Microsoft Entra sunucu sorumluları

Microsoft Entra ID'den (eski adıyla Azure Active Directory) sunucu prensipleri oluşturup Azure Synapse Analytics dedicated SQL havuzunun sanal master veritabanında giriş olarak kullanabilirsiniz.

Not

Microsoft Entra sunucu sorumluları şu anda Azure Synapse Analytics için önizleme aşamasındadır.

Microsoft Entra sunucu sorumlularını özel bir SQL havuzu ile kullanmanın birkaç avantajı vardır:

  • İzin yönetimi için sunucu rollerini destekleyin.
  • loginmanager ve dbmanager rolleri gibi Azure Synapse Analytics için özel rollerle birden fazla Microsoft Entra kullanıcısını destekleyin.
  • SQL oturum açma bilgileri ile Microsoft Entra oturum açma bilgileri arasındaki işlevsel eşlik.
  • Örneğin yalnızca Microsoft Entra kimlik doğrulaması kullanarak işlevsel iyileştirmelere yönelik desteği artırın. Yalnızca Microsoft Entra kimlik doğrulaması, SQL sunucu yöneticisi, SQL oturum açma bilgileri ve kullanıcıları içeren SQL kimlik doğrulamasını devre dışı bırakmanıza olanak tanır.
  • Microsoft Entra uygulamalarıyla kullanıcı ve veritabanı oluşturma ve bakımını tam olarak otomatikleştirmek için özel rollerle Microsoft Entra hizmet sorumlusu oturum açma bilgilerini kullanın.

Daha fazla bilgi için bkz. Microsoft Entra authentication for Azure Synapse Analytics.

Permissions

Sanal master veritabanında Microsoft Entra girişlerini kullanmak veya oluşturmak için aşağıdaki izinlere ihtiyacınız vardır:

  • Microsoft Entra yönetici izni veya loginmanager sunucu rolüne üyelik. Sadece Microsoft Entra yöneticisi ilk Microsoft Entra girişini oluşturabilir.
  • Azure Synapse Analytics tarafından kullanılan aynı dizin içinde Microsoft Entra ID üyesi olmalı.

Varsayılan olarak, veritabanında yeni oluşturulan Microsoft Entra oturum açma bilgilerine master HERHANGİ Bİr VERITABANıNı GÖRÜNTÜLE izni verilir.

Microsoft Entra principals söz dizimi

Microsoft Entra sunucusu ve veritabanı sorumlularını oluşturmak ve yönetmek için aşağıdaki söz dizimini kullanın.

Oturum açma oluştur

Bu söz dizimi, Microsoft Entra kimliğine dayalı bir sunucu düzeyinde oturum açma oluşturur. Sadece Microsoft Entra yöneticisi bu komutu sanal master veritabanında çalıştırabilir.

CREATE LOGIN login_name
  { 
    FROM EXTERNAL PROVIDER [WITH OBJECT_ID = 'objectid'] 
    | WITH <option_list> [,..] 
  }

<option_list> ::=
    PASSWORD = { 'password' }
    [ , SID = sid ]

login_name bir Microsoft Entra kullanıcısı, grubu veya uygulaması olan Microsoft Entra sorumlusunu belirtir.

Daha fazla bilgi için CREATE LOGIN (Transact-SQL)'ye bakın.

Oturum açmadan kullanıcı oluşturma

Aşağıdaki T-SQL söz dizimi, sanal master veritabanındaki bir Microsoft Entra oturum açma bilgileriyle eşlenmiş veritabanı düzeyinde bir Microsoft Entra sorumlusu oluşturur. Microsoft Entra kullanıcısı içeren bir veritabanı oluşturma söz diziminde olduğu gibi, tek fark FROM LOGIN [login_name] yerine FROM EXTERNAL PROVIDER belirtmektir.

Bir Microsoft Entra oturum açmasından Microsoft Entra kullanıcısı oluşturmak için aşağıdaki söz dizimini kullanın.

CREATE USER [user_name] FROM LOGIN [login_name]

Sys.database_principals sütununu SIDkullanarak Microsoft Entra içeren veritabanı kullanıcısını ve oturum açmadan oluşturulan bir Microsoft Entra kullanıcısını ayırt edebilirsiniz. Kapsanan veritabanı kullanıcısı için, SID uzunluğu 16 olan ikili dizedir. Oturum açma tabanlı bir kullanıcı için, SID uzunluğu 18'dir ve son AADE eki kullanılır.

Not

SID'ye AADE son ekini eklemek, bir Microsoft Entra kullanıcısının girişten oluşturulduğunu tanımlama şeklidir. Ancak bu aynı zamanda girişin ve kullanıcılarının SID'lerinin sys.database_principals ile sys.server_principals arasında eşleşmediği anlamına gelir. Kullanıcıyı oturum açma bilgilerine geri bağlamak için önce AADE son ekini kaldırmalısınız.

Oturum açma tabanlı kullanıcılarla bağımsız veritabanı kullanıcıları arasındaki kavramsal farkı anlamak için bkz . bağımsız veritabanı kullanıcıları.

CREATE USER söz diziminin tümü hakkında daha fazla bilgi için bkz. CREATE USER (Transact-SQL).

ALTER LOGIN kullanarak girişi devre dışı bırakın veya etkinleştirin

Azure Synapse Analytics ayrılmış bir SQL havuzunda Microsoft Entra oturum açma hesabını etkinleştirmek veya devre dışı bırakmak için ALTER LOGIN (Transact-SQL) DDL sözdizimini kullanın.

ALTER LOGIN [login_name] DISABLE

Bir oturum açma hesabını devre dışı bıraktığınızda, sunucu asıl öğesi artık bağlanamaz. Bir girişi devre dışı bırakmak, o girişten oluşturduğunuz tüm veritabanı asıllarının (kullanıcıların) ilgili veritabanlarına bağlanmasını da engeller.

Not

  • ALTER LOGIN login_name DISABLE bağımsız veritabanı kullanıcılarını etkileyemez, çünkü bunlar oturum açma bilgileriyle ilişkili değildir.

  • ALTER LOGIN login_name DISABLE Microsoft Entra grupları için desteklenmiyor.

  • Devre dışı bırakılmış bireysel bir oturum açma, oluşturduğunuz master veritabanında bulunan bir oturum açma grubunun parçası olan bir kullanıcıya ait olamaz (örneğin, bir Microsoft Entra yönetici grubu).

  • ENABLE veya DISABLE değişikliklerinin hemen yürürlüğe girmesi için, kimlik doğrulama önbelleğini ve TokenAndPermUserStore önbelleğini aşağıdaki T-SQL komutlarını kullanarak temizleyin:

    DBCC FLUSHAUTHCACHE
DBCC FREESYSTEMCACHE('TokenAndPermUserStore') WITH NO_INFOMSGS

Sınırlamalar ve açıklamalar

  • SQL server yöneticisi hiçbir veritabanında Microsoft Entra oturum açma bilgileri veya kullanıcıları oluşturamaz.
  • Azure Synapse Analytics workspaces'teki dedicated SQL havuzları mantıklı SQL sunucuları kullanmaz.
  • SQL yöneticisi veya SQL kullanıcısı aşağıdaki Microsoft Entra işlemlerini yürütemez:
    • CREATE LOGIN [bob@contoso.com] FROM EXTERNAL PROVIDER
    • CREATE USER [bob@contoso.com] FROM EXTERNAL PROVIDER
    • EXECUTE AS USER [bob@contoso.com]
    • ALTER AUTHORIZATION ON securable::name TO [bob@contoso.com]
  • Azure Synapse Analytics için Microsoft Entra sunucu sorumlularının (oturum açma hesapları) kimliğine bürünme desteklenmez:
  • Microsoft Entra oturum açma bilgileri Microsoft Entra yöneticisiyle çakışamaz. Microsoft Entra yöneticisi, tüm oturum açma işlemlerine göre önceliklidir. Bir Microsoft Entra hesabının sunucuya bireysel olarak veya grubun bir parçası olarak Microsoft Entra yöneticisi olarak zaten erişimi varsa, bu hesap için oluşturulan oturum açma bilgilerinin hiçbir etkisi olmaz. Ancak, oturum açma oluşturma işlemi T-SQL aracılığıyla engellenmez. Hesap sunucuda kimlik doğrulandıktan sonra, giriş yeni oluşturulan bir girişin değil, bir Microsoft Entra yöneticisinin etkin izinlerine sahiptir.
  • Belirli bir Microsoft Entra giriş nesnesinde izinlerin değiştirilmesi desteklenmez:
    • GRANT <PERMISSION> ON LOGIN :: <Microsoft Entra account> TO <Any other login>
  • Microsoft Entra girişi için izinleri değiştirdiğinizde, varsayılan olarak değişiklikler yalnızca oturum açma hesabı özel SQL havuzuna bir sonraki kez bağlandığında geçerlidir. Oturum açmayla ilişkili mevcut açık bağlantılar etkilenmez. İzin değişikliklerinin hemen geçerli olmasını zorlamak için, daha önce ALTER LOGIN kullanarak oturum açmayı devre dışı bırakma veya etkinleştirme bölümünde açıklandığı gibi kimlik doğrulamasını ve TokenAndPermUserStore'ları el ile temizleyebilirsiniz. Bu davranış, ALTER SERVER ROLE ile sunucu rolü üyeliği değişiklikleri yapılırken de geçerlidir.
  • SQL Server Management Studio'da, kullanıcı oluşturmaya yönelik betik komutu aynı ada sahip bir Microsoft Entra oturum açma bilgisi master olup olmadığını denetlemez. Her zaman, Microsoft Entra kullanıcısı içeren bir veritabanı için T-SQL oluşturur.
  • Benzersiz olmayan bir görünen ada sahip hizmet sorumlusundan oturum açma hesabı veya kullanıcı oluşturmaya çalışıyorsanız bir hata oluşabilir. Bu hatayı hafifletmek hakkında daha fazla bilgi için Adlandırma ile ilgili dikkat edilmesi gerekenler bölümüne bakın.
  • Microsoft Entra girişleriyle oluşturulan veritabanı kullanıcıları, rol ve izinler verildiğinde gecikmeler yaşayabilir. Bu sorunla karşılaşırsanız, aşağıdaki komutları kullanın:
    • Kullanıcıyı kullanıcı veritabanından bırakın.
    • Veritabanındaki güvenlik önbelleklerini temizlemek için komutunu yürütür DBCC FREESYSTEMCACHE('TokenAndPermUserStore') .
    • DBCC FLUSHAUTHCACHE komutunu çalıştırarak federasyon kimlik doğrulaması bağlam önbelleğini temizleyin.
    • Oturum açma bilgilerini temel alarak kullanıcıyı oluşturun.

Microsoft Entra grubu sunucu sorumlusu sınırlamaları

Aşağıdaki sınırlamalar Azure Synapse Analytics'te Microsoft Entra grup oturum açmalarına uygulanır:

  • Microsoft Entra grupları için sunucu rolleri desteklenmiyor.
  • Eğer SQL yöneticiniz bir Microsoft Entra grubuysa, o grubun kullanıcıları bağlanırken bazı sınırlamalarla karşılaşır. Her Microsoft Entra kullanıcısı sys.server_principals tabloda tek tek listelenmemiştir. Bu sınırlama, NULL çağrılarının SUSER_SID döndürmesi de dahil olmak üzere çeşitli sonuçlara yol açar.
  • Microsoft Entra grup girişlerinin parçası olan Microsoft Entra kullanıcı girişleri örtük olarak oluşturulmaz. Bu kullanıcıların varsayılan bir şeması yoktur ve Microsoft Entra kullanıcısı için giriş oluşturana veya gruba varsayılan şema atayana kadar CREATE SCHEMA gibi işlemleri gerçekleştiremezler.
  • Veritabanı sahibi olarak bir veritabanının sahipliğini Microsoft Entra grubuna değiştiremezsiniz.

    • ALTER AUTHORIZATION ON database::<mydb> TO [my_aad_group] hata iletisiyle başarısız oluyor:

      Msg 33181, Level 16, State 1, Line 4
The new owner cannot be Azure Active Directory group.

Sonraki Adımlar

Öğretici: Microsoft Entra sunucu oturum açmalarını oluştur ve kullan

  • Son güncelleştirme: