Элементы управления сетевым доступом Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse — это реляционное хранилище корпоративного масштаба на основе озера данных, с архитектурой, готовой к будущему, встроенным ИИ и новыми функциями. Если вы не знакомы с хранилищем данных, начните с Fabric Data Warehouse. Существующие рабочие нагрузки выделенных пулов SQL могут быть обновлены до Fabric для доступа к новым возможностям в области науки о данных, аналитики в реальном времени и создания отчётов.

Azure Synapse Analytics предоставляет средства контроля доступа к общедоступным и частным сетям для Synapse SQL. Доступные элементы управления зависят от того, находится ли SQL-пул в рабочем пространстве Synapse или является отдельным выделенным SQL-пулом (ранее SQL DW).

Когда вы создаёте новый SQL-сервер для Azure Synapse Analytics, вы получаете публичную конечную точку в формате: yourservername.database.windows.net. По умолчанию логический сервер запрещает все подключения для обеспечения безопасности. Используйте одно или несколько из следующих средств управления сетевым доступом, чтобы выборочно разрешить доступ к базе данных через общедоступную конечную точку:

  • Правила брандмауэра на основе IP-адресов: используйте эту функцию для явного разрешения подключений с определенного IP-адреса. Например, разрешить локальные серверы или диапазон IP-адресов, указав начальный и конечный IP-адрес.

  • Разрешить сервисам и ресурсам Azure доступ к этому серверу: при включении другие ресурсы внутри границ Azure могут получить доступ к серверу.

Вы также можете разрешить частный доступ к базе данных из виртуальных сетей через:

  • Правила брандмауэра виртуальной сети. Используйте эту функцию, чтобы разрешить трафик из определенной виртуальной сети в пределах границы Azure.

  • Приватный канал: Используйте эту функцию для создания приватной конечной точки для SQL-сервера в рамках определённой виртуальной сети.

Правила брандмауэра для IP-адресов

Правила межсетевого экрана на основе IP — это функция логического сервера в Azure, которая предотвращает доступ к вашему серверу до тех пор, пока вы явно не добавите IP-адреса клиентских машин.

Существует два типа правил брандмауэра:

  • правила брандмауэра на уровне сервера. Эти правила применяются ко всем базам данных на сервере. Их можно настроить через портал Azure, PowerShell или команды T-SQL, такие как sp_set_firewall_rule.
  • Правила межсетевого экрана на уровне базы данных: эти правила применяются к отдельным базам данных и могут быть настроены только с помощью команд T-SQL, таких как sp_set_database_firewall_rule.

К именованию правил межсетевого экрана применяются следующие ограничения:

  • Имя правила брандмауэра не может быть пустым.
  • Он не может содержать следующие символы: <, >, *, %, &, :, \\, /, ?.
  • Он не может заканчиваться точкой.
  • Имя правила брандмауэра не может превышать 128 символов.

Если вы попытаетесь создать правила межсетевого экрана, которые не соответствуют этим ограничениям, появляется сообщение об ошибке. Может пройти до пяти минут, прежде чем изменения существующих правил межсетевого экрана на базе IP вступят в силу.

SQL пулы в рабочем пространстве Synapse

Рабочее пространство Synapse предоставляет выделенные SQL, бессерверные SQL и конечные точки для разработки. Сетевые настройки на уровне рабочего пространства защищают эти конечные точки вместе.

  • Правила IP-брандмауэра разрешают публичные подключения от определённых IPv4-адресов клиентов или их диапазонов. Правила межсетевого экрана рабочих пространств применяются к выделенным SQL, SQL без выделенного пула и конечным точкам разработки. Рабочие пространства Synapse поддерживают только правила серверного уровня, а не правила межсетевого экрана базы данных. Для этапов конфигурации см. Azure Synapse Analytics IP firewall rules.
  • Разрешить сервисам и ресурсам Azure доступ к этому рабочему пространству позволяет подключения из ресурсов Azure вне вашей подписки. Включайте его только при необходимости, а также используйте аутентификацию и авторизацию базы данных для ограничения доступа.
  • Общедоступный сетевой доступ контролирует, принимает ли рабочее пространство трафик из общедоступных сетей. Когда доступ к публичной сети отключён, клиенты вынуждены использовать частные конечные точки. Дополнительные сведения см. в разделе Azure Synapse Analytics параметры подключения.
  • Приватные конечные точки назначают приватные IP-адреса в вашей виртуальной сети выделенному SQL, SQL без сервера или конечной точке разработки рабочего пространства. Для получения дополнительной информации см. Приватный канал Azure for Azure Synapse Analytics.
  • Управляемые частные конечные точки обеспечивают исходящее приватное подключение из управляемой виртуальной сети рабочей области к утверждённым ресурсам Azure. Для получения дополнительной информации см. Azure Synapse Analytics managed private endpoints.

Автономные выделенные SQL-пулы

Отдельный выделенный SQL-пул размещается на логическом сервере. Логический сервер не допускает общедоступные подключения, пока вы не настроите доступ.

  • Правила IP-межсетевого экрана разрешают указанные публичные адреса клиентов или диапазоны. Сведения о шагах по настройке см. в статье Azure Synapse IP firewall rules.
  • Разрешить сервисам и ресурсам Azure доступ к этому серверу создаёт серверное правило от 0.0.0.0 до 0.0.0.0. Эта настройка позволяет подключаться к ресурсам Azure вне вашей подписки, поэтому включайте её только при необходимости.
  • Правила виртуальной сети разрешают прохождение трафика из выбранных подсетей виртуальной сети через конечные точки сервиса. Конечные точки службы виртуальной сети и правила — это более простые альтернативы для установления и управления доступом из конкретной подсети, содержащей ваши виртуальные машины.
  • Приватный канал делает логический сервер доступным через частную конечную точку подключения в вашей виртуальной сети. Частная конечная точка — это частный IP-адрес в определенной виртуальной сети и подсети.
  • Доступ к публичной сети можно отключить после настройки приватного подключения. Когда отключено, правила межсетевого экрана и виртуальной сети не разрешают публичные подключения.

Тег службы SQL

Вы можете использовать сервисные теги в правилах безопасности и в маршрутах от клиентов к базе данных SQL. Вы можете использовать сервисные теги в группах сетевой безопасности, Брандмауэр Azure и пользовательских маршрутах, указав их в поле источника или назначения правила безопасности.
Sql Сервисный тег включает все IP-адреса, которые Azure Synapse Analytics использует для базы данных SQL. Тег сегментируется по регионам. Например, Sql.WestUS перечисляет все IP-адреса в западном регионе Azure США.

Тег службы Sql состоит из IP-адресов, необходимых для установления соединения.

Связанные материалы

  • Последнее обновление: