Microsoft Entra authentication for Azure Synapse Analytics

Ten artykuł przedstawia szczegółowy przegląd korzystania z uwierzytelniania Microsoft Entra z Synapse SQL w Azure Synapse Analytics.

Note

Jednostki główne serwera Microsoft Entra są obecnie dostępne w wersji zapoznawczej dla usługi Azure Synapse Analytics.

Aby skonfigurować uwierzytelnianie Microsoft Entra, zobacz Konfigurowanie uwierzytelniania Microsoft Entra i zarządzanie nim za pomocą usługi Azure Synapse Analytics.

Overview

Microsoft Entra ID umożliwia centralne zarządzanie tożsamościami ludzi i usług w infrastrukturze danych. Integrując Microsoft Entra z Azure Synapse Analytics do uwierzytelniania, możesz uprościć zarządzanie tożsamością i uprawnieniami, jednocześnie umożliwiając Dostęp warunkowy i nadzór nad połączeniami z danymi.

Korzystanie z uwierzytelniania firmy Microsoft Entra zapewnia następujące korzyści:

  • Zastępuje mniej bezpieczne metody uwierzytelniania, takie jak nazwy użytkowników i hasła.
  • Eliminuje lub pomaga zatrzymać rozprzestrzenianie się tożsamości użytkowników na serwerach.
  • Grupy Microsoft Entra umożliwiają abstrakcję zarządzania uprawnieniami bazy danych z poszczególnych kont na grupy operacyjne.
  • Umożliwia rotację haseł w jednym miejscu.
  • Uwierzytelnianie tylko za pomocą Microsoft Entra zapewnia pełną alternatywę dla uwierzytelniania SQL.
  • Tożsamości zarządzane dla zasobów platformy Azure eliminują konieczność przechowywania haseł dla usług łączących się z bazami danych oraz połączeń z baz danych do innych zasobów platformy Azure.
  • Umożliwia nowoczesne mechanizmy kontroli zabezpieczeń, w tym silne uwierzytelnianie wieloskładnikowe z szeregiem łatwych opcji weryfikacji, takich jak rozmowa telefoniczna, wiadomość SMS, karta inteligentna z numerem PIN lub powiadomienie aplikacji mobilnej.
  • Microsoft Entra ID umożliwia integrację z wieloma nowoczesnymi protokołami uwierzytelniania, w tym OpenID Connect, OAuth2.0, Ograniczone delegowanie Kerberos i nie tylko.
  • Umożliwia scentralizowane monitorowanie połączeń ze źródłami danych.
  • Włącza mechanizmy kontroli dostępu warunkowego, takie jak wymaganie zgodnych urządzeń lub metod uwierzytelniania dla pomyślnych połączeń.

Note

Uwierzytelnianie Entra firmy Microsoft obsługuje tylko tokeny dostępu pochodzące z identyfikatora Entra firmy Microsoft, a nie tokeny dostępu innych firm. Identyfikator Entra firmy Microsoft nie obsługuje również przekierowywania zapytań microsoft Entra ID do punktów końcowych innych firm. To ograniczenie dotyczy wszystkich platform SQL oraz systemów operacyjnych obsługujących uwierzytelnianie Microsoft Entra.

Kroki konfiguracji

Ogólne kroki konfigurowania uwierzytelniania Microsoft Entra są następujące:

  1. Utwórz i wypełnij dzierżawę Microsoft Entra.
  2. Stwórz przestrzeń roboczą Azure Synapse lub samodzielną dedykowaną pulę SQL.
  3. Przypisz administratora Microsoft Entra do workspace lub serwera logicznego.
  4. Utwórz zasady SQL w bazie danych, mapowane na tożsamości Microsoft Entra.
  5. Konfiguruj aplikacje klienckie do łączenia się, korzystając z bibliotek i metod uwierzytelniania Azure Identity.
  6. Nawiąż połączenie z bazą danych za pomocą tożsamości Microsoft Entra.

Obsługiwane tożsamości i metody uwierzytelniania

Azure Synapse Analytics obsługuje użycie następujących tożsamości Microsoft Entra jako loginów i użytkowników (principals) w Synapse SQL:

  • Użytkownicy firmy Microsoft Entra: dowolny typ użytkownika w dzierżawie firmy Microsoft Entra, który obejmuje użytkowników wewnętrznych, użytkowników zewnętrznych, gości i członków. Członkowie domeny federowanej z Microsoft Entra ID są również obsługiwani i można je skonfigurować pod kątem bezproblemowego logowania jednokrotnego.
  • Aplikacje: Aplikacje istniejące w Azure mogą korzystać z service principal lub zarządzanych tożsamości do uwierzytelniania bezpośrednio do Azure Synapse Analytics. Preferowane jest korzystanie z zarządzanych tożsamości, ponieważ uwierzytelnianie jest bezhasłowe i eliminuje potrzebę poświadczeń zarządzanych przez programistów.
  • Grupy firmy Microsoft Entra, które mogą uprościć zarządzanie dostępem w całej organizacji, zarządzając dostępem użytkowników i aplikacji na podstawie członkostwa w grupie.

W przypadku tożsamości użytkowników obsługiwane są następujące metody uwierzytelniania:

  • Microsoft Entra Integrated (uwierzytelnianie systemu Windows) obsługiwany przez tożsamości hybrydowe Microsoft Entra z usługą Active Directory [federacja].
  • Microsoft Entra MFA lub uwierzytelnianie wieloskładnikowe, które wymaga dodatkowych kontroli zabezpieczeń poza wiedzą użytkownika.
  • Uwierzytelnianie za pomocą hasła firmy Microsoft, które używa poświadczeń użytkownika przechowywanych i zarządzanych w identyfikatorze Entra firmy Microsoft.
  • Uwierzytelnianie domyślne Microsoft Entra, które skanuje różne pamięci podręczne poświadczeń na maszynie aplikacji i może używać tokenów użytkownika do uwierzytelniania w SQL.

W przypadku tożsamości usług lub obciążeń obsługiwane są następujące metody uwierzytelniania:

  • Tożsamości zarządzane dla zasobów platformy Azure, przypisane przez użytkownika i przypisane przez system. Uwierzytelnianie tożsamości zarządzanej opiera się na tokenach, przy czym tożsamość jest przypisywana do zasobu, który chce się za jej pomocą uwierzytelnić. Platforma tożsamości platformy Azure weryfikuje tę relację, która umożliwia uwierzytelnianie bez hasła.
  • Główna nazwa usługi Microsoft Entra i tajny klucz aplikacji (klienta). Ta metoda uwierzytelniania nie jest zalecana ze względu na ryzyko związane z hasłami, które można odgadnąć i wycieknąć.
  • Uwierzytelnianie domyślne firmy Microsoft, które skanuje różne pamięci podręczne poświadczeń na maszynie aplikacji i może używać tokenów aplikacji do uwierzytelniania w języku SQL.

Administrator firmy Microsoft Entra

Aby umożliwić uwierzytelnianie Microsoft Entra, należy ustawić administratora Microsoft Entra dla twojej przestrzeni roboczej lub serwera logicznego Azure Synapse. Ten administrator istnieje obok administratora SQL. administrator Microsoft Entra może być użytkownikiem, grupą, jednostką usługi lub tożsamością zarządzaną w dzierżawie Azure. Można skonfigurować tylko jedną tożsamość w danym momencie. Usunięcie administratora Microsoft Entra wyłącza połączenia oparte na uwierzytelnianiu Microsoft Entra, nawet dla istniejących użytkowników Microsoft Entra posiadających uprawnienia w bazie danych.

Wskazówka

Grupy Microsoft Entra umożliwiają wielu tożsamościom działać jako administrator Microsoft Entra na serwerze. Gdy administrator jest przypisany do grupy, wszyscy członkowie grupy dziedziczą rolę administratora Microsoft Entra. Administrator grupy Entra firmy Microsoft zwiększa zarządzanie przez przeniesienie działań administracyjnych z płaszczyzny danych serwera do Microsoft Entra ID i w ręce właścicieli grup. Grupy mogą być używane dla wszystkich tożsamości Microsoft Entra, które łączą się z SQL, co pozwala na jednorazową konfigurację użytkowników i uprawnień na serwerze i w bazach danych, pozostawiając zarządzanie użytkownikami w gestii grup.

Administrator usługi Microsoft Entra odgrywa szczególną rolę: jest to pierwsze konto, które może tworzyć inne konta logowania w usłudze Microsoft Entra i użytkowników, łącznie określane mianem podmiotów zabezpieczeń. Administrator jest użytkownikiem bazy danych o ograniczonym dostępie w bazie danych na serwerze master. Konta administratorów są członkami roli db_owner w każdej bazie danych użytkowników, a każda baza danych użytkowników jest zarejestrowana jako użytkownik dbo. Aby uzyskać więcej informacji na temat kont administratorów, zobacz Zarządzanie bazami danych i identyfikatorami logowania.

Podmioty Entra firmy Microsoft

Note

Microsoft Entra server principals (logins) są obecnie w podglądzie dla Azure Synapse Analytics.

Możesz tworzyć tożsamości Microsoft Entra jako podmioty zabezpieczeń w Azure Synapse Analytics na trzy sposoby:

  • jako podmioty zabezpieczeń serwera lub identyfikatory logowania
  • jako użytkownicy logujący się (typ podmiotu zabezpieczeń bazy danych)
  • jako użytkownicy zawartej bazy danych

Important

Uwierzytelnianie Microsoft Entra dla usługi Azure SQL nie integruje się z kontrolą dostępu opartą na rolach (RBAC) platformy Azure. Aby używać tożsamości Microsoft Entra do łączenia się z Azure SQL i wykonywania zapytań, musisz utworzyć te tożsamości jako jednostki zabezpieczeń Microsoft Entra w bazach danych, do których muszą mieć dostęp. Role SQL Server Contributor i SQL DB Contributor służą do zabezpieczania operacji wdrożeniowych związanych z zarządzaniem, a nie dostępu do łączności z bazą danych.

Loginy (serwerowe jednostki zabezpieczeń) w dedykowanych pulach SQL

Podmioty zabezpieczeń na poziomie serwera (loginy) dla tożsamości Microsoft Entra są dostępne w wersji zapoznawczej dla dedykowanych pul SQL usługi Azure Synapse Analytics.

Poniższy T-SQL przedstawia, jak utworzyć konto logowania Microsoft Entra.

CREATE LOGIN [MSEntraUser] FROM EXTERNAL PROVIDER

Logowanie do Microsoft Entra ma następujące wartości właściwości w sys.server_principals:

Property Value
SID (Identyfikator zabezpieczeń) Binarna reprezentacja identyfikatora obiektu tożsamości Microsoft Entra
typ E = Zewnętrzne logowanie lub aplikacja z Microsoft Entra ID
X = grupa zewnętrzna z identyfikatora Entra firmy Microsoft
type_desc EXTERNAL_LOGIN dla logowania się do Microsoft Entra lub aplikacji
EXTERNAL_GROUP dla grupy Microsoft Entra

Użytkownicy na podstawie logowania

Użytkownicy na podstawie logowania dziedziczą role i uprawnienia na poziomie serwera przypisane do logowania firmy Microsoft Entra.

W poniższym języku T-SQL pokazano, jak utworzyć użytkownika opartego na logowaniu dla tożsamości firmy Microsoft Entra:

CREATE USER [MSEntraUser] FROM LOGIN [MSEntraUser]

Poniższa tabela przedstawia wartości właściwości użytkownika oparte na logowaniu w Microsoft Entra w sys.database_principals:

Property Value
SID (Identyfikator zabezpieczeń) Binarna reprezentacja identyfikatora obiektu tożsamości Microsoft Entra, plus 'AADE'
typ E = Zewnętrzne logowanie lub aplikacja z Microsoft Entra ID
X = grupa zewnętrzna z identyfikatora Entra firmy Microsoft
type_desc EXTERNAL_LOGIN dla logowania się do Microsoft Entra lub aplikacji
EXTERNAL_GROUP dla grupy Microsoft Entra

Użytkownicy zawartej bazy danych

Użytkownicy znajdujący się w bazie danych są przenośni razem z bazą danych. Nie mają powiązań z tożsamościami zdefiniowanymi na serwerze lub w instancji, a Ty możesz łatwo przenosić je wraz z bazą danych z jednego serwera lub instancji na drugi bez zakłóceń.

W poniższym języku T-SQL pokazano, jak utworzyć użytkownika zawartej bazy danych dla tożsamości entra firmy Microsoft:

CREATE USER [MSEntraUser] FROM EXTERNAL PROVIDER

Użytkownik oparty na bazie danych Microsoft Entra ma te same wartości właściwości co użytkownicy logowani w sys.database_principals, z wyjątkiem sposobu SID konstruowania:

Property Value
SID (Identyfikator zabezpieczeń) Binarna reprezentacja identyfikatora obiektu tożsamości Microsoft Entra
typ E = Zewnętrzne logowanie lub aplikacja z Microsoft Entra ID
X = grupa zewnętrzna z identyfikatora Entra firmy Microsoft
type_desc EXTERNAL_LOGIN dla logowania się do Microsoft Entra lub aplikacji
EXTERNAL_GROUP dla grupy Microsoft Entra

Aby uzyskać oryginalny identyfikator GUID Microsoft Entra, na którym oparty jest SID, użyj następującej konwersji w języku T-SQL.

SELECT CAST(sid AS UNIQUEIDENTIFIER) AS EntraID FROM sys.database_principals

Caution

Możesz przypadkowo utworzyć autonomicznego użytkownika bazy danych Microsoft Entra o tej samej nazwie co logowanie do Microsoft Entra na poziomie serwera lub instancji. Ponieważ podmioty zabezpieczeń nie są ze sobą połączone, użytkownik bazy danych nie dziedziczy uprawnień z loginu serwera. Tożsamości mogą być utożsamiane w żądaniach połączenia, co skutkuje nieokreślonym zachowaniem.

Użyj następującego zapytania T-SQL, aby określić, czy użytkownik bazy danych jest użytkownikiem bazy danych opartym na logowaniu lub użytkownikiem zawartej bazy danych:

SELECT CASE
    WHEN CONVERT(VARCHAR(100), sid, 2) LIKE '%AADE' AND len(sid) = 18 THEN 'login-based user'
    ELSE 'contained database user'
    END AS user_type,
    *
FROM sys.database_principals WHERE TYPE = 'E' OR TYPE = 'X'

Użyj następującego zapytania T-SQL, aby wyświetlić wszystkie Microsoft Entra principals w bazie danych:

SELECT
  name,
  CAST(sid AS UNIQUEIDENTIFIER) AS EntraID,
  CASE WHEN TYPE = 'E' THEN 'App/User' ELSE 'Group' AS user_type,
  sid
FROM sys.database_principals WHERE TYPE = 'E' OR TYPE = 'X'

Uwierzytelnianie wyłącznie za pomocą Microsoft Entra

Gdy włączasz uwierzytelnianie tylko Microsoft Entra, wyłączasz uwierzytelnianie SQL. Nie możesz użyć uwierzytelniania SQL, aby połączyć się z workspace, pulą SQL ani bazą danych.

Aby zacząć, zobacz Konfigurowanie uwierzytelniania wyłącznie w usłudze Microsoft Entra.

Uwierzytelnianie wieloskładnikowe (MFA)

Uwierzytelnianie wieloskładnikowe firmy Microsoft to funkcja zabezpieczeń zapewniana przez usługę zarządzania tożsamościami i dostępem firmy Microsoft w chmurze. Uwierzytelnianie wieloskładnikowe zwiększa bezpieczeństwo logowania użytkowników, wymagając od użytkowników dodatkowych kroków weryfikacji poza hasłem.

Uwierzytelnianie wieloskładnikowe firmy Microsoft pomaga chronić dostęp do danych i aplikacji, jednocześnie spełniając wymagania użytkowników dotyczące prostego procesu logowania. Uwierzytelnianie wieloskładnikowe dodaje dodatkową warstwę zabezpieczeń do logowania użytkowników, wymagając od użytkowników podania co najmniej dwóch czynników uwierzytelniania. Te czynniki zazwyczaj obejmują coś, co użytkownik zna (hasło), coś, co użytkownik posiada (smartfon lub token sprzętowy) i/lub coś, co użytkownik jest (dane biometryczne). Łącząc wiele czynników, uwierzytelnianie wieloskładnikowe znacznie zmniejsza prawdopodobieństwo nieautoryzowanego dostępu.

Uwierzytelnianie wieloskładnikowe to wspierana metoda uwierzytelniania w Azure Synapse Analytics.

Aby zacząć, zobacz Konfiguruj uwierzytelnianie wieloskładnikowe Microsoft Entra.

Pomoc techniczna firmy Microsoft Entra B2B

Uwierzytelnianie Microsoft Entra we wszystkich produktach SQL również obsługuje współpracę Microsoft Entra B2B, co umożliwia firmom zapraszanie gości do współpracy z ich organizacją. Użytkownicy-goście mogą łączyć się z bazami danych jako indywidualni użytkownicy lub członkowie grupy Firmy Microsoft Entra.

Architektura zaufania dla federacji entra firmy Microsoft z usługą Active Directory

Usługa Microsoft Entra ID integruje się również ze znanymi rozwiązaniami do zarządzania tożsamościami i dostępem, takimi jak usługa Active Directory. Dzięki hybrydowemu dołączeniu lokalnego Active Directory umożliwiasz tożsamościom Windows federowanym za pośrednictwem Microsoft Entra ID używanie poświadczeń logowania jednokrotnego do łączenia się z usługą Azure Synapse Analytics.

W przypadku federacji Microsoft Entra ID udostępnia dwie bezpieczne metody uwierzytelniania: uwierzytelnianie przepustowe i uwierzytelnianie przy użyciu skrótu hasła. Jeśli rozważasz sfederowanie swojej lokalnej usługi Active Directory z Microsoft Entra ID, zapoznaj się z artykułem Wybieranie właściwej metody uwierzytelniania dla rozwiązania tożsamości hybrydowej Microsoft Entra.

Aby uzyskać więcej informacji na temat konfigurowania i synchronizacji tożsamości hybrydowych firmy Microsoft Entra, zobacz następujące artykuły:

Identyfikator Entra firmy Microsoft uwierzytelnia token, a baza danych ufa mu i weryfikuje wystawcę i inne szczegóły. Klient 1 może reprezentować Microsoft Entra ID z użytkownikami natywnymi lub z użytkownikami federacyjnymi. Klient 2 reprezentuje możliwe rozwiązanie, w tym zaimportowanych użytkowników, w tym przykładzie pochodzącym z federacyjnego identyfikatora Entra firmy Microsoft z usługą ADFS synchronizowanym z identyfikatorem Microsoft Entra ID. Ważne jest, aby zrozumieć, że dostęp do bazy danych za pomocą uwierzytelniania Microsoft Entra wymaga, aby subskrypcja hostingowa była powiązana z Microsoft Entra ID. Musisz użyć tej samej subskrypcji, aby tworzyć zasoby Azure SQL lub Azure Synapse.

Permissions

Uprawnienia przypisane administratorowi Microsoft Entra różnią się od uprawnień przypisanych innym podmiotom zabezpieczeń w Azure Synapse Analytics. W niektórych sytuacjach Azure Synapse Analytics potrzebuje również uprawnień Microsoft Graph, aby korzystać z uwierzytelniania Microsoft Entra.

Uprawnienia administratora

Następujące uprawnienia i role są przypisane administratorowi Microsoft Entra podczas tworzenia administratora Microsoft Entra:

  • db_owner każdej bazy danych

Uprawnienia Azure Synapse Analytics

Podmiot potrzebuje uprawnienia ALTER ANY USER w bazie danych, aby utworzyć użytkownika.

Domyślnie konta administratorów serwerów, użytkownicy baz danych z ALTER ANY USER oraz członkowie roli bazy danych CONTROL ON DATABASE mają uprawnienie db_owner.

Aby utworzyć principala Microsoft Entra w Azure SQL, tożsamość żądająca musi zapytać Microsoft Graph o szczegóły dotyczące principalu. Podczas początkowego wdrożenia jedyną tożsamością, która może zapytać Microsoft Graph, jest administrator Microsoft Entra. Dlatego administrator musi być pierwszą tożsamością, która utworzy inne podmioty zabezpieczeń Microsoft Entra. Następnie administrator może przypisać ALTER ANY USER innym principalom jako uprawnienie, aby mogli tworzyć inne principale Microsoft Entra.

Wdrożenia zero-touch z uwierzytelnianiem Microsoft Entra

Ponieważ administrator Microsoft Entra musi być pierwszą tożsamością łączącą się z bazą danych i tworzącą innych użytkowników Microsoft Entra, może być pomocne dodanie tożsamości infrastruktury wdrożeniowej jako administratora. Wdrożenia mogą następnie wykonać początkową konfigurację, taką jak tworzenie innych podmiotów Entra Microsoft i przypisywanie im uprawnień. Przy wdrożeniach używaj narzędzi takich jak szablony ARM programu PowerShell do automatycznego tworzenia jednostek zabezpieczeń. Azure SQL obecnie nie obsługuje natywnych interfejsów API do konfiguracji tworzenia użytkowników i zarządzania uprawnieniami. Operacje te można wykonać tylko poprzez bezpośrednie połączenie z instancją SQL.

Uprawnienia programu Microsoft Graph

Aby utworzyć zasadnicze jednostki Microsoft Entra oraz w kilku innych scenariuszach, usługa Azure SQL musi wykonać wywołania Microsoft Graph, aby pobrać informacje na temat oraz zweryfikować istnienie tożsamości w Microsoft Entra ID. Aby to zrobić, proces SQL musi mieć lub uzyskać uprawnienia do odczytu w Microsoft Graph w dzierżawie klienta. Możesz osiągnąć ten dostęp na kilka sposobów:

  • Jeśli podmiot zabezpieczeń SQL wykonujący polecenie jest tożsamością użytkownika, nie musisz przyznawać żadnych dodatkowych uprawnień w instancji SQL, aby wykonywać zapytania do Microsoft Graph.
  • Jeśli podmiot zabezpieczeń SQL wykonujący polecenie jest tożsamością usługi, na przykład nazwą główną usługi lub tożsamością zarządzaną, instancja Azure SQL wymaga własnych uprawnień do wysyłania zapytań do Microsoft Graph.
    • Przypisz uprawnienia aplikacji do podstawowej tożsamości serwera (tożsamość zarządzana) logicznego serwera lub zarządzanej instancji. Proces SQL może wykorzystać główną tożsamość serwera do uwierzytelniania się w innych usługach Azure w dzierżawcy, takich jak Microsoft Graph. Poniższa tabela wyjaśnia różne scenariusze oraz uprawnienia Microsoft Graph wymagane do pomyślnego wykonania polecenia.
Scenario Minimalne uprawnienie
CREATE USER lub CREATE LOGIN dla jednostki usługi Microsoft Entra lub tożsamości zarządzanej Application.Read.All
CREATE USERlub CREATE LOGIN dla użytkownika Microsoft Entra User.Read.All
CREATE USERlub CREATE LOGIN dla grupy Microsoft Entra GroupMember.Read.All

Wskazówka

Rola Directory Readers to rola o najmniejszym zakresie, jaką można przypisać tożsamości, i obejmuje wszystkie potrzebne uprawnienia. Korzystając z ról, można je przypisać do grup zabezpieczeń Microsoft Entra, co przenosi zarządzanie z pojedynczych jednostek na grupy pojęciowe.

Obsługa narzędzi

Program SQL Server Management Studio (SSMS) obsługuje wiele opcji połączenia uwierzytelniania firmy Microsoft, w tym uwierzytelniania wieloskładnikowego.

Narzędzia SQL Server Data Tools (SSDT) dla programu Visual Studio, począwszy od wersji 2015, obsługują uwierzytelnianie haseł, zintegrowane i interakcyjne przy użyciu identyfikatora Entra firmy Microsoft. Aby uzyskać więcej informacji, zobacz Obsługa identyfikatorów Entra firmy Microsoft w narzędziach SQL Server Data Tools (SSDT).

  • Obecnie SSDT Eksplorator obiektów nie pokazuje użytkowników Microsoft Entra. Aby obejść ten problem, wyświetl użytkowników w sys.database_principals.

Minimalna wersja

Aby korzystać z uwierzytelniania Microsoft Entra z Azure Synapse Analytics, potrzebujesz następujących minimalnych wersji podczas korzystania z tych narzędzi:

Połącz z Microsoft Entra do Azure Synapse Analytics

Po skonfigurowaniu uwierzytelniania Microsoft Entra dla swojego zasobu Azure SQL możesz połączyć się za pomocą SQL Server Management Studio, SQL Server Data Tools oraz aplikacji klienckiej.

Limitations

Korzystając z uwierzytelniania Microsoft Entra z Azure Synapse Analytics, należy rozważyć następujące ograniczenia:

  • Użytkownicy i podmioty usługi Microsoft Entra, którzy należą do więcej niż 2048 grup zabezpieczeń Microsoft Entra, nie są obsługiwani i nie mogą się zalogować do bazy danych.

  • Następujące funkcje systemowe nie są obsługiwane i zwracane NULL wartości podczas wykonywania przez podmioty zabezpieczeń firmy Microsoft:

    • SUSER_ID()
    • SUSER_NAME(<ID>)
    • SUSER_SNAME(<SID>)
    • SUSER_ID(<name>)
    • SUSER_SID(<name>)

  • Zalecamy ustawienie limitu czasu połączenia na 30 sekund.

  • Użytkownicy Microsoft Entra, którzy są częścią grupy należącej do roli bazy danych db_owner, mogą zauważyć następujący błąd podczas próby użycia CREATE DATABASE SCOPED CREDENTIAL w Azure Synapse Analytics:

    SQL Error [2760] [S0001]: The specified schema name 'user@mydomain.com' either doesn't exist or you do not have permission to use it.

    Aby rozwiązać ten CREATE DATABASE SCOPED CREDENTIAL problem, dodaj tożsamość użytkownika Microsoft Entra bezpośrednio do roli db_owner.

  • Azure Synapse Analytics nie tworzy użytkowników domyślnych dla osób zalogowanych za pośrednictwem członkostwa w grupie Microsoft Entra. Z tego powodu operacje wymagające przypisania własności mogą zawiódć, nawet jeśli grupa Microsoft Entra jest członkiem roli z tymi uprawnieniami.

    Na przykład użytkownik zalogowany do bazy danych za pośrednictwem grupy Microsoft Entra z rolą db_ddladmin nie może wykonać instrukcji takich jak CREATE SCHEMA, ALTER SCHEMA oraz innych instrukcji tworzenia obiektów, bez jawnie zdefiniowanego schematu (takiego jak tabela, widok lub typ, na przykład). Aby rozwiązać ten problem, należy utworzyć użytkownika Microsoft Entra dla tego użytkownika lub zmienić grupę Microsoft Entra w celu przypisania elementu, takiego jak DEFAULT_SCHEMA.

  • Usunięcie administratora Microsoft Entra uniemożliwia połączenia uwierzytelniania Microsoft Entra.

Treści powiązane

  • Ostatnia aktualizacja o