Microsoft Entra-only authentication with Azure Synapse Analytics

Door Microsoft Entra-only authenticatie te gebruiken, kun je Azure Synapse Analytics instellen om alleen Microsoft Entra-authenticatie te ondersteunen.

Note

Microsoft Entra Server Principals zijn momenteel in preview voor Azure Synapse Analytics.

Microsoft Entra-only authenticatie is beschikbaar voor standalone dedicated SQL-pools en Azure Synapse-workspaces. Voor werkruimteconfiguratie, zie Lokale authenticatie uitschakelen. Dedicated SQL pools in Azure Synapse Analytics workspaces gebruiken geen logische SQL-servers.

Wanneer je Microsoft Entra-only authenticatie inschakelt, schakel je SQL-authenticatie uit, inclusief verbindingen van SQL-beheerders, aanmeldingen en gebruikers. Alleen gebruikers die Microsoft Entra-authenticatie gebruiken, kunnen verbinding maken.

Voor een standalone dedicated SQL-pool kun je Microsoft Entra-only authenticatie in- of uitschakelen door gebruik te maken van het Azure-portaal, Azure CLI, PowerShell of REST API. Je kunt het ook configureren tijdens het aanmaken van een logische server met een Azure Resource Manager (ARM) template.

Zie Verificatie en autorisatie voor meer informatie.

Functiebeschrijving

Wanneer je Microsoft Entra-only authenticatie inschakelt, schakel je SQL-authenticatie uit voor de werkruimte of logische server. Hoewel SQL-authenticatie is uitgeschakeld, kunnen Microsoft Entra-accounts met de juiste rechten nog steeds nieuwe SQL-authenticatielogins en gebruikers aanmaken. Nieuw aangemaakte SQL-authenticatieaccounts kunnen geen verbinding maken. Als u Entra-alleen authenticatie inschakelt, worden bestaande SQL-inlog- en gebruikersaccounts voor authenticatie niet verwijderd. De functie voorkomt alleen dat deze accounts verbinding maken met de server en een database die voor deze server is aangemaakt.

Permissions

Microsoft Entra-gebruikers die lid zijn van hooggeprivilegieerde ingebouwde Microsoft Entra-rollen, zoals Azure-abonnements-eigenaren en inzenders, kunnen Microsoft Entra-only authenticatie in- of uitschakelen. Ook kan de rol SQL Security Manager de Microsoft Entra-only authenticatiefunctie in- of uitschakelen.

De rol SQL Server Contributor heeft geen toestemming om Microsoft Entra-only authenticatie in of uit te schakelen. Deze beperking is consistent met de scheiding van taken: gebruikers die een logische server kunnen maken of Microsoft Entra-beheerder zijn, kunnen beveiligingsfuncties niet per se in- of uitschakelen.

Vereiste acties

De volgende acties worden toegevoegd aan de rol SQL Security Manager om het beheer van de verificatiefunctie alleen voor Microsoft Entra toe te staan.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read- vereist alleen voor gebruikers die toegang hebben tot het Azure Microsoft Entra ID-menu van het Azure-portaal

Je kunt deze acties ook toevoegen aan een aangepaste rol om Microsoft Entra-only authenticatie te beheren. Zie Een aangepaste rol maken en toewijzen in Microsoft Entra-id voor meer informatie.

Microsoft Entra-only-verificatie beheren met behulp van API's

Important

Je moet de Microsoft Entra-beheerder instellen voordat je Microsoft Entra-only authenticatie inschakelt.

Azure CLI

U moet over Azure CLI versie 2.14.2 of hoger beschikken.

name komt overeen met het voorvoegsel van de logische servernaam (bijvoorbeeld myserver) en resource-group correspondeert met de resourcegroep (bijvoorbeeld myresource).

Zelfstandige toegewezen SQL-pool

Zie az sql server ad-only-auth voor meer informatie.

In- of uitschakelen

Enable

az sql server ad-only-auth enable --resource-group myresource --name myserver

Disable

az sql server ad-only-auth disable --resource-group myresource --name myserver

Controleer de status

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Je hebt een module Az.Sql 2.10.0 of hoger nodig.

ServerName komt overeen met het voorvoegsel van de logische servernaam (bijvoorbeeld myserver) en ResourceGroupName correspondeert met de resourcegroep (bijvoorbeeld myresource).

Zelfstandige toegewezen SQL-pool

In- of uitschakelen

Enable

Zie Enable-AzSqlServerActiveDirectoryOnlyAuthentication voor meer informatie. Ook kunt u get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full uitvoeren.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

U kunt ook de volgende opdracht gebruiken:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Disable

Zie Disable-AzSqlServerActiveDirectoryOnlyAuthentication voor meer informatie.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Controleer de status

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

U kunt ook de volgende opdracht gebruiken:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST API

Definieer de volgende parameters:

• Vind <subscriptionId> door naar Abonnementen te gaan in het Azure-portaal.
• <myserver> is het voorvoegsel van de logische servernaam.
• <myresource> is de bron.

Om de nieuwste MSAL te gebruiken, download deze van MSAL.PS op PowerShell Gallery.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

Zelfstandige dedicated SQL-pool

Raadpleeg de REST API-documentatie voor server-alleen Azure AD-verificaties voor meer informatie.

In- of uitschakelen

Enable

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Disable

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Controleer de status

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

ARM-sjabloon

• Voer de Microsoft Entra-beheerder voor de implementatie in. Vind de gebruikersobject-ID door naar het Azure-portaal te gaan en naar je Microsoft Entra ID-bron te navigeren. Selecteer onder Beheren de optie Gebruikers. Zoek naar de gebruiker die je als beheerder voor je logische server wilt instellen. Selecteer de gebruiker en noteer op de Profielpagina de Object-ID.
• Vind de Tenant ID op de Overzichtspagina van je Microsoft Entra ID-bron.

Zelfstandige toegewezen SQL-pool

Enable

De volgende ARM-template maakt Microsoft Entra-only authenticatie mogelijk op de logische server voor een zelfstandige dedicated SQL-pool. Als u Microsoft Entra-verificatie wilt uitschakelen, stelt u de azureADOnlyAuthentication eigenschap in op false.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Zie Microsoft.Sql-servers/azureADOnlyAuthentications voor meer informatie.

Microsoft Entra-only-verificatie controleren met behulp van T-SQL

Gebruik de functie SERVERPROPERTY om IsExternalAuthenticationOnly te controleren of Microsoft Entra-only authenticatie is ingeschakeld voor je logische server. 1 geeft aan dat de functie is ingeschakeld, en 0 geeft aan dat deze is uitgeschakeld.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Systeemgegenereerd serverbeheerdersaccount

Wanneer je een logische server aanmaakt met alleen Microsoft Entra-authenticatie ingeschakeld, genereert de dienst een serverbeheerdersnaam en een willekeurig wachtwoord. De gegenereerde naam begint met gevolgd door CloudSA een willekeurige string en verschijnt in het Azure-portaal als de serveradmin-login.

Het account bestaat om aan provisioning te voldoen, niet om een verbinding te bieden. Het inrichten van beide resourcetypes vereist nog steeds SQL-authenticatiebeheerderswaarden. Authenticatie met alleen Microsoft Entra wijzigt welke authenticatiemethoden na provisioning een verbinding tot stand kunnen brengen, maar die provisioningvereiste vervalt daardoor niet, dus genereert de service de waarden die nodig zijn om eraan te voldoen.

Het zien van een gegenereerde naam betekent niet dat SQL-authenticatie is ingeschakeld. Hoewel Microsoft Entra-only authenticatie is ingeschakeld:

• Geen enkel account met SQL-verificatie kan verbinding maken, zelfs de door het systeem gegenereerde administrator niet.
• Het gegenereerde account is geen gedeeld account, geen terugval, of een breekglaspad.
• Applicaties en beheerders moeten Microsoft Entra-authenticatie gebruiken om verbinding te maken.
• De Microsoft Entra-beheerder en andere geautoriseerde Microsoft Entra-hoofden blijven de ondersteunde beheerpaden.
• De dienst verwijdert het wachtwoord na het inrichten permanent uit de beheerlaag.

Remarks

• Een SQL Server-bijdrager kan een Microsoft Entra-beheerder instellen of verwijderen, maar kan de instelling alleen Microsoft Entra-verificatie niet instellen. Sql Security Manager kan geen Microsoft Entra-beheerder instellen of verwijderen, maar kan de microsoft Entra-verificatie alleen instellen. Alleen accounts met hogere Azure RBAC-rollen of aangepaste rollen die beide machtigingen bevatten, kunnen een Microsoft Entra-beheerder instellen of verwijderen en de microsoft Entra-verificatie alleen instellen. Een dergelijke rol is de rol Inzender .
• Na het in- of uitschakelen van Microsoft Entra-authenticatie alleen in het Azure-portaal, verschijnt er een Activiteitenlogboek-vermelding.
• De instelling alleen Microsoft Entra-verificatie kan alleen worden ingeschakeld of uitgeschakeld door gebruikers met de juiste machtigingen als de Microsoft Entra-beheerder is opgegeven. Als de Microsoft Entra-beheerder niet is ingesteld, blijft de instelling microsoft Entra-verificatie alleen inactief en kan deze niet worden ingeschakeld of uitgeschakeld. Het gebruik van API's om alleen-microsoft-verificatie in te schakelen, mislukt ook als de Microsoft Entra-beheerder niet is ingesteld.
• Het wijzigen van een Microsoft Entra-beheerder wanneer Microsoft Entra-verificatie is ingeschakeld, wordt ondersteund voor gebruikers met de juiste machtigingen.
• Het wijzigen van een Microsoft Entra-beheerder en het in- of uitschakelen van Microsoft Entra-only-verificatie is toegestaan in de Azure-portal voor gebruikers met de juiste machtigingen. Beide bewerkingen kunnen worden voltooid met één Opslaan in Azure Portal. De Microsoft Entra-beheerder moet worden ingesteld om alleen Microsoft Entra-verificatie in te schakelen.
• Het verwijderen van een Microsoft Entra-beheerder wanneer de Microsoft Entra-verificatiefunctie is ingeschakeld, wordt niet ondersteund. Het gebruik van een API om een Microsoft Entra-beheerder te verwijderen mislukt als alleen-microsoft-verificatie is ingeschakeld.
  • Als de instelling Microsoft Entra-verificatie alleen is ingeschakeld, is de knop Beheerder verwijderen inactief in Azure Portal.
• Het verwijderen van een Microsoft Entra-beheerder en het uitschakelen van de Microsoft Entra-verificatie alleen is toegestaan, maar alleen als de juiste gebruikersmachtigingen zijn ingesteld om de bewerkingen te voltooien. Beide bewerkingen kunnen worden voltooid met één Opslaan in Azure Portal.
• Microsoft Entra-gebruikers met de juiste machtigingen kunnen bestaande SQL-gebruikers imiteren.
  • Impersonatie blijft werken tussen SQL-authenticatiegebruikers, zelfs wanneer Microsoft Entra-only authenticatie is ingeschakeld.

Verwante onderwerpen

• Gebruik Microsoft Entra-authenticatie met Synapse SQL
• Microsoft Entra authentication for Azure Synapse Analytics