Microsoft Entra-only authentication with Azure Synapse Analytics

Genom att använda Microsoft Entra-endast autentisering kan du konfigurera Azure Synapse Analytics för att endast stödja Microsoft Entra-autentisering.

Note

Microsoft Entra Server Principals är för närvarande i förhandsvisning för Azure Synapse Analytics.

Microsoft Entra-endast autentisering finns tillgänglig för fristående dedikerade SQL-pooler och Azure Synapse-arbetsytor. För arbetsytskonfiguration, se Inaktivera lokal autentisering. Dedikerade SQL-pooler i Azure Synapse Analytics-arbetsytor använder inte logiska SQL-servrar.

När du aktiverar Microsoft Entra-endast autentisering inaktiverar du SQL-autentisering, inklusive anslutningar från SQL-administratörer, inloggningar och användare. Endast användare som använder Microsoft Entra-autentisering kan ansluta sig.

För en fristående dedikerad SQL-pool kan du aktivera eller inaktivera autentisering endast för Microsoft Entra genom att använda Azure-portalen, Azure CLI, PowerShell eller REST API. Du kan också konfigurera den när den logiska servern skapas med en Azure Resource Manager (ARM)-mall.

Mer information finns i Autentisering och auktorisering.

Funktionsbeskrivning

När du aktiverar Microsoft Entra-endast autentisering, inaktiverar du SQL-autentisering för arbetsytan eller den logiska servern. Även om SQL-autentisering är inaktiverad kan Microsoft Entra-konton med rätt behörigheter fortfarande skapa nya SQL-autentiseringsinloggningar och användare. Nyligen skapade SQL-autentiseringskonton kan inte ansluta. Om du aktiverar Endast Microsoft Entra-autentisering tar du inte bort befintliga inloggnings- och användarkonton för SQL-autentisering. Funktionen förhindrar endast att dessa konton ansluter till servern och någon databas som skapats för denna server.

Permissions

Microsoft Entra-användare som är medlemmar i högprivilegierade Microsoft Entra-inbyggda roller, såsom Azure-prenumerations-ägare och Deltagare, kan aktivera eller inaktivera Microsoft Entra-endast autentisering. Dessutom kan rollen SQL Security Manager aktivera eller inaktivera funktionen för endast Microsoft Entra-autentisering.

SQL Server Contributor-rollen har inte behörighet att aktivera eller inaktivera autentisering med endast Microsoft Entra. Denna begränsning är förenlig med ansvarsåtskillnad: användare som kan skapa en logisk server eller en Microsoft Entra-administratör kan inte nödvändigtvis aktivera eller inaktivera säkerhetsfunktioner.

Åtgärder som krävs

Följande åtgärder läggs till i rollen SQL Security Manager för att möjliggöra hanteringen av autentiseringsfunktionen exklusivt för Microsoft Entra.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read- krävs endast för användare som använder Azure-portalens Microsoft Entra ID-meny

Du kan också lägga till dessa åtgärder i en anpassad roll för att hantera autentisering enbart med Microsoft Entra. Mer information finns i Skapa och tilldela en anpassad roll i Microsoft Entra-ID.

Hantera Endast Microsoft Entra-autentisering med API:er

Important

Du måste ange Microsoft Entra-administratören innan du aktiverar Microsoft Entra-endast autentisering.

Azure CLI

Du måste ha Azure CLI version 2.14.2 eller senare.

name motsvarar prefixet för det logiska servernamnet (till exempel myserver) och resource-group motsvarar resursgruppen (till exempel myresource).

Fristående dedikerad SQL-pool

För mer information, se az sql server ad-only-auth.

Aktivera eller inaktivera

Enable

az sql server ad-only-auth enable --resource-group myresource --name myserver

Disable

az sql server ad-only-auth disable --resource-group myresource --name myserver

Kolla statusen

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Du behöver modulen Az.Sql 2.10.0 eller högre.

ServerName motsvarar prefixet för det logiska servernamnet (till exempel myserver) och ResourceGroupName motsvarar resursgruppen (till exempel myresource).

Fristående dedikerad SQL-pool

Aktivera eller inaktivera

Enable

Mer information finns i Enable-AzSqlServerActiveDirectoryOnlyAuthentication. Du kan också köra get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Du kan också använda följande kommando:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Disable

Mer information finns i Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Kontrollera statusen

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Du kan också använda följande kommando:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST API

Definiera följande parametrar:

• Hitta <subscriptionId> genom att gå till Prenumerationer i Azure-portalen.
• <myserver> är prefixet till det logiska servernamnet.
• <myresource> är en resurs.

För att använda den senaste MSAL, ladda ner den från MSAL.PS på PowerShell Gallery.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

Fristående dedikerad SQL-pool

Mer information finns i REST API-dokumentationen för Server Azure AD Only Authentications .

Aktivera eller inaktivera

Enable

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Disable

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Kontrollera statusen

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

ARM-mall

• Ange Microsoft Entra-administratören för driftsättningen. Hitta användarens objekt-ID genom att gå till Azure-portalen och navigera till din Microsoft Entra ID-resurs. Under Hantera väljer du Användare. Sök efter användaren du vill sätta som administratör för din logiska server. Välj användaren och notera objekt-ID på profilsidan.
• Hitta klientorganisations-ID på Översiktssidan för din Microsoft Entra ID-resurs.

Fristående dedikerad SQL-pool

Enable

Följande ARM-mall möjliggör autentisering endast med Microsoft Entra på den logiska servern för en fristående dedikerad SQL-pool. Om du vill inaktivera Endast Microsoft Entra-autentisering anger du azureADOnlyAuthentication egenskapen till false.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Mer information finns i Microsoft.Sql-servrar/azureADOnlyAuthentications.

Verifiera autentisering endast med Microsoft Entra med hjälp av T-SQL

Använd funktionen SERVERPROPERTY för att IsExternalAuthenticationOnly kontrollera om Microsoft Entra-endast autentisering är aktiverad för din logiska server. 1 indikerar att funktionen är aktiverad, och 0 indikerar att den är inaktiverad.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Systemgenererat serveradministratörskonto

När du skapar en logisk server med Microsoft Entra-endast autentisering aktiverad, genererar tjänsten ett serveradministratörsnamn och ett slumpmässigt lösenord. Det genererade namnet börjar med CloudSA följt av en slumpmässig sträng och visas i Azure-portalen som serveradministratörens inloggning.

Kontot finns för att tillfredsställa provisionen, inte för att erbjuda ett sätt att ansluta sig. Att provisionera någon av resurstyperna kräver fortfarande SQL-autentiseringsadministratörsvärden. autentisering med endast Microsoft Entra ändrar vilka autentiseringsmetoder som kan upprätta en anslutning efter provisionering, men det tar inte bort kravet på provisionering, så tjänsten genererar de värden som behövs för att uppfylla kravet.

Att se ett genererat namn betyder inte att SQL-autentisering är aktiverad. När autentisering endast med Microsoft Entra är aktiverad:

• Inget SQL-autentiseringskonto kan anslutas, inklusive den systemgenererade administratören.
• Det genererade kontot är inte ett delat konto, en reservlösning eller en break-glass-väg.
• Applikationer och administratörer måste använda Microsoft Entra-autentisering för att ansluta sig.
• Microsoft Entra-administratören och andra auktoriserade Microsoft Entra-huvudpersoner är fortfarande de stödda administrationsvägarna.
• Tjänsten tar permanent bort lösenordet från kontrollplanet efter provisionering.

Remarks

• En SQL Server-deltagare kan ange eller ta bort en Microsoft Entra-administratör, men kan inte ange inställningen Endast Microsoft Entra-autentisering . SQL Security Manager kan inte ange eller ta bort en Microsoft Entra-administratör, men kan ange inställningen Endast Microsoft Entra-autentisering. Endast konton med högre Azure RBAC-roller eller anpassade roller som innehåller båda behörigheterna kan ange eller ta bort en Microsoft Entra-administratör och ange inställningen Endast Microsoft Entra-autentisering . En sådan roll är Deltagare.
• Efter att endast Microsoft Entra-autentisering aktiverats eller inaktiverats i Azure-portalen visas en aktivitetsloggpost.
• Inställningen Endast Microsoft Entra-autentisering kan bara aktiveras eller inaktiveras av användare med rätt behörighet om Microsoft Entra-administratören har angetts. Om Microsoft Entra-administratören inte har angetts förblir inställningen endast Microsoft Entra-autentisering inaktiv och kan inte aktiveras eller inaktiveras. Användning av API:er för att aktivera Microsoft Entra-autentisering misslyckas också om Microsoft Entra-administratören inte har konfigurerats.
• Om du ändrar en Microsoft Entra-administratör när Endast Microsoft Entra-autentisering är aktiverat stöds det för användare med lämpliga behörigheter.
• Det är tillåtet att ändra en Microsoft Entra-administratör och aktivera eller inaktivera Endast Microsoft Entra-autentisering i Azure-portalen för användare med rätt behörighet. Båda åtgärderna kan slutföras med en Spara i Azure-portalen. Microsoft Entra-administratören måste anges för att kunna aktivera autentisering endast för Microsoft Entra.
• Det är inte möjligt att ta bort en Microsoft Entra-administratör när funktionen för endast Microsoft Entra-autentisering är aktiverad. Det går inte att använda ett API för att ta bort en Microsoft Entra-administratör om Endast Microsoft Entra-autentisering är aktiverat.
  • Om inställningen Endast Microsoft Entra-autentisering är aktiverad är knappen Ta bort administratör inaktiv i Azure-portalen.
• Det är tillåtet att ta bort en Microsoft Entra-administratör och inaktivera inställningen endast Microsoft Entra-autentisering , men kräver rätt användarbehörighet för att slutföra åtgärderna. Båda åtgärderna kan slutföras med en Spara i Azure-portalen.
• Microsoft Entra-användare med rätt behörighet kan personifiera befintliga SQL-användare.
  • Personifiering fortsätter att fungera mellan SQL-autentiseringsanvändare även när Microsoft Entra-endast autentisering är aktiverad.

Relaterat innehåll

• Använd Microsoft Entra-autentisering med Synapse SQL
• Microsoft Entra-autentisering för Azure Synapse Analytics