Controles de acesso à rede do Azure Synapse Analytics

Dica

Microsoft Fabric Data Warehouse é um armazém relacional de escala empresarial com base de data lake, arquitetura pronta para o futuro, IA integrada e novos recursos. Se você não estiver familiarizado com o data warehouse, comece com Fabric Data Warehouse. As cargas de trabalho existentes de pools de SQL dedicados podem ser atualizadas para Fabric para acessar novos recursos em ciência de dados, análise em tempo real e relatórios.

Azure Synapse Analytics fornece controles de acesso à rede pública e privada para Synapse SQL. Os controles disponíveis dependem se o pool SQL está em um workspace Synapse ou se é um pool SQL dedicado independente (anteriormente SQL DW).

Quando você cria um novo servidor SQL para Azure Synapse Analytics, você recebe um endpoint público no formato: yourservername.database.windows.net. Por padrão, o servidor lógico nega todas as conexões para garantir a segurança. Use um ou mais dos seguintes controles de acesso à rede para permitir seletivamente o acesso a um banco de dados por meio do endpoint público:

  • Regras de firewall baseadas em IP: use este recurso para permitir explicitamente conexões de um endereço IP específico. Por exemplo, permitir máquinas locais ou uma variedade de endereços IP especificando os endereços IP inicial e final.

  • Permitir que serviços e recursos do Azure acessem este servidor: Quando habilitado, outros recursos dentro do limite do Azure podem acessar o servidor.

Você também pode permitir o acesso privado ao banco de dados de redes virtuais via:

  • Regras de firewall de rede virtual: use esse recurso para permitir o tráfego de uma determinada rede virtual no limite do Azure.

  • Link Privado: Use este recurso para criar um endpoint privado para o servidor SQL dentro de uma rede virtual específica.

Regras de firewall para IP

Regras de firewall baseadas em IP são uma funcionalidade do servidor lógico no Azure que impede todo acesso ao seu servidor até que você adicione explicitamente os endereços IP das máquinas clientes.

Há dois tipos de regras de firewall:

  • Regras de firewall no nível do servidor: essas regras se aplicam a todos os bancos de dados no servidor. Você pode configurá-los pelo portal Azure, PowerShell ou comandos T-SQL como sp_set_firewall_rule.
  • Regras de firewall em nível de banco de dados: Essas regras se aplicam a bancos de dados individuais e só podem ser configuradas usando comandos T-SQL como sp_set_database_firewall_rule.

As seguintes restrições se aplicam à nomeação das regras de firewall:

  • O nome da regra de firewall não pode estar vazio.
  • Ele não pode conter os seguintes caracteres: <, >, *, %, &, :, \\, /, ?.
  • Não pode terminar com um ponto (.).
  • O nome da regra de firewall não pode exceder 128 caracteres.

Se você tentar criar regras de firewall que não atendam a essas restrições, recebe uma mensagem de erro. Pode levar até cinco minutos para que modificações nas regras existentes de firewall baseadas em IP entrem em vigor.

pools de SQL em um workspace do Synapse

Um workspace Synapse expõe SQL dedicado, SQL serverless e endpoints de desenvolvimento. Configurações de rede em nível de workspace protegem esses endpoints em conjunto.

  • Regras de firewall IP permitem conexões públicas a partir de endereços ou faixas IPv4 específicas de clientes. Regras de firewall de workspace aplicam-se ao SQL dedicado, SQL serverless e endpoints de desenvolvimento. Os workspaces Synapse suportam apenas regras em nível de servidor, não regras de firewall em nível de banco de dados. Para etapas de configuração, veja as regras de firewall IP do Azure Synapse Analytics.
  • Permitir que serviços e recursos do Azure acessem este espaço de trabalho permite que recursos do Azure fora da sua assinatura se conectem. Ative-a apenas quando necessário e use autenticação e autorização do banco de dados para restringir o acesso.
  • O acesso à rede pública controla se o espaço de trabalho aceita tráfego de redes públicas. Quando o acesso à rede pública é desativado, os clientes devem usar endpoints privados. Para obter mais informações, consulte Azure Synapse Analytics configurações de conectividade.
  • Endpoints privados atribuem endereços IP privados em sua rede virtual ao SQL dedicado, SQL serverless ou endpoint de desenvolvimento do workspace. Para mais informações, veja Link Privado do Azure for Azure Synapse Analytics.
  • Endpoints privados gerenciados fornecem conectividade privada de saída de uma rede virtual de espaço de trabalho gerenciado para recursos Azure aprovados. Para mais informações, veja Azure Synapse Analytics managed private endpoints.

pools de SQL dedicados autônomos

Um pool SQL dedicado independente é hospedado por um servidor lógico. O servidor lógico nega conexões públicas até você configurar o acesso.

  • Regras de firewall de IP permitem endereços ou intervalos de clientes públicos selecionados. Para etapas de configuração, veja regras de firewall IP do Azure Synapse.
  • Permitir que serviços e recursos do Azure acessem este servidor cria uma regra em nível de servidor de 0.0.0.0 para 0.0.0.0. Essa configuração permite conexões de recursos do Azure fora da sua assinatura, então ative-a apenas quando necessário.
  • Regras de rede virtual permitem tráfego de sub-redes virtuais selecionadas através de endpoints de serviço. Endpoints e regras de serviços de rede virtual são alternativas mais simples para estabelecer e gerenciar o acesso a partir de uma sub-rede específica que contém suas VMs.
  • Link Privado expõe o servidor lógico por meio de um endpoint privado na sua rede virtual. Um ponto de extremidade privado é um endereço IP privado em uma rede virtual e uma sub-rede específicas.
  • O acesso à rede pública pode ser desativado após a configuração da conectividade privada. Quando desativado, firewall e regras de rede virtual não permitem conexões públicas.

Marca de Serviço do SQL

Você pode usar tags de serviço em regras de segurança e rotas do cliente para um banco de dados SQL. Você pode usar marcas de serviço em grupos de segurança de rede, Firewall do Azure e rotas definidas pelo usuário, especificando-as no campo de origem ou destino de uma regra de segurança.
A Sql tag de serviço inclui todos os endereços IP que o Azure Synapse Analytics usa para um banco de dados SQL. A etiqueta é segmentada por região. Por exemplo, Sql.WestUS lista todos os endereços IP na região do Azure Oeste dos EUA.

A tag de Sql serviço consiste em endereços IP necessários para estabelecer conectividade.

Conteúdo relacionado

  • Última atualização em