Azure Private Link for Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse är ett relationslager i företagsskala på en datasjögrund med en framtidsklar arkitektur, inbyggd AI och nya funktioner. Om du är nybörjare på datalager börjar du med Fabric Data Warehouse. Befintliga dedicerade SQL-poolarbetsbelastningar kan uppgraderas till Fabric för att få åtkomst till nya funktioner inom datavetenskap, realtidsanalys och rapportering.

Genom att använda Azure Private Link kan du ansluta till Synapse SQL via en privat endpoint. En privat endpoint är ett nätverksgränssnitt med en privat IP-adress i ditt virtuella nätverk och subnät. Trafiken stannar kvar på Microsoft ryggradsnätverk istället för att gå via det publika internet.

Använd alltid serverns fullständigt kvalificerade domännamn (<server>.database.windows.netFQDN) i anslutningssträngar för alla klientdrivrutiner och verktyg. Autentiseringsförsök som använder den privata IP-adressen eller den privata länken FQDN (<server>.privatelink.database.windows.net) fungerar inte. Detta beteende är avsiktligt eftersom den privata slutpunkten routerar trafiken till SQL Gateway, som behöver rätt FQDN för att autentiseringsförfrågningar ska kunna dirigeras korrekt.

Skapandeprocess

Skapa privata endpoints genom att använda Azure portal, PowerShell eller Azure CLI:

Godkännandeprocess

Efter att nätverksadministratören skapat den privata endpointen (PE) kan SQL-administratören hantera den privata slutpunktsanslutningen (PEC) till SQL-databasen.

  1. Gå till serverresursen i Azure-portalen.

  2. Gå till sidan för godkännande av private endpoint. I resursen Azure Synapse Analytics SQL server väljer du Private endpoint connections under Security i resursmenyn.

  3. Se följande:

    • En lista över alla privata slutpunktsanslutningar (PECs)
    • Skapade privata endpoints (PE)

  4. Om det inte finns några privata slutpunkter, skapa en genom att välja Skapa en privat slutpunkt. Annars väljer du en enskild PEC i listan genom att markera den.

  5. SQL-administratören kan godkänna eller avslå en PEC och eventuellt lägga till ett kort textsvar.

  6. Efter godkännande eller avslag speglar listan korrekt status tillsammans med svarstexten.

  7. Välj namnet på den privata endpointen.

    Denna åtgärd tar dig till översiktssidan för Private endpoint. Välj länken Nätverksgränssnitt för att se nätverksgränssnittsdetaljer för den privata slutpunktsanslutningen.

    Sidan Nätverksgränssnitt visar den privata IP-adressen för den privata slutpunktsanslutningen.

Important

När du lägger till en privat slutpunktsanslutning blockeras inte offentlig routning till den logiska servern som standard. I fönstret Brandvägg och virtuella nätverk är inställningen Neka åtkomst till offentligt nätverk inte markerad som standard. Om du vill inaktivera åtkomst till offentligt nätverk kontrollerar du att du väljer Neka åtkomst till offentligt nätverk.

Inaktivera offentlig åtkomst till den logiska servern

I din Azure Synapse Analytics SQL-server kan du inaktivera all offentlig åtkomst till din logiska server och tillåta anslutningar endast från ditt virtuella nätverk.

Kontrollera först att dina privata slutpunktsanslutningar är aktiverade och konfigurerade. Inaktivera sedan offentlig åtkomst till den logiska servern:

  1. Gå till sidan Nätverk på den logiska servern.
  2. Markera kryssrutan Neka åtkomst till offentligt nätverk .

Testa anslutningen till SQL Database från en virtuell Azure-dator i samma virtuella nätverk

I detta scenario, anta att du har skapat en Azure Virtual Machine (VM) som kör en nyare version av Windows i samma virtuella nätverk som den privata slutpunkten.

  1. Starta en RDP-session (Fjärrskrivbord) och anslut till den virtuella datorn.

  2. Du kan sedan göra några grundläggande anslutningskontroller för att säkerställa att VM:n ansluter till SQL Database via den privata endpointen genom att använda följande verktyg:

Kontrollera anslutningen med hjälp av Telnet

Telnet är en Windows-funktion som du kan använda för att testa anslutningen. Beroende på vilken version av Windows du har kan du behöva aktivera denna funktion uttryckligen.

Öppna ett kommandopromptfönster efter att du installerat Telnet. Kör Telnet-kommandot och ange IP-adressen och den privata slutpunkten för databasen i SQL Database.

telnet 10.9.0.4 1433

När Telnet ansluter framgångsrikt visas en tom skärm i kommandofönstret.

Kontrollera anslutningen med PowerShell

Använd ett PowerShell-kommando för att kontrollera anslutningen:

Test-NetConnection -computer myserver.database.windows.net -port 1433

Kontrollera anslutningen med hjälp av PsPing

Använd PsPing enligt följande för att kontrollera att den privata ändpunkten lyssnar efter anslutningar på port 1433.

Kör PsPing genom att tillhandahålla FQDN för logisk SQL-server och port 1433:

PsPing.exe mysqldbsrvr.database.windows.net:1433

Detta exempel visar den förväntade utgången:

TCP connect to 10.9.0.4:1433:
5 iterations (warmup 1) ping test:
Connecting to 10.9.0.4:1433 (warmup): from 10.6.0.4:49953: 2.83ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49954: 1.26ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49955: 1.98ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49956: 1.43ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49958: 2.28ms

Utdata visar att PsPing kan pinga den privata IP-adressen som är kopplad till den privata slutpunkten.

Kontrollera anslutningen med Nmap

Nmap (Network Mapper) är ett gratis och öppet verktyg för nätverksupptäckt och säkerhetsgranskning. För mer information och nedladdningslänken, besök https://Nmap.org. Använd detta verktyg för att säkerställa att den privata ändpunkten lyssnar efter anslutningar på port 1433.

Kör Nmap genom att ange adressintervallet för subnätet som är värd för den privata slutpunktenheten.

Nmap -n -sP 10.9.0.0/24

Detta exempel visar den förväntade utgången:

Nmap scan report for 10.9.0.4
Host is up (0.00s latency).
Nmap done: 256 IP addresses (1 host up) scanned in 207.00 seconds

Resultatet visar att en IP-adress är aktiv, vilket motsvarar IP-adressen för den privata slutpunkten.

Kontrollera anslutningen med hjälp av SQL Server Management Studio (SSMS)

Använd serverns fullständigt kvalificerade domännamn (FQDN) i anslutningssträngar för dina klienter (<server>.database.windows.net). Alla inloggningsförsök som görs direkt till IP-adressen eller genom att använda den privata länken FQDN (<server>.privatelink.database.windows.net) misslyckas. Detta beteende är avsiktligt, eftersom den privata slutpunkten routerar trafiken till SQL Gateway i regionen. Du måste ange rätt FQDN för att inloggningar ska lyckas.

Följ stegen i Använd SSMS för att ansluta till SQL-databasen. Efter att du anslutit via SSMS returnerar följande fråga client_net_address, som matchar den privata IP-adressen för den Azure-VM du ansluter från:

SELECT client_net_address
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Anslutning i lokal miljö genom privat peering

När du ansluter till den publika slutpunkten från lokala maskiner måste du lägga till din IP-adress i den IP-baserade brandväggen genom att använda en servernivå-brandväggsregel. Den här modellen fungerar bra för att ge åtkomst till enskilda datorer för utvecklings- eller testarbetsbelastningar, men det är svårt att hantera i en produktionsmiljö.

Genom att använda Private Link kan du möjliggöra åtkomst från lokala miljöer till den privata slutpunkten genom att använda ExpressRoute, privat peering eller VPN-tunnling. Du kan då inaktivera all åtkomst via den publika slutpunkten och inte använda den IP-baserade brandväggen för att tillåta några IP-adresser.

Klienter kan ansluta till den privata endpointen från samma virtuella nätverk, peerade virtuella nätverk i samma region eller via en virtuell nätverksanslutning mellan virtuella nätverk över regioner. Dessutom kan klienter ansluta från den lokala miljön genom att använda ExpressRoute, privat peering eller VPN-tunnling. Följande förenklade diagram visar vanliga användningsfall.

Dessutom kan tjänster som inte körs direkt i det virtuella nätverket men som är integrerade med det (till exempel App Service-webbappar eller Functions) också uppnå privat anslutning till databasen.

Koppla upp från en Azure VM i ett peer-kopplat virtuellt nätverk

Konfigurera peering för virtuella nätverk för att upprätta anslutning till SQL Database från en virtuell Azure-dator i ett peer-kopplat virtuellt nätverk.

Ansluta från en virtuell Azure-dator i ett virtuellt nätverk till en virtuell nätverksmiljö

Konfigurera virtuell nätverks-till-nätverks VPN-gatewayanslutning för att etablera anslutning till en databas i SQL Database från en virtuell Azure-maskin i en annan region eller prenumeration.

Ansluta från en lokal miljö via VPN

För att etablera anslutning från en lokal miljö, välj och implementera ett av följande alternativ:

Överväg även DNS-konfigurationsscenarier, eftersom tjänstens fullständiga domännamn kan lösas till den offentliga IP-adressen.

Anslut från Azure Synapse Analytics till Azure Storage genom att använda PolyBase och COPY-satsen

Använd PolyBase och COPY-satsen för att ladda data till Azure Synapse Analytics från Azure Storage-konton. Om Azure Storage-kontot som du laddar data från begränsar åtkomsten till endast en uppsättning virtuella nätverkssubnät genom att använda privata endpoints, Service Endpoints eller IP-baserade brandväggar, bryts anslutningen från PolyBase och COPY-satsen till kontot. Information om hur du aktiverar både import- och exportscenarier med Azure Synapse Analytics som ansluter till Azure Storage som är skyddat i ett virtuellt nätverk finns i Påverkan av att använda tjänstslutpunkter för virtuella nätverk med Azure Storage.

Dataexfiltreringsskydd

Dataexfiltration sker när en användare, till exempel en databasadministratör, extraherar data från ett system och flyttar dem till en annan plats eller ett annat system utanför organisationen. Användaren flyttar till exempel data till ett lagringskonto som ägs av en icke-Microsoft-entitet.

Överväg ett scenario med en användare som kör SQL Server Management Studio (SSMS) i en virtuell Azure-dator som ansluter till en databas i SQL Database. Den här databasen finns i datacentret i västra USA. Följande exempel visar hur man begränsar åtkomst med publika endpoints genom att använda nätverksåtkomstkontroller.

  1. Inaktivera all Azure-tjänstetrafik till SQL Database via den publika endpointen genom att sätta Allow Azure Services till OFF. Se till att brandväggsreglerna på server- och databasnivå inte tillåter några IP-adresser. För mer information, se Azure Synapse Analytics network access controls.
  2. Tillåt endast trafik till VM:ns privata IP-adress. För mer information, se reglerna för virtuella nätverksbrandväggar.
  3. På Azure VM, begränsa omfattningen av utgående anslutningar genom att använda Network Security Groups (NSGs) och Service Tags enligt följande:
    • Ange en NSG-regel för att tillåta trafik för Service Tag = SQL.WestUs - som endast tillåter anslutning till SQL-databasen i västra USA.
    • Ange en NSG-regel med högre prioritet för att neka trafik för Service Tag = Sql - neka anslutningar till SQL-databaser i alla regioner.

I slutet av denna installation kan Azure-VM:n endast ansluta till en resurs i västra USA-regionen. Dock är anslutningen inte begränsad till en enda databas. VM:n kan fortfarande ansluta till vilken databas som helst i västra USA-regionen, inklusive databaser som inte ingår i prenumerationen. Även om du minskar omfattningen av dataexfiltration i föregående scenario till en specifik region, har du inte eliminerat den helt.

Genom att använda Private Link kan du sätta upp nätverksåtkomstkontroller som NSG:er för att begränsa åtkomsten till den privata ändpunkten. Du kan mappa individuella Azure PaaS-resurser till specifika privata endpoints. En illvillig insider kan endast komma åt den mappade PaaS-resursen och ingen annan resurs.

Relaterat innehåll

  • Uppdaterades senast