ustawienia Połączenie ivity dla usług Azure SQL Database i Azure Synapse Analytics

Dotyczy:Azure SQL DatabaseAzure Synapse Analytics (tylko dedykowane pule SQL)

W tym artykule przedstawiono ustawienia kontrolujące łączność z serwerem dla usługi Azure SQL Database i dedykowaną pulę SQL (dawniej SQL DW) w usłudze Azure Synapse Analytics.

• Aby uzyskać więcej informacji na temat różnych składników, które kierują ruch sieciowy i zasady połączeń, zobacz Architektura łączności.
• Ten artykuł nie dotyczy usługi Azure SQL Managed Instance. Zamiast tego zobacz Połączenie aplikacji do usługi Azure SQL Managed Instance.
• Ten artykuł nie dotyczy dedykowanych pul SQL w obszarach roboczych usługi Azure Synapse Analytics. Zobacz Reguły zapory adresów IP usługi Azure Synapse Analytics, aby uzyskać wskazówki dotyczące konfigurowania reguł zapory adresów IP dla usługi Azure Synapse Analytics z obszarami roboczymi.

Sieć i łączność

Te ustawienia dotyczą wszystkich baz danych usługi SQL Database i dedykowanej puli SQL (dawniej SQL DW) skojarzonych z serwerem. Te ustawienia można zmienić na karcie sieci serwera logicznego:

Zmienianie dostępu do sieci publicznej

Istnieje możliwość zmiany dostępu do sieci publicznej za pośrednictwem witryny Azure Portal, programu Azure PowerShell i interfejsu wiersza polecenia platformy Azure.

Portal

Aby włączyć dostęp do sieci publicznej dla serwera logicznego hostowania baz danych, przejdź do strony Sieć w witrynie Azure Portal dla serwera logicznego na platformie Azure, wybierz kartę Dostęp publiczny, a następnie ustaw opcję Dostęp do sieci publicznej na Wybierz sieci.

Na tej stronie można dodać regułę sieci wirtualnej, a także skonfigurować reguły zapory dla publicznego punktu końcowego.

Wybierz kartę Dostęp prywatny, aby skonfigurować prywatny punkt końcowy.

Uwaga

Te ustawienia zostaną zastosowane natychmiast po ich zastosowaniu. Klienci mogą napotkać utratę połączenia, jeśli nie spełniają wymagań dla każdego ustawienia.

Program PowerShell

Istnieje możliwość zmiany dostępu do sieci publicznej przy użyciu programu Azure PowerShell.

Ważne

Usługa Azure SQL Database nadal obsługuje moduł Azure Resource Manager programu PowerShell, ale wszystkie przyszłe programowanie dotyczy modułu Az.Sql. Aby uzyskać te polecenia cmdlet, zobacz AzureRM.Sql. Argumenty poleceń w module Az i modułach AzureRm są zasadniczo identyczne. Poniższy skrypt wymaga modułu Azure PowerShell.

Poniższy skrypt programu PowerShell pokazuje, jak Get i Setwłaściwość Dostęp do sieci publicznej na poziomie serwera:

# Get the Public Network Access property
(Get-AzSqlServer -ServerName sql-server-name -ResourceGroupName sql-server-group).PublicNetworkAccess

# Update Public Network Access to Disabled
$SecureString = ConvertTo-SecureString "password" -AsPlainText -Force

Set-AzSqlServer -ServerName sql-server-name -ResourceGroupName sql-server-group -SqlAdministratorPassword $SecureString -PublicNetworkAccess "Disabled"

Interfejs wiersza polecenia platformy Azure

Można zmienić ustawienia sieci publicznej przy użyciu interfejsu wiersza polecenia platformy Azure.

Ważne

Wszystkie skrypty w tej sekcji wymagają interfejsu wiersza polecenia platformy Azure.

Poniższy skrypt interfejsu wiersza polecenia pokazuje, jak zmienić ustawienie Dostęp do sieci publicznej w powłoce powłoki Bash:

# Get current setting for Public Network Access
az sql server show -n sql-server-name -g sql-server-group --query "publicNetworkAccess"

# Update setting for Public Network Access
az sql server update -n sql-server-name -g sql-server-group --set publicNetworkAccess="Disabled"

Odmowa dostępu do sieci publicznej

Ustawienie Domyślne dla ustawienia Dostęp do sieci publicznej to Wyłącz. Klienci mogą łączyć się z bazą danych przy użyciu publicznych punktów końcowych (z regułami zapory na poziomie serwera opartymi na adresach IP lub regułami zapory sieci wirtualnej) lub prywatnymi punktami końcowymi (przy użyciu usługi Azure Private Link), jak opisano w omówieniu dostępu do sieci.

Gdy dostęp do sieci publicznej jest ustawiony na Wartość Wyłącz, dozwolone są tylko połączenia z prywatnych punktów końcowych. Wszystkie połączenia z publicznych punktów końcowych zostaną odrzucone z komunikatem o błędzie podobnym do następującego:

Error 47073
An instance-specific error occurred while establishing a connection to SQL Server. 
The public network interface on this server is not accessible. 
To connect to this server, use the Private Endpoint from inside your virtual network.

Po ustawieniu opcji Dostęp do sieci publicznej na wartość Wyłącz wszelkie próby dodania, usunięcia lub edytowania reguł zapory zostaną odrzucone z komunikatem o błędzie podobnym do następującego:

Error 42101
Unable to create or modify firewall rules when public network interface for the server is disabled. 
To manage server or database level firewall rules, please enable the public network interface.

Upewnij się, że dla opcji Dostęp do sieci publicznej ustawiono opcję Wybrane sieci , aby móc dodawać, usuwać lub edytować wszystkie reguły zapory dla usług Azure SQL Database i Azure Synapse Analytics.

Minimalna wersja protokołu TLS

Minimalne ustawienie wersji protokołu Transport Layer Security (TLS) umożliwia klientom wybranie wersji protokołu TLS używanej przez bazę danych SQL. Można zmienić minimalną wersję protokołu TLS przy użyciu witryny Azure Portal, programu Azure PowerShell i interfejsu wiersza polecenia platformy Azure.

Obecnie obsługujemy protokół TLS 1.0, 1.1 i 1.2. Ustawienie minimalnej wersji protokołu TLS zapewnia obsługę nowszych wersji tego protokołu. Na przykład wybranie wersji protokołu TLS 1.1 oznacza, że akceptowane będą tylko połączenia nawiązywane za pomocą protokołów TLS 1.1 i 1.2, a protokół TLS 1.0 będzie odrzucany. Zalecamy ustawienie minimalnej wersji protokołu TLS na 1.2 po wcześniejszym przeprowadzeniu testów potwierdzających zgodność aplikacji z tą wersją. Zawiera ona poprawki dla luk w zabezpieczeniach znalezionych w poprzednich wydaniach i jest najwyższą wersją protokołu TLS obsługiwaną w usłudze Azure SQL Database.

Ważne

Ustawieniem domyślnym dla minimalnej wersji protokołu TLS jest zezwalanie na wszystkie wersje. Po wymuszeniu wersji protokołu TLS nie można przywrócić wartości domyślnej.

W przypadku klientów z aplikacjami, które opierają się na starszych wersjach protokołu TLS, zalecamy ustawienie minimalnej wersji protokołu TLS zgodnie z wymaganiami aplikacji. Jeśli wymagania aplikacji są nieznane lub obciążenia korzystają ze starszych sterowników, które nie są już obsługiwane, zalecamy ustawienie minimalnej wersji protokołu TLS.

Aby uzyskać więcej informacji, zobacz Zagadnienia dotyczące protokołu TLS dotyczące łączności z usługą SQL Database.

Po ustawieniu minimalnej wersji protokołu TLS klienci korzystający z wersji protokołu TLS niższej niż minimalna wersja protokołu TLS serwera nie będą uwierzytelniać się z powodu następującego błędu:

Error 47072
Login failed with invalid TLS version

Uwaga

Po skonfigurowaniu minimalnej wersji protokołu TLS minimalna wersja jest wymuszana w warstwie aplikacji. Narzędzia, które próbują określić obsługę protokołu TLS w warstwie protokołu, mogą zwracać wersje protokołu TLS oprócz minimalnej wymaganej wersji podczas uruchamiania bezpośrednio względem punktu końcowego usługi SQL Database.

Portal

W witrynie Azure Portal przejdź do zasobu serwera SQL. W obszarze Ustawienia zabezpieczeń wybierz pozycję Sieć, a następnie wybierz kartę Połączenie ivity. Wybierz minimalną wersję protokołu TLS wymaganą dla wszystkich baz danych skojarzonych z serwerem, a następnie wybierz pozycję Zapisz.

Program PowerShell

Można zmienić minimalną wersję protokołu TLS przy użyciu programu Azure PowerShell.

Ważne

Usługa Azure SQL Database nadal obsługuje moduł Azure Resource Manager programu PowerShell, ale wszystkie przyszłe programowanie dotyczy modułu Az.Sql. Aby uzyskać te polecenia cmdlet, zobacz AzureRM.Sql. Argumenty poleceń w module Az i modułach AzureRm są zasadniczo identyczne. Poniższy skrypt wymaga modułu Azure PowerShell.

Poniższy skrypt programu PowerShell pokazuje, jak Get minimalna wersja protokołu TLS na poziomie serwera logicznego:

$serverParams = @{
    ServerName = "sql-server-name"
    ResourceGroupName = "sql-server-group"
}

(Get-AzSqlServer @serverParams).MinimalTlsVersion

Aby Set uzyskać minimalną właściwość Wersja protokołu TLS na poziomie serwera logicznego, zastąp hasło Administracja istrator sql dla strong_password_here_passwordparametru i wykonaj następujące polecenie:

$serverParams = @{
    ServerName = "sql-server-name"
    ResourceGroupName = "sql-server-group"
    SqlAdministratorPassword = (ConvertTo-SecureString "strong_password_here_password" -AsPlainText -Force)
    MinimalTlsVersion = "1.2"
}
Set-AzSqlServer @serverParams

Interfejs wiersza polecenia platformy Azure

Można zmienić minimalne ustawienia protokołu TLS przy użyciu interfejsu wiersza polecenia platformy Azure.

Ważne

Wszystkie skrypty w tej sekcji wymagają interfejsu wiersza polecenia platformy Azure.

Poniższy skrypt interfejsu wiersza polecenia pokazuje, jak zmienić ustawienie Minimalna wersja protokołu TLS w powłoce powłoki Bash:

# Get current setting for Minimal TLS Version
az sql server show -n sql-server-name -g sql-server-group --query "minimalTlsVersion"

# Update setting for Minimal TLS Version
az sql server update -n sql-server-name -g sql-server-group --set minimalTlsVersion="1.2"

Zmienianie zasad połączenia

zasady Połączenie ion określają, jak klienci łączą się z usługą Azure SQL Database.

Zdecydowanie zalecamy Redirect stosowanie zasad Proxy połączenia względem zasad połączenia w celu uzyskania najmniejszego opóźnienia i najwyższej przepływności.

Istnieje możliwość zmiany zasad połączenia przy użyciu witryny Azure Portal, programu Azure PowerShell i interfejsu wiersza polecenia platformy Azure.

Portal

Istnieje możliwość zmiany zasad połączenia dla serwera logicznego przy użyciu witryny Azure Portal.

W witrynie Azure Portal przejdź do zasobu serwera SQL. W obszarze Ustawienia zabezpieczeń wybierz pozycję Sieć, a następnie wybierz kartę Połączenie ivity. Wybierz odpowiednie zasady połączenia, a następnie wybierz pozycję Zapisz.

Program PowerShell

Istnieje możliwość zmiany zasad połączenia dla serwera logicznego przy użyciu programu Azure PowerShell.

Ważne

Usługa Azure SQL Database nadal obsługuje moduł Azure Resource Manager programu PowerShell, ale wszystkie przyszłe programowanie dotyczy modułu Az.Sql. Aby uzyskać te polecenia cmdlet, zobacz AzureRM.Sql. Argumenty poleceń w module Az i modułach AzureRm są zasadniczo identyczne. Poniższy skrypt wymaga modułu Azure PowerShell.

Poniższy skrypt programu PowerShell pokazuje, jak zmienić zasady połączenia przy użyciu programu PowerShell:

# Get SQL Server ID
$sqlserverid = (Get-AzSqlServer -ServerName sql-server-name -ResourceGroupName sql-server-group).ResourceId

# Set URI
$id = "$sqlserverid/connectionPolicies/Default"

# Get current connection policy
$resourceParams = @{
    ResourceId = $id
    ApiVersion = "2014-04-01"
    Verbose = $true
}
(Get-AzResource @resourceParams).Properties.ConnectionType

# Update connection policy
$updateParams = @{
    ResourceId = $id
    Properties = @{
        connectionType = "Proxy"
    }
    Force = $true
}
Set-AzResource @updateParams

Interfejs wiersza polecenia platformy Azure

Istnieje możliwość zmiany zasad połączenia dla serwera logicznego przy użyciu interfejsu wiersza polecenia platformy Azure.

Ważne

Wszystkie skrypty w tej sekcji wymagają interfejsu wiersza polecenia platformy Azure.

Interfejs wiersza polecenia platformy Azure w powłoce Bash

Poniższy skrypt interfejsu wiersza polecenia pokazuje, jak zmienić zasady połączenia w powłoce powłoki Bash:

# Get SQL Server ID
sqlserverid=$(az sql server show -n sql-server-name -g sql-server-group --query 'id' -o tsv)

# Set URI
ids="$sqlserverid/connectionPolicies/Default"

# Get current connection policy
az resource show --ids $ids

# Update connection policy
az resource update --ids $ids --set properties.connectionType=Proxy

Interfejs wiersza polecenia platformy Azure z poziomu wiersza polecenia systemu Windows

Poniższy skrypt interfejsu wiersza polecenia pokazuje, jak zmienić zasady połączenia z wiersza polecenia systemu Windows (z zainstalowanym interfejsem wiersza polecenia platformy Azure):

# Get SQL Server ID and set URI
FOR /F "tokens=*" %g IN ('az sql server show --resource-group myResourceGroup-571418053 --name server-538465606 --query "id" -o tsv') do (SET sqlserverid=%g/connectionPolicies/Default)

# Get current connection policy
az resource show --ids %sqlserverid%

# Update connection policy
az resource update --ids %sqlserverid% --set properties.connectionType=Proxy

Powiązana zawartość

• Architektura łączności usług Azure SQL Database i Azure Synapse Analytics
• conn-policy