Microsoft Entra-only authentication with Azure Synapse Analytics

Yalnızca Microsoft Entra kimlik doğrulaması kullanarak, Azure Synapse Analytics'i yalnızca Microsoft Entra kimlik doğrulamasını destekleyecek şekilde yapılandırabilirsiniz.

Not

Microsoft Entra sunucu sorumluları, Azure Synapse Analytics için şu anda önizleme aşamasındadır.

Yalnızca Microsoft Entra kimlik doğrulaması, bağımsız ayrılmış SQL havuzları ve Azure Synapse çalışma alanları için kullanılabilir. Çalışma alanı yapılandırması için bkz. Yerel kimlik doğrulamayı devre dışı bırak. Azure Synapse Analytics çalışma alanlarındaki dedicated SQL havuzları mantıksal SQL sunucuları kullanmaz.

Yalnızca Microsoft Entra kimlik doğrulamasını etkinleştirdiğinizde, SQL yöneticilerinden, oturum açma hesaplarından ve kullanıcılardan gelen bağlantılar dahil olmak üzere SQL kimlik doğrulamasını devre dışı bırakırsınız. Yalnızca Microsoft Entra kimlik doğrulaması kullanan kullanıcılar bağlanabilir.

Bağımsız bir özel SQL havuzu için, Azure portalı, Azure CLI, PowerShell veya REST API kullanarak yalnızca Microsoft Entra kimlik doğrulamasını etkinleştirebilir veya devre dışı bırakabilirsiniz. Mantıksal sunucu oluştururken Azure Resource Manager (ARM) şablonuyla da yapılandırabilirsiniz.

Daha fazla bilgi için bkz . Kimlik doğrulaması ve yetkilendirme.

Özellik açıklaması

Microsoft Entra'ya ait kimlik doğrulamayı etkinleştirdiğinizde, çalışma alanı veya mantıksal sunucu için SQL kimlik doğrulamasını devre dışı bırakırsınız. SQL doğrulama devre dışı bırakılmış olsa da, uygun izinlere sahip Microsoft Entra hesapları yine de yeni SQL kimlik doğrulama girişleri ve kullanıcıları oluşturabilir. Yeni oluşturulan SQL kimlik doğrulama hesapları bağlanamıyor. Microsoft Entra-only kimlik doğrulamasının etkinleştirilmesi, mevcut SQL kimlik doğrulaması oturum açma bilgilerini ve kullanıcı hesaplarını kaldırmaz. Bu özellik yalnızca bu hesapların sunucuya ve bu sunucu için oluşturulan herhangi bir veritabanına bağlanmasını engeller.

Permissions

Azure aboneliği Owners ve Contributors gibi yüksek ayrıcalıklı Microsoft Entra yerleşik rolleri üyesi olan Microsoft Entra kullanıcıları, yalnızca Microsoft Entra kimlik doğrulamasını etkinleştirebilir veya devre dışı bırakabilir. Ayrıca, SQL Güvenlik Yöneticisi rolü yalnızca Microsoft Entra kimlik doğrulaması özelliğini etkinleştirebilir veya devre dışı bırakabilir.

SQL Server Katkıcı rolü, yalnızca Microsoft Entra kimlik doğrulamasını etkinleştirme veya devre dışı bırakma iznine sahip değildir. Bu kısıtlama, görevlerin ayrılmasıyla tutarlıdır: mantıksal sunucu veya Microsoft Entra yöneticisi oluşturabilen kullanıcılar mutlaka güvenlik özelliklerini etkinleştirebilir veya devre dışı bırakamaz.

Gerekli eylemler

Aşağıdaki eylemler, Microsoft Entra-only kimlik doğrulaması özelliğinin yönetimine izin vermek için SQL Security Manager rolüne eklenir.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read - yalnızca Azure portalı Microsoft Entra ID menüsüne erişen kullanıcılar için gereklidir

Bu işlemleri, Microsoft Entra'ya özgü kimlik doğrulamayı yönetmek için özel bir role de ekleyebilirsiniz. Daha fazla bilgi için Microsoft Entra ID'de özel bir rol oluşturma ve atama konusuna bakın.

API'leri kullanarak Microsoft Entra-only kimlik doğrulamayı yönetme

Important

Microsoft Entra ile kimlik doğrulamayı etkinleştirmeden önce Microsoft Entra yöneticisini ayarlamanız gerekir.

Azure CLI

Azure CLI sürüm 2.14.2 veya üzeri olmalıdır.

name mantıksal sunucu adının önekine karşılık gelir (örneğin, myserver) ve resource-group kaynak grubuna karşılık gelir (örneğin, myresource).

Standalone dedicated SQL pool

Daha fazla bilgi için bkz. az sql server ad-only-auth.

Etkinleştirme veya devre dışı bırakma

Enable

az sql server ad-only-auth enable --resource-group myresource --name myserver

Disable

az sql server ad-only-auth disable --resource-group myresource --name myserver

Durumu kontrol edin

az sql server ad-only-auth get --resource-group myresource --name myserver

PowerShell

Az.Sql 2.10.0 veya üzeri bir modüle ihtiyacınız var.

ServerName mantıksal sunucu adının önekine karşılık gelir (örneğin, myserver) ve ResourceGroupName kaynak grubuna karşılık gelir (örneğin, myresource).

Standalone dedicated SQL pool

Etkinleştirme veya devre dışı bırakma

Enable

Daha fazla bilgi için bkz . Enable-AzSqlServerActiveDirectoryOnlyAuthentication. komutunu da çalıştırabilirsiniz get-help Enable-AzSqlServerActiveDirectoryOnlyAuthentication -full.

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Aşağıdaki komutu da kullanabilirsiniz:

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Disable

Daha fazla bilgi için bkz . Disable-AzSqlServerActiveDirectoryOnlyAuthentication.

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Durumu kontrol edin

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Aşağıdaki komutu da kullanabilirsiniz:

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

REST API

Aşağıdaki parametreleri tanımlayın:

• Azure portalında <subscriptionId> bölümüne giderek bulabilirsin.
• <myserver> mantıksal sunucu adının önekidir.
• <myresource> kaynaktır.

En son MSAL'ı kullanmak için PowerShell Galerisi'deki MSAL.PS'den indirin.

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

Standalone dedicated SQL pool

Daha fazla bilgi için Sunucu Azure AD Yalnızca Kimlik Doğrulamaları REST API belgelerine bakın.

Etkinleştirme veya devre dışı bırakma

Enable

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Disable

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Durumu kontrol edin

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

ARM Şablonu

• Dağıtım için Microsoft Entra yöneticisini girin. Kullanıcı Nesne ID'sini Azure portalına gidip Microsoft Entra ID kaynağınıza giderek bulabilirsiniz. Yönet bölümünde Kullanıcılar'ı seçin. Mantıksal sunucunuzun yöneticisi olarak ayarlamak istediğiniz kullanıcıyı arayın. Kullanıcıyı seçin ve Profil sayfasında Nesne Kimliği'ni not edin.
• Kiracı ID'sini, Genel Bakış sayfasında Microsoft Entra ID kaynağınızda bulun.

Standalone dedicated SQL pool

Enable

Aşağıdaki ARM şablonu, mantıksal sunucuda bağımsız bir özel SQL havuzu için yalnızca Microsoft Entra kimlik doğrulamasını sağlar. Yalnızca Microsoft Entra kimlik doğrulamasını devre dışı bırakmak için, azureADOnlyAuthentication özelliğini false olarak ayarlayın.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Daha fazla bilgi için bkz. Microsoft.Sql servers/azureADOnlyAuthentications.

T-SQL kullanarak Microsoft Entra-only kimlik doğrulamayı denetleme

Mantıksal sunucunuz için yalnızca Microsoft Entra kimlik doğrulamasının etkin olup olmadığını denetlemek için SERVERPROPERTY işlevini IsExternalAuthenticationOnly ile kullanın. 1 özelliğin etkin olduğunu ve 0 devre dışı bırakıldığını gösterir.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Sistem tarafından oluşturulan sunucu yöneticisi hesabı

Yalnızca Microsoft Entra kimlik doğrulaması etkinleştirilmiş bir mantıksal sunucu oluşturduğunuzda, hizmet bir sunucu yöneticisi adı ve rastgele bir parola oluşturur. Oluşturulan isim, CloudSA rastgele bir diziyle başlar ve Azure portalında Server admin girişi olarak görünür.

Hesap, bağlanma yolu sunmak için değil, kaynak sağlama gereksinimini karşılamak için vardır. Her iki kaynak türünü de sağlamak için yine de SQL kimlik doğrulama yöneticisi değerleri gereklidir. Yalnızca Microsoft Entra kimlik doğrulaması, provisioning sonrasında hangi kimlik doğrulama yöntemlerinin bağlantı kurabileceğini değiştirir; ancak bu, provisioning gereksinimini ortadan kaldırmaz. Bu nedenle hizmet, bu gereksinimi karşılamak için gerekli değerleri oluşturur.

Oluşturulan bir ismi görmek, SQL kimlik doğrulamasının etkin olduğu anlamına gelmez. Microsoft Entra'ya özgü kimlik doğrulama etkin olsa da:

• Sistem tarafından oluşturulan yönetici dahil olmak üzere hiçbir SQL kimlik doğrulama hesabı bağlanamaz.
• Oluşturulan hesap paylaşılan bir hesap, yedek hesap veya acil durum erişim yöntemi değildir.
• Uygulamalar ve yöneticiler bağlantı kurmak için Microsoft Entra kimlik doğrulamasını kullanmak zorundadır.
• Microsoft Entra yöneticisi ve diğer yetkili Microsoft Entra yöneticileri desteklenen yönetim yolları olarak kalıyor.
• Hizmet, sağlandıktan sonra şifreyi kontrol düzleminden kalıcı olarak kaldırır.

Remarks

• SQL Server Katkıda Bulunanı bir Microsoft Entra yöneticisini ayarlayabilir veya kaldırabilir, ancak yalnızca Microsoft Entra kimlik doğrulaması ayarını ayarlayamaz. SQL Güvenlik Yöneticisi bir Microsoft Entra yöneticisi ayarlayamaz veya kaldıramaz, ancak yalnızca Microsoft Entra kimlik doğrulaması ayarını ayarlayabilir. Yalnızca daha yüksek Azure RBAC rollerine veya her iki izni de içeren özel rollere sahip hesaplar bir Microsoft Entra yöneticisi ayarlayabilir veya kaldırabilir ve yalnızca Microsoft Entra kimlik doğrulaması ayarını yapabilir. Bu rollerden biri Katkıda Bulunan rolüdür.
• Azure portalında yalnızca Microsoft Entra doğrulaması etkinleştirildikten veya devre dışı bırakıldıktan sonra, bir Etkinlik günlüğü girişi görünür.
• Yalnızca Microsoft Entra kimlik doğrulaması ayarı, yalnızca Microsoft Entra yöneticisi belirtilirse doğru izinlere sahip kullanıcılar tarafından etkinleştirilebilir veya devre dışı bırakılabilir. Microsoft Entra yöneticisi ayarlı değilse, yalnızca Microsoft Entra kimlik doğrulaması ayarı etkin değildir ve etkinleştirilemiyor veya devre dışı bırakılamaz. Microsoft Entra-only kimlik doğrulamasını etkinleştirmek için API'leri kullanmak, Microsoft Entra yöneticisi ayarlanmamışsa da başarısız olur.
• Microsoft Entra-only kimlik doğrulaması etkinleştirildiğinde Microsoft Entra yöneticisinin değiştirilmesi, uygun izinlere sahip kullanıcılar için desteklenir.
• Uygun izinlere sahip kullanıcılar için Azure portalında Bir Microsoft Entra yöneticisinin değiştirilmesine ve Microsoft Entra-only kimlik doğrulamasının etkinleştirilmesine veya devre dışı bırakılmasına izin verilir. Her iki işlem de Azure portalında tek bir Kaydet ile tamamlanabilir. Microsoft Entra-only kimlik doğrulamasını etkinleştirmek için Microsoft Entra yöneticisi ayarlanmalıdır.
• Microsoft Entra-only kimlik doğrulaması özelliği etkinleştirildiğinde Bir Microsoft Entra yöneticisinin kaldırılması desteklenmez. Microsoft Entra yöneticisini kaldırmak için API kullanılması, Microsoft Entra-only kimlik doğrulaması etkinleştirilirse başarısız olur.
  • Yalnızca Microsoft Entra kimlik doğrulaması ayarı etkinse Azure portalında Yöneticiyi kaldır düğmesi etkin değildir.
• Bir Microsoft Entra yöneticisinin kaldırılmasına ve yalnızca Microsoft Entra kimlik doğrulaması ayarının devre dışı bırakılmasına izin verilir, ancak işlemleri tamamlamak için doğru kullanıcı izni gerekir. Her iki işlem de Azure portalında tek bir Kaydet ile tamamlanabilir.
• Uygun izinlere sahip Microsoft Entra kullanıcıları, mevcut SQL kullanıcılarının kimliğine bürünebilir.
  • Kimliğe bürünme, Microsoft Entra'ya özgü kimlik doğrulama etkinleştirildiğinde bile SQL kimlik doğrulama kullanıcıları arasında çalışmaya devam eder.

İlgili içerik

• Synapse SQL ile Microsoft Entra kimlik doğrulamasını kullanın
• Azure Synapse Analytics için Microsoft Entra kimlik doğrulaması