc EXTERNAL_LOGIN voor aanmelding of app van Microsoft Entra
EXTERNAL_GROUP voor Microsoft Entra-groep

Ingesloten databasegebruikers

Ingesloten databasegebruikers zijn draagbaar met de database. Ze hebben geen koppelingen met identiteiten die in de server of instantie zijn gedefinieerd, en je kunt ze eenvoudig samen met de database van de ene server of instantie naar de andere verplaatsen zonder onderbreking.

In de volgende T-SQL ziet u hoe u een ingesloten databasegebruiker maakt voor een Microsoft Entra-identiteit:

CREATE USER [MSEntraUser] FROM EXTERNAL PROVIDER

Een gebruiker op basis van een Microsoft Entra-database heeft dezelfde eigenschapswaarden als aanmeldingsgebruikers in sys.database_principals, met uitzondering van de wijze waarop de SID database wordt samengesteld:

Property Value
SID (Beveiligings-id) Binaire weergave van de object-id van de Microsoft Entra-identiteit
type E = Externe aanmelding of toepassing van Microsoft Entra-id
X = Externe groep van Microsoft Entra-id
type_desc EXTERNAL_LOGIN voor aanmelding of app van Microsoft Entra
EXTERNAL_GROUP voor Microsoft Entra-groep

Gebruik de volgende T-SQL-conversie om de oorspronkelijke Microsoft Entra-GUID op te halen waarop deze SID is gebaseerd:

SELECT CAST(sid AS UNIQUEIDENTIFIER) AS EntraID FROM sys.database_principals

Caution

Je kunt per ongeluk een zelfstandige Microsoft Entra-databasegebruiker aanmaken met dezelfde naam als een Microsoft Entra-login op server- of instantieniveau. Omdat de principals niet met elkaar verbonden zijn, erft de databasegebruiker geen rechten van de serverlogin. Identiteiten kunnen door elkaar worden gehaald in verbindingsverzoeken, wat resulteert in ongedefinieerd gedrag.

Gebruik de volgende T-SQL-query om te bepalen of een databasegebruiker een op aanmelding gebaseerde gebruiker of een ingesloten databasegebruiker is:

SELECT CASE
    WHEN CONVERT(VARCHAR(100), sid, 2) LIKE '%AADE' AND len(sid) = 18 THEN 'login-based user'
    ELSE 'contained database user'
    END AS user_type,
    *
FROM sys.database_principals WHERE TYPE = 'E' OR TYPE = 'X'

Gebruik de volgende T-SQL-query om alle Microsoft Entra-principals in een database weer te geven:

SELECT
  name,
  CAST(sid AS UNIQUEIDENTIFIER) AS EntraID,
  CASE WHEN TYPE = 'E' THEN 'App/User' ELSE 'Group' AS user_type,
  sid
FROM sys.database_principals WHERE TYPE = 'E' OR TYPE = 'X'

enkel met Microsoft Entra-authenticatie

Wanneer je Microsoft Entra-only authenticatie inschakelt, schakel je SQL-authenticatie uit. Je kunt geen SQL-authenticatie gebruiken om verbinding te maken met de werkruimte, SQL-pool of database.

Om te beginnen, zie Microsoft Entra-only authenticatie configureren.

Meervoudige verificatie (MFA)

Microsoft Entra meervoudige verificatie is een beveiligingsfunctie die wordt geleverd door de cloudservice voor identiteits- en toegangsbeheer van Microsoft. Meervoudige verificatie verbetert de beveiliging van gebruikersaanmelding door gebruikers te verplichten extra verificatiestappen uit te voeren buiten een wachtwoord.

Met meervoudige verificatie van Microsoft Entra kunt u de toegang tot gegevens en toepassingen beveiligen terwijl u voldoet aan de vraag van gebruikers voor een eenvoudig aanmeldingsproces. MFA voegt een extra beveiligingslaag toe aan gebruikersaanmelding door te vereisen dat gebruikers twee of meer verificatiefactoren opgeven. Deze factoren omvatten doorgaans iets dat de gebruiker kent (wachtwoord), iets dat de gebruiker bezit (smartphone of hardwaretoken) en/of iets dat de gebruiker is (biometrische gegevens). Door meerdere factoren te combineren, vermindert MFA de kans op onbevoegde toegang aanzienlijk.

Multifactorauthenticatie is een ondersteunde authenticatiemethode voor Azure Synapse Analytics.

Om te beginnen, zie Microsoft Entra multifactor authenticatie configureren.

Microsoft Entra B2B-ondersteuning

Microsoft Entra-verificatie in alle SQL-producten biedt ook ondersteuning voor Microsoft Entra B2B-samenwerking, waardoor bedrijven gastgebruikers kunnen uitnodigen om samen te werken met hun organisatie. Gastgebruikers kunnen verbinding maken met databases als individuele gebruikers of leden van een Microsoft Entra-groep.

Vertrouwensarchitectuur voor Microsoft Entra-federatie naar Active Directory

Microsoft Entra ID kan ook worden geïntegreerd met vertrouwde oplossingen voor identiteits- en toegangsbeheer, zoals Active Directory. Door uw on-premises Active Directory hybride te koppelen, stelt u Windows-identiteiten die via Microsoft Entra ID zijn gefedereerd in staat om single sign-on-inloggegevens te gebruiken om verbinding te maken met Azure Synapse Analytics.

Voor federatie biedt Microsoft Entra ID twee veilige verificatiemethoden: passthrough- en wachtwoord-hashverificatie. Als u overweegt uw on-premises Active Directory te federeren naar Microsoft Entra ID, raadpleegt u De juiste verificatiemethode kiezen voor uw hybride identiteitsoplossing van Microsoft Entra.

Zie de volgende artikelen voor meer informatie over het instellen en synchroniseren van hybride Microsoft Entra-identiteiten:

Microsoft Entra ID verifieert het token en de database vertrouwt het en valideert de verlener en andere details. Klant 1 kan Microsoft Entra-id vertegenwoordigen met systeemeigen gebruikers of Microsoft Entra-id met federatieve gebruikers. Klant 2 vertegenwoordigt een mogelijke oplossing, waaronder geïmporteerde gebruikers, in dit voorbeeld afkomstig van een federatieve Microsoft Entra-id met ADFS die wordt gesynchroniseerd met Microsoft Entra-id. Het is belangrijk te begrijpen dat toegang tot een database met Microsoft Entra-authenticatie vereist dat het hostingabonnement gekoppeld is aan de Microsoft Entra ID. Je moet hetzelfde abonnement gebruiken om de Azure SQL- of Azure Synapse-resources te maken.

Permissions

Rechten die aan de Microsoft Entra-beheerder zijn toegekend, verschillen van de rechten die aan andere beveiligingsprincipals zijn toegekend in Azure Synapse Analytics. In sommige scenario's heeft Azure Synapse Analytics ook Microsoft Graph-rechten nodig om Microsoft Entra-authenticatie te gebruiken.

Beheerdersmachtigingen

De volgende rechten en rollen worden toegewezen aan de Microsoft Entra-beheerder bij aanmaak:

  • db_owner van elke database

Azure Synapse Analytics permissions

Een principal heeft de ALTER ANY USER machtiging in de database nodig om een gebruiker te maken.

Standaard hebben serverbeheerdersaccounts, databasegebruikers met CONTROL ON DATABASE, en leden van de db_owner databaserol het recht ALTER ANY USER.

Om een Microsoft Entra-principal in Azure SQL te maken, moet de aanvragende identiteit Microsoft Graph raadplegen om details over de principal op te halen. Bij de eerste implementatie is de enige identiteit die Microsoft Graph kan bevragen de Microsoft Entra-beheerder. Daarom moet de beheerder de eerste identiteit zijn die andere Microsoft Entra-principals aanmaakt. Daarna kan de beheerder ALTER ANY USER aan andere principals toewijzen zodat ze andere Microsoft Entra principals kunnen aanmaken.

Zero-touch-implementaties met Microsoft Entra-verificatie

Omdat de Microsoft Entra-beheerder de eerste identiteit moet zijn die verbinding maakt met de database en andere Microsoft Entra-gebruikers aanmaakt, kan het nuttig zijn om de identiteit van je implementatie-infrastructuur als beheerder toe te voegen. Uw implementaties kunnen vervolgens de eerste installatie uitvoeren, zoals het maken van andere Microsoft Entra-principals en het toewijzen van machtigingen. Voor deployments gebruik je tools zoals PowerShell ARM-sjablonen om geautomatiseerde principal-creatie te scripten. Azure SQL ondersteunt tegenwoordig geen native API's om gebruikerscreatie en permissiebeheer te configureren. Je kunt deze bewerkingen alleen uitvoeren door een directe verbinding met de SQL-instantie te gebruiken.

Microsoft Graph-machtigingen

Voor het maken van Microsoft Entra-principals en enkele andere scenario's moet Azure SQL Microsoft Graph-aanroepen doen om informatie over de identiteit in Microsoft Entra-id op te halen en te valideren. Om dit te doen, moet het SQL-proces toegang hebben tot of toegang krijgen tot Microsoft Graph leesrechten binnen de klanttenant. Je kunt deze toegang op verschillende manieren bereiken:

  • Als de SQL-principal die het commando uitvoert een gebruikersidentiteit is, hoef je geen extra rechten te geven aan de SQL-instantie om Microsoft Graph te bevragen.
  • Als de SQL-principal die het commando uitvoert een service-identiteit is, zoals een service-principal of beheerde identiteit, heeft de Azure SQL-instantie eigen rechten nodig om Microsoft Graph te bevragen.
    • Ken applicatierechten toe aan de primaire serveridentiteit (beheerde identiteit) van de logische server of beheerde instantie. Het SQL-proces kan de primaire serveridentiteit gebruiken om zich te authenticeren bij andere Azure-diensten in een tenant, zoals Microsoft Graph. De volgende tabel legt verschillende scenario's en de Microsoft Graph-rechten uit die nodig zijn om het commando succesvol uit te voeren.
Scenario Minimale machtiging
CREATE USERof CREATE LOGIN voor een Microsoft Entra service principal of managed identity Application.Read.All
CREATE USERof CREATE LOGIN voor een Microsoft Entra-gebruiker User.Read.All
CREATE USERof CREATE LOGIN voor een Microsoft Entra-groep GroupMember.Read.All

Tip

De rol Directory Readers is de rol met de kleinste reikwijdte die je aan een identiteit kunt toewijzen en dekt alle benodigde permissies. Door rollen te gebruiken, kun je ze toewijzen aan Microsoft Entra-beveiligingsgroepen, die het beheer abstraheren van individuele entiteiten naar conceptuele groepen.

Ondersteuning voor hulpmiddelen

SQL Server Management Studio (SSMS) ondersteunt een aantal verbindingsopties voor Microsoft Entra-verificatie, waaronder meervoudige verificatie.

SQL Server Data Tools (SSDT) voor Visual Studio, vanaf 2015, ondersteunt wachtwoord-, geïntegreerde en interactieve verificatie met Microsoft Entra-id. Zie Microsoft Entra ID-ondersteuning in SQL Server Data Tools (SSDT) voor meer informatie.

  • Momenteel toont SSDT Objectverkenner geen Microsoft Entra-gebruikers. Als tijdelijke oplossing kunt u de gebruikers in sys.database_principals weergeven.

Minimale versies

Om Microsoft Entra-authenticatie met Azure Synapse Analytics te gebruiken, heb je de volgende minimale versies nodig bij het gebruik van deze tools:

Verbinding maken met Microsoft Entra voor Azure Synapse Analytics

Nadat je Microsoft Entra-authenticatie hebt geconfigureerd voor je Azure SQL-resource, kun je verbinden via SQL Server Management Studio, SQL Server Data Tools en een clientapplicatie.

Limitations

Bij het gebruik van Microsoft Entra-authenticatie met Azure Synapse Analytics, houd dan rekening met de volgende beperkingen:

  • Microsoft Entra-gebruikers en service-principals (Microsoft Entra-toepassingen) die lid zijn van meer dan 2048 Microsoft Entra-beveiligingsgroepen, worden niet ondersteund en kunnen zich niet aanmelden bij de database.

  • De volgende systeemfuncties worden niet ondersteund en retourneren NULL waarden wanneer ze worden uitgevoerd door Microsoft Entra-principals:

    • SUSER_ID()
    • SUSER_NAME(<ID>)
    • SUSER_SNAME(<SID>)
    • SUSER_ID(<name>)
    • SUSER_SID(<name>)

  • U wordt aangeraden de verbindingstime-out in te stellen op 30 seconden.

  • Microsoft Entra-gebruikers die deel uitmaken van een groep die lid is van de db_owner databaserol kunnen de volgende fout zien bij het gebruik van CREATE DATABASE SCOPED CREDENTIAL in Azure Synapse Analytics:

    SQL Error [2760] [S0001]: The specified schema name 'user@mydomain.com' either doesn't exist or you do not have permission to use it.

    Als u het CREATE DATABASE SCOPED CREDENTIAL probleem wilt verhelpen, voegt u de identiteit van de Microsoft Entra-gebruiker rechtstreeks toe aan de db_owner rol.

  • Azure Synapse Analytics creëert geen impliciete gebruikers voor gebruikers die zijn ingelogd via Microsoft Entra groepslidmaatschap. Hierdoor kunnen operaties die het toewijzen van eigendom vereisen falen, zelfs als de Microsoft Entra-groep lid is van een rol met die rechten.

    Een gebruiker die zich via een Microsoft Entra-groep heeft aangemeld bij een database met de rol db_ddladmin kan bijvoorbeeld CREATE SCHEMA, ALTER SCHEMA en andere instructies voor het maken van objecten niet uitvoeren zonder een schema dat expliciet is gedefinieerd (zoals bijvoorbeeld een tabel, weergave of type). Om dit op te lossen, moet er een Microsoft Entra-gebruiker worden gemaakt voor die gebruiker of moet de Microsoft Entra-groep worden gewijzigd om een DEFAULT_SCHEMA zoals dbo toe te wijzen.

  • Het verwijderen van de Microsoft Entra-beheerder voorkomt dat Microsoft Entra-authenticatieverbindingen tot stand komen.

Verwante onderwerpen

  • Laatst bijgewerkt om