Microsoft Entra-only authentication with Azure Synapse Analytics

Korzystając z uwierzytelniania tylko Microsoft Entra, można skonfigurować Azure Synapse Analytics tak, aby obsługiwał wyłącznie uwierzytelnianie Microsoft Entra.

Uwaga

Tożsamości serwera Microsoft Entra są obecnie dostępne w wersji zapoznawczej dla Azure Synapse Analytics.

Uwierzytelnianie wyłącznie Microsoft Entra jest dostępne dla autonomicznych dedykowanych pul SQL oraz obszarów roboczych Azure Synapse. Informacje o konfiguracji obszaru roboczego zawiera temat Wyłącz lokalną autoryzację. Dedykowane pule SQL w przestrzeniach roboczych Azure Synapse Analytics nie używają logicznych serwerów SQL.

Gdy włączysz uwierzytelnianie tylko Microsoft Entra, wyłączasz uwierzytelnianie SQL, w tym połączenia wykonywane przez administratorów SQL, logowania i użytkowników. Tylko użytkownicy korzystający z uwierzytelniania Microsoft Entra mogą się łączyć.

Dla autonomicznej dedykowanej puli SQL możesz włączyć lub wyłączyć uwierzytelnianie tylko w usłudze Microsoft Entra, korzystając z portalu Azure, Azure CLI, PowerShell lub interfejsu API REST. Możesz też skonfigurować go podczas tworzenia logicznego serwera za pomocą szablonu Azure Resource Manager (ARM).

Aby uzyskać więcej informacji, zobacz Uwierzytelnianie i autoryzacja.

Opis funkcji

Gdy włączasz uwierzytelnianie tylko Microsoft Entra, wyłączasz uwierzytelnianie SQL dla przestrzeni roboczej lub serwera logicznego. Mimo wyłączenia uwierzytelniania SQL, konta Microsoft Entra z odpowiednimi uprawnieniami mogą nadal tworzyć nowe logowania i użytkowników do uwierzytelniania SQL. Nowo utworzone konta uwierzytelniania SQL nie mogą się połączyć. Włączenie uwierzytelniania wyłącznie za pomocą Microsoft Entra nie powoduje usunięcia istniejących loginów uwierzytelniania SQL ani kont użytkowników. Funkcja ta jedynie uniemożliwia łączenie tych kont z serwerem i jakąkolwiek bazą danych utworzoną dla tego serwera.

Permissions

Użytkownicy Microsoft Entra, którzy są członkami wysoce uprzywilejowanych wbudowanych ról Microsoft Entra, takich jak Właściciele i Współtwórcy subskrypcji Azure, mogą włączać lub wyłączać uwierzytelnianie wyłącznie Microsoft Entra. Ponadto użytkownik z rolą SQL Security Manager może włączyć lub wyłączyć funkcję uwierzytelniania wyłącznie za pomocą Microsoft Entra.

Rola SQL Server Contributor nie ma uprawnień do włączania lub wyłączania uwierzytelniania wyłącznie przez Microsoft Entra. To ograniczenie jest zgodne z podziałem obowiązków: użytkownicy potrafiący utworzyć logiczny serwer lub administrator Microsoft Entra niekoniecznie mogą włączać lub wyłączać funkcje bezpieczeństwa.

Wymagane akcje

Następujące akcje są dodawane do roli Menedżera zabezpieczeń SQL, aby umożliwić zarządzanie funkcją uwierzytelniania tylko firmy Microsoft.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read- wymagane tylko dla użytkowników korzystających z menu Microsoft Entra ID portalu Azure

Możesz także dodać te działania do niestandardowej roli, aby zarządzać uwierzytelnianiem wyłącznie Microsoft Entra. Więcej informacji zawiera sekcja Tworzenie i przypisywanie roli niestandardowej w Microsoft Entra ID.

Zarządzanie uwierzytelnianiem wyłącznie za pomocą usługi Microsoft Entra za pomocą interfejsów API

Important

Musisz ustawić administratora Microsoft Entra przed włączeniem uwierzytelniania tylko Microsoft Entra.

Azure CLI

Musisz mieć interfejs wiersza polecenia platformy Azure w wersji 2.14.2 lub nowszej.

name odpowiada prefiksowi nazwy serwera logicznego (na przykład myserver), a resource-group odpowiada grupie zasobów (na przykład myresource).

Samodzielna dedykowana pula SQL

Aby uzyskać więcej informacji, zobacz az sql server ad-only-auth.

Włączanie lub wyłączanie

Włączone

az sql server ad-only-auth enable --resource-group myresource --name myserver

Wyłącz

az sql server ad-only-auth disable --resource-group myresource --name myserver

Sprawdź status

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Potrzebujesz modułu Az.Sql 2.10.0 w wersji 2.10.0 lub nowszej.

ServerName odpowiada prefiksowi nazwy serwera logicznego (na przykład myserver), a ResourceGroupName odpowiada grupie zasobów (na przykład myresource).

Samodzielna dedykowana pula SQL

Włączanie lub wyłączanie

Włączone

Aby uzyskać więcej informacji, zobacz Enable-AzSqlServerActiveDirectoryOnlyAuthentication. Można również uruchomić polecenie get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Możesz również użyć następującego polecenia:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Wyłącz

Aby uzyskać więcej informacji, zobacz Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Sprawdź status

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Możesz również użyć następującego polecenia:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

API REST

Zdefiniuj następujące parametry:

• Znajdź <subscriptionId>, przechodząc do subskrypcji w portalu Azure.
• <myserver> jest przedrostkiem nazwy serwera logicznego.
• <myresource> to zasób.

Aby korzystać z najnowszego MSAL, pobierz go z MSAL.PS on Galeria programu PowerShell.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

Samodzielna dedykowana pula SQL

Aby uzyskać więcej informacji, zobacz dokumentację interfejsu API REST dotyczącą uwierzytelniania tylko za pomocą Azure AD dla serwera.

Włączanie lub wyłączanie

Włączone

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Wyłącz

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Sprawdź status

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

Szablon ARM

• Wprowadź administratora Microsoft Entra dla wdrożenia. Znajdź ID obiektu użytkownika, wchodząc do portalu Azure i wybierając zasób Microsoft Entra ID. W obszarze Zarządzanie wybierz pozycję Użytkownicy. Wyszukaj użytkownika, którego chcesz ustawić jako administratora swojego logicznego serwera. Wybierz użytkownika, a na stronie Profil zanotuj identyfikator obiektu.
• Znajdź identyfikator tenanta na stronie Przegląd swojego zasobu Microsoft Entra ID.

Samodzielna dedykowana pula SQL

Enable

Poniższy szablon ARM umożliwia uwierzytelnianie wyłącznie Microsoft Entra na serwerze logicznym dla samodzielnej dedykowanej puli SQL. Aby wyłączyć uwierzytelnianie wyłącznie za pomocą usługi Microsoft Entra, ustaw właściwość azureADOnlyAuthentication na false.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Aby uzyskać więcej informacji, zobacz Microsoft.Sql servers/azureADOnlyAuthentications.

Sprawdź uwierzytelnianie wyłącznie za pomocą Microsoft Entra przy użyciu języka T-SQL

Użyj funkcji SERVERPROPERTY z IsExternalAuthenticationOnly, aby sprawdzić, czy uwierzytelnianie tylko w usłudze Microsoft Entra jest włączone dla Twojego serwera logicznego. 1 oznacza, że funkcja jest włączona i 0 że jest wyłączona.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Konto administratora serwera generowanego przez system

Gdy tworzysz logiczny serwer z włączonym uwierzytelnianiem tylko Microsoft Entra, usługa generuje nazwę administratora serwera oraz losowe hasło. Wygenerowana nazwa zaczyna się od CloudSA, po którym następuje losowy ciąg znaków, i jest wyświetlana w portalu Azure jako logowanie administratora serwera.

Konto istnieje po to, by spełnić wymagania dotyczące przydziałów, a nie umożliwić połączenie. Udostępnianie któregokolwiek z typów zasobów nadal wymaga wartości administratora uwierzytelniania SQL. Uwierzytelnianie wyłącznie za pomocą usługi Microsoft Entra zmienia to, które metody uwierzytelniania mogą służyć do nawiązywania połączenia po aprowizacji, ale nie usuwa samego wymogu aprowizacji, więc usługa generuje wartości potrzebne do jego spełnienia.

Zobaczenie wygenerowanej nazwy nie oznacza, że uwierzytelnianie SQL jest włączone. Gdy włączone jest uwierzytelnianie wyłącznie za pomocą usługi Microsoft Entra:

• Żadne konto uwierzytelniające SQL nie może się połączyć, w tym administrator generowany przez system.
• Wygenerowane konto nie jest kontem współdzielonym, rezerwowym ani ścieżką typu break-glass.
• Aplikacje i administratorzy muszą korzystać z uwierzytelniania Microsoft Entra, aby się połączyć.
• Administrator Microsoft Entra i inne autoryzowane podmioty Microsoft Entra pozostają obsługiwanymi sposobami administrowania.
• Usługa trwale usuwa hasło z płaszczyzny sterowania po zakończeniu aprowizacji.

Remarks

• Współautor programu SQL Server może ustawić lub usunąć administratora firmy Microsoft Entra, ale nie może ustawić ustawienia tylko uwierzytelniania Entra firmy Microsoft. SQL Security Manager nie może ustawić ani usunąć administratora Microsoft Entra, ale może ustawić opcję tylko uwierzytelnianie Microsoft Entra. Tylko konta z rolami wyższego poziomu Azure RBAC lub rolami niestandardowymi, które obejmują oba uprawnienia, mogą ustawić lub usunąć administratora Microsoft Entra oraz skonfigurować ustawienie tylko uwierzytelnianie Microsoft Entra. Jedną z takich ról jest rola Współautor.
• Po włączeniu lub wyłączeniu tylko uwierzytelniania Microsoft Entra w portalu Azure pojawia się wpis w dzienniku aktywności.
• Ustawienie tylko uwierzytelnianie Microsoft Entra można włączyć lub wyłączyć tylko przez użytkowników z odpowiednimi uprawnieniami, jeśli określono administratora Microsoft Entra. Jeśli administrator Microsoft Entra nie jest ustawiony, ustawienie tylko uwierzytelnianie Microsoft Entra pozostaje nieaktywne i nie można go włączyć ani wyłączyć. Użycie interfejsów API do włączenia uwierzytelniania wyłącznie za pomocą Microsoft Entra również zakończy się niepowodzeniem, jeśli administrator Microsoft Entra nie został skonfigurowany.
• Zmiana administratora Microsoft Entra, gdy jest włączone uwierzytelnianie wyłącznie za pomocą Microsoft Entra, jest obsługiwana dla użytkowników z odpowiednimi uprawnieniami.
• Zmiana administratora Microsoft Entra oraz włączanie lub wyłączanie uwierzytelniania wyłącznie za pomocą Microsoft Entra są możliwe w witrynie Azure Portal dla użytkowników z odpowiednimi uprawnieniami. Obie operacje można wykonać przy użyciu jednego polecenia Zapisz w witrynie Azure Portal. Aby włączyć uwierzytelnianie tylko w usłudze Microsoft Entra, należy ustawić administratora entra firmy Microsoft.
• Usunięcie administratora Microsoft Entra, gdy jest włączona funkcja uwierzytelniania wyłącznie za pomocą Microsoft Entra, nie jest obsługiwane. Usunięcie administratora Microsoft Entra za pomocą interfejsu API zakończy się niepowodzeniem, jeśli jest włączone uwierzytelnianie wyłącznie za pomocą usługi Microsoft Entra.
  • Jeśli ustawienie uwierzytelnianie tylko za pomocą Microsoft Entra jest włączone, przycisk Usuń administratora jest nieaktywny w portalu Azure.
• Usunięcie administratora firmy Microsoft Entra i wyłączenie ustawienia tylko uwierzytelniania Entra firmy Microsoft jest dozwolone, ale wymaga odpowiedniego uprawnienia użytkownika do ukończenia operacji. Obie operacje można wykonać przy użyciu jednego polecenia Zapisz w witrynie Azure Portal.
• Użytkownicy firmy Microsoft Entra z odpowiednimi uprawnieniami mogą personifikować istniejących użytkowników SQL.
  • Podszywanie się nadal działa w przypadku użytkowników uwierzytelnianych za pomocą SQL, nawet gdy włączone jest uwierzytelnianie wyłącznie za pomocą Microsoft Entra.

Treści powiązane

• Użyj uwierzytelniania Microsoft Entra z Synapse SQL
• Uwierzytelnianie Microsoft Entra dla Azure Synapse Analytics