Kontrole dostępu do sieci w usłudze Azure Synapse Analytics

Wskazówka

Microsoft Fabric Data Warehouse to magazyn relacyjny w skali przedsiębiorstwa na podstawie bazy danych data lake z architekturą gotową do użycia w przyszłości, wbudowaną sztuczną inteligencją i nowymi funkcjami. Jeśli dopiero zaczynasz korzystać z magazynowania danych, zacznij od Fabric Data Warehouse. Istniejące obciążenia dedykowanej puli SQL mogą zostać zaktualizowane do Fabric, aby uzyskać dostęp do nowych możliwości w zakresie nauki o danych, analizy w czasie rzeczywistym i raportowania.

Azure Synapse Analytics zapewnia publiczne i prywatne mechanizmy kontroli dostępu do sieci dla usługi Synapse SQL. Dostępne kontrolki zależą od tego, czy pula SQL znajduje się w przestrzeni roboczej Synapse, czy jest to samodzielna, dedykowana pula SQL (dawniej SQL DW).

Gdy tworzysz nowy serwer SQL dla Azure Synapse Analytics, otrzymujesz publiczny endpoint w formacie: yourservername.database.windows.net. Domyślnie serwer logiczny odmawia wszystkich połączeń w celu zapewnienia bezpieczeństwa. Użyj jednego lub więcej z następujących mechanizmów kontroli dostępu do sieci, aby selektywnie umożliwić dostęp do bazy danych przez publiczny punkt końcowy:

  • Reguły zapory oparte na adresach IP: ta funkcja umożliwia jawne zezwalanie na połączenia z określonego adresu IP. Na przykład zezwalaj na komputery lokalne lub zakres adresów IP poprzez określenie początkowego i końcowego adresu IP.

  • Pozwól usługom i zasobom platformy Azure uzyskać dostęp do tego serwera: Po włączeniu inne zasoby w obrębie platformy Azure mogą uzyskać dostęp do serwera.

Możesz również zezwolić na dostęp prywatny do bazy danych z sieci wirtualnych za pośrednictwem:

  • Reguły zapory sieci wirtualnej: Użyj tej funkcji, aby umożliwić ruch z określonej sieci wirtualnej wewnątrz granic platformy Azure.

  • Private Link: Użyj tej funkcji, aby stworzyć prywatny endpoint dla serwera SQL w ramach konkretnej sieci wirtualnej.

Reguły zapory bazujące na adresach IP

Reguły zapory opartej na adresach IP to funkcja logicznego serwera na platformie Azure, która uniemożliwia wszelki dostęp do serwera, dopóki nie dodasz wyraźnie adresów IP komputerów klienckich.

Istnieją dwa typy reguł zapory:

  • reguły zapory na poziomie serwera: te reguły dotyczą wszystkich baz danych na serwerze. Możesz je skonfigurować przez portal Azure, PowerShell lub polecenia T-SQL, takie jak sp_set_firewall_rule.
  • Reguły zapory na poziomie bazy danych: Te reguły dotyczą poszczególnych baz danych i można je konfigurować wyłącznie za pomocą poleceń T-SQL, takich jak sp_set_database_firewall_rule.

Następujące ograniczenia dotyczą reguł nazewnictwa zapory:

  • Nazwa reguły zapory nie może być pusta.
  • Nie może zawierać następujących znaków: <, >, *, %, &, :, \\, /, ?.
  • Nie może się kończyć kropką (.).
  • Nazwa reguły zapory nie może przekraczać 128 znaków.

Jeśli spróbujesz stworzyć reguły zapory, które nie spełniają tych ograniczeń, pojawia się komunikat o błędzie. Wprowadzenie modyfikacji do istniejących reguł zapory opartych na protokole IP może zacząć obowiązywać po upływie do pięciu minut.

Pule SQL w obszarze roboczym Synapse

Przestrzeń robocza Synapse udostępnia dedykowane SQL, bezserwerowe SQL oraz endpointy programistyczne. Ustawienia sieciowe na poziomie przestrzeni roboczej chronią te endpointy łącznie.

  • Reguły zapory IP pozwalają na publiczne połączenia z konkretnych adresów IPv4 klienta lub zakresów adresów. Reguły zapory obszaru roboczego dotyczą dedykowanego SQL, bezserwerowego SQL oraz endpointów programistycznych. Przestrzenie robocze Synapse obsługują tylko reguły na poziomie serwera, a nie reguły zapory na poziomie bazy danych. Dla kroków konfiguracji zobacz Azure Synapse Analytics IP firewall rules.
  • Pozwolenie usługom i zasobom Azure na dostęp do tej przestrzeni roboczej pozwala na połączenia z zasobami Azure spoza Twojej subskrypcji. Włącz go tylko wtedy, gdy jest to wymagane, a do ograniczania dostępu używaj uwierzytelniania i autoryzacji bazy danych.
  • Dostęp z sieci publicznej kontroluje, czy przestrzeń robocza przyjmuje ruch z sieci publicznych. Gdy dostęp do sieci publicznej jest wyłączony, klienci muszą korzystać z prywatnych punktów końcowych. Aby uzyskać więcej informacji, zobacz Azure Synapse Analytics ustawienia łączności.
  • Prywatne punkty końcowe przypisują prywatne adresy IP w Twojej sieci wirtualnej do dedykowanego SQL, bezserwerowego SQL lub endpointu rozwojowego przestrzeni roboczej. Więcej informacji znajdziesz w Azure Private Link for Azure Synapse Analytics.
  • Zarządzane prywatne endpointy zapewniają prywatną łączność wychodzącą z zarządzanej sieci wirtualnej przestrzeni roboczej do zatwierdzonych zasobów Azure. Więcej informacji można znaleźć w Azure Synapse Analytics managed private endpoints.

Samodzielne dedykowane pule SQL

Samodzielna dedykowana pula SQL jest hostowana przez serwer logiczny. Serwer logiczny odmawia połączeń z sieci publicznej, dopóki nie skonfigurujesz dostępu.

  • Reguły zapory IP zezwalają na wybrane publiczne adresy klientów lub ich zakresy. Dla kroków konfiguracji zobacz Azure Synapse IP firewall rules.
  • Pozwól usługom i zasobom platformy Azure na dostęp do tego serwera tworzy regułę na poziomie serwera od 0.0.0.0 do 0.0.0.0. To ustawienie pozwala na połączenia z zasobami Azure poza Twoją subskrypcją, więc włączaj je tylko wtedy, gdy jest to wymagane.
  • Reguły sieci wirtualnej umożliwiają ruch z wybranych podsieci sieci wirtualnej przez punkty końcowe usług. Punkty końcowe usługi sieci wirtualnej i reguły to łatwiejsze alternatywy do ustanawiania i zarządzania dostępem z konkretnej podsieci, która zawiera Twoje maszyny wirtualne.
  • Private Link udostępnia serwer logiczny za pośrednictwem prywatnego punktu końcowego w sieci wirtualnej. Prywatny punkt końcowy to prywatny adres IP w określonej sieci wirtualnej i podsieci.
  • Dostęp do sieci publicznej można wyłączyć po skonfigurowaniu łączności prywatnej. Gdy reguły zapory i sieci wirtualnej są wyłączone, nie zezwalają na połączenia publiczne.

Tag usługi SQL

Możesz używać tagów usługi w regułach zabezpieczeń i trasach z klientów do bazy danych SQL. Możesz używać service tagów w grupach bezpieczeństwa sieci, Azure Firewall oraz tras definiowanych przez użytkownika, określając je w polu źródłowym lub docelowym reguły bezpieczeństwa.
Tag usługi Sql składa się ze wszystkich adresów IP, których Azure Synapse Analytics używa dla bazy danych SQL. Znacznik jest podzielony według regionów. Na przykład Sql.WestUS wymienia wszystkie adresy IP w regionie Zachodnie stany USA platformy Azure.

Tag Sql usługi składa się z adresów IP niezbędnych do nawiązania łączności.

Treści powiązane

  • Ostatnia aktualizacja o