Azure Özel Bağlantı for Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse geleceğe hazır mimariye, yerleşik yapay zekaya ve yeni özelliklere sahip data lake foundation üzerinde kurumsal ölçekli ilişkisel bir ambardır. Veri ambarı konusunda yeniyseniz Fabric Data Warehouse ile başlayın. Mevcut özel SQL havuzu iş yükleri, veri bilimi, gerçek zamanlı analiz ve raporlama alanlarında yeni özelliklere erişmek için Fabric'e yükseltilebilir.

Azure Özel Bağlantı kullanarak, Synapse SQL'e özel bir uç nokta üzerinden bağlanabilirsiniz. Özel uç nokta, sanal ağınızda ve alt ağınızda özel IP adresi bulunan bir ağ arayüzüdür. Trafik, kamu interneti üzerinden gitmek yerine Microsoft omurga ağında kalır.

Tüm istemci sürücüleri ve araçları için bağlantı dizelerinde her zaman sunucunun tam etki alanı adını (FQDN) (<server>.database.windows.net) kullanın. Özel IP adresi veya özel bağlantı FQDN (<server>.privatelink.database.windows.net) kullanan kimlik doğrulama girişimleri çalışmaz. Bu davranış, özel uç noktanın trafiği SQL Gateway'e yönlendirmesi nedeniyle tasarım gereğidir; bu gateway, kimlik doğrulama taleplerini başarılı şekilde yönlendirmek için doğru FQDN'ye ihtiyaç duyar.

Oluşturma işlemi

Azure portalı, PowerShell veya Azure CLI kullanarak özel uç noktaları oluşturun:

Onay süreci

Ağ yöneticisi özel uç noktayı (PE) oluşturduktan sonra, SQL yöneticisi SQL Veritabanı için özel uç nokta bağlantısını (PEC) yönetebilir.

  1. Azure portalındaki sunucu kaynağına gidin.

  2. Özel uç nokta onay sayfasına gidin. Azure Synapse Analytics SQL server kaynağında, kaynak menüsünde Security altında Private endpoint connections'u seçin.

  3. Aşağıdakileri görüntüleyin:

    • Tüm özel uç nokta bağlantılarının (PEC) listesi
    • Oluşturulan özel uç noktalar (PE)

  4. Özel uç noktası yoksa, Özel uç nokta oluştur seçeneğini seçerek bir tane oluşturun. Aksi takdirde, listeden tek bir PEC seçin.

  5. SQL yöneticisi bir PEC'yi onaylayabilir veya reddedebilir ve isteğe bağlı olarak kısa bir metin yanıtı ekleyebilir.

  6. Onay veya reddetme sonrası, liste uygun durumu ve yanıt metnini yansıtır.

  7. Özel uç nokta adını seçin.

    Bu işlem sizi Private endpoint genel bakış sayfasına götürür. Ağ arayüzleri bağlantısını seçerek özel uç nokta bağlantısının ağ arayüzü detaylarını görebilirsiniz.

    Ağ arabirimi sayfası, özel uç nokta bağlantısının özel IP adresini gösterir.

Important

Özel uç nokta bağlantısı eklediğinizde, mantıksal sunucunuza genel yönlendirme varsayılan olarak engellenmez. Güvenlik duvarı ve sanal ağlar bölmesinde, Genel ağ erişimini reddet ayarı varsayılan olarak seçilmez. Genel ağ erişimini devre dışı bırakmak için Genel ağ erişimini reddet'i seçtiğinizden emin olun.

Mantıksal sunucunuza genel erişimi devre dışı bırakma

Azure Synapse Analytics SQL sunucunuzda, mantıksal sunucunuza tüm genel erişimi devre dışı bırakabilir ve sadece sanal ağınızdan bağlantılara izin verebilirsiniz.

İlk olarak, özel uç nokta bağlantılarınızın etkinleştirildiğinden ve yapılandırıldığından emin olun. Ardından mantıksal sunucunuza genel erişimi devre dışı bırakmak için:

  1. Mantıksal sunucunuzun Ağ sayfasına gidin.
  2. Genel ağ erişimini reddet onay kutusunu seçin.

Aynı sanal ağdaki bir Azure VM'sinden SQL Veritabanı bağlantısını test etme

Bu senaryoda, özel uç nokta ile aynı sanal ağda Windows'un yeni bir sürümünü çalıştıran bir Azure Virtual Machine (VM) oluşturduğunuzu varsayalım.

  1. Uzak Masaüstü (RDP) oturumu başlatın ve sanal makineye bağlanın.

  2. Daha sonra VM'nin özel uç nokta üzerinden SQL Veritabanı'na bağlandığından emin olmak için aşağıdaki araçları kullanarak temel bağlantı kontrolleri yapabilirsiniz:

Telnet kullanarak bağlantıyı kontrol edin

Telnet, bağlantıyı test etmek için kullanabileceğiniz bir Windows özelliğidir. Windows sürümüne bağlı olarak, bu özelliği açıkça etkinleştirmeniz gerekebilir.

Telnet'i kurduktan sonra bir Komut İstemi penceresi açın. Telnet komutunu çalıştırın ve SQL Veritabanı'da veritabanının IP adresini ve özel uç noktasını belirtin.

telnet 10.9.0.4 1433

Telnet başarılı bir şekilde bağlandığında, komut penceresinde boş bir ekran görüntülenir.

PowerShell kullanarak bağlantıyı kontrol edin

Bağlantıyı kontrol etmek için PowerShell komutu kullanın:

Test-NetConnection -computer myserver.database.windows.net -port 1433

PsPing kullanarak bağlantıyı kontrol edin

Özel uç noktanın 1433 portundaki bağlantıları dinlediğini kontrol etmek için PsPing'i aşağıdaki gibi kullanın.

Mantıksal SQL sunucusu ve port 1433 için FQDN sağlayarak PsPing'i çalıştırın:

PsPing.exe mysqldbsrvr.database.windows.net:1433

Bu örnek beklenen çıktıyı gösterir:

TCP connect to 10.9.0.4:1433:
5 iterations (warmup 1) ping test:
Connecting to 10.9.0.4:1433 (warmup): from 10.6.0.4:49953: 2.83ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49954: 1.26ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49955: 1.98ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49956: 1.43ms
Connecting to 10.9.0.4:1433: from 10.6.0.4:49958: 2.28ms

Çıktı, PsPing'in özel uç noktaya bağlı özel IP adresine ping atabildiğini gösterir.

Nmap kullanarak bağlantıyı kontrol edin

Nmap (Network Mapper), ağ keşfi ve güvenlik denetimi için ücretsiz ve açık kaynaklı bir araçtır. Daha fazla bilgi ve indirme bağlantısı için https://Nmap.org adresini ziyaret edin. Bu aracı kullanarak özel uç noktanın 1433 portundaki bağlantıları dinlediğinden emin olun.

Nmap'i, özel uç noktayı barındıran alt ağın adres aralığını sağlayarak çalıştırın.

Nmap -n -sP 10.9.0.0/24

Bu örnek beklenen çıktıyı gösterir:

Nmap scan report for 10.9.0.4
Host is up (0.00s latency).
Nmap done: 256 IP addresses (1 host up) scanned in 207.00 seconds

Sonuç olarak bir IP adresinin etkin olduğu ve bunun da özel uç nokta IP adresine karşılık geldiğini gösterir.

SQL Server Management Studio (SSMS) kullanarak bağlantıyı kontrol edin

Sunucunun Tam Nitelikli Alan Adı (FQDN)'nı, istemcileriniz için bağlantı dizelerinde kullanın (<server>.database.windows.net). Doğrudan IP adresine veya özel bağlantı FQDN’si (<server>.privatelink.database.windows.net) kullanılarak yapılan tüm oturum açma girişimleri başarısız olur. Bu davranış tasarım gereğidir, çünkü özel uç nokta trafiği bölgedeki SQL Gateway'e yönlendirir. Girişlerin başarılı olması için doğru FQDN'yi belirtmeniz gerekir.

SQL Veritabanı'na bağlanmak için SSMS kullanın bölümündeki adımları takip edin. SSMS kullanarak bağlandıktan sonra, aşağıdaki sorgu bağlandığınız Azure VM'nin özel IP adresiyle eşleşen client_net_address değerini döndürür:

SELECT client_net_address
FROM sys.dm_exec_connections
WHERE session_id = @@SPID;

Özel eşleme üzerinden yerinde bağlantı

Yerel makinelerden halka açık uç noktaya bağlandığınızda, IP adresinizi IP tabanlı güvenlik duvarına sunucu düzeyinde bir güvenlik duvarı kuralı kullanarak eklemeniz gerekir. Bu model geliştirme veya test iş yükleri için tek tek makinelere erişime izin vermek için iyi çalışsa da, üretim ortamında yönetmek zordur.

Özel Bağlantı kullanarak, ExpressRoute, özel eşleştirme veya VPN tünelleme kullanarak özel uç noktaya şirket içi ortamlar arası erişim sağlayabilirsiniz. Böylece genel uç nokta üzerinden tüm erişimi devre dışı bırakabilir ve IP tabanlı güvenlik duvarını herhangi bir IP adresine izin vermek için kullanmayabilirsiniz.

Müşteriler, aynı sanal ağdan, aynı bölgedeki eşlenmiş sanal ağdan veya bölgeler arasında sanal ağdan sanal ağa bağlantı yoluyla özel uç noktaya bağlanabilir. Ayrıca, müşteriler ExpressRoute, özel eşleme veya VPN tünelleme kullanarak on-premises bağlantı kurabilirler. Aşağıdaki basitleştirilmiş diyagramda yaygın kullanım örnekleri gösterilmektedir.

Buna ek olarak, doğrudan sanal ağda çalışmayan ancak bununla tümleştirilmiş hizmetler (örneğin, App Service web uygulamaları veya İşlevleri) veritabanına özel bağlantı da sağlayabilir.

Eşlenmiş sanal ağdaki bir Azure VM'den bağlanın

SQL Veritabanına bir eşlenmiş sanal ağdaki Azure VM'den bağlantı kurmak için sanal ağ eşleştirmesini yapılandırın.

Sanal ağdaki azure vm'sinden sanal ağ ortamına bağlanma

Farklı bir bölgedeki veya abonelikteki Azure VM'sinden SQL Veritabanı bir veritabanına bağlantı kurmak için sanal ağdan sanal ağa VPN ağ geçidi bağlantısını yapılandırın.

VPN üzerinden şirket içi bir ortamdan bağlanma

Bir on-premises ortamdan bağlantı kurmak için aşağıdaki seçeneklerden birini seçin ve uygulayın:

HIZMETIN FQDN'sinin genel IP adresine çözümlenebileceği gibi DNS yapılandırma senaryolarını da göz önünde bulundurun.

Azure Synapse Analytics'ten Azure Depolama'a PolyBase ve COPY ifadesi kullanarak bağlantı kurun

Azure Depolama hesaplarından verileri Azure Synapse Analytics'e yüklemek için PolyBase ve COPY ifadesini kullanın. Eğer veri yüklediğiniz Azure Depolama hesabı, Private Endpoints, Service Endpoints veya IP tabanlı güvenlik duvarları kullanarak yalnızca bir dizi sanal ağ alt ağına erişimi sınırlıyorsa, PolyBase ve COPY ifadesi ile hesaba bağlantı bozulur. Azure Synapse Analytics'in sanal ağa güvenli azure depolamaya bağlanmasıyla hem içeri hem de dışarı aktarma senaryolarını etkinleştirmek için bkz. Azure Depolama ile sanal ağ hizmet uç noktalarını kullanmanın etkisi.

Veri sızdırmayı önleme

Veri sızdırması, bir kullanıcının, örneğin bir veritabanı yöneticisinin, bir sistemden veri çıkarıp organizasyon dışındaki başka bir konuma veya sisteme taşımasıyla gerçekleşir. Örneğin, kullanıcı verileri Microsoft dışı bir varlığa ait bir depolama hesabına taşır.

Azure SQL Veritabanı'nda bir veritabanına bağlanan bir Azure sanal makinesinde SQL Server Management Studio (SSMS) çalıştıran bir kullanıcının bulunduğu bir senaryoyu düşünün. Bu veritabanı Batı ABD veri merkezindedir. Aşağıdaki örnek, ağ erişim kontrollerini kullanarak halka açık uç noktalar için erişimi nasıl sınırlandıracağınızı göstermektedir.

  1. Açık uç nokta üzerinden SQL Veritabanı'na giden tüm Azure servis trafiğini, Azure Services'e İzin Ver öğesini KAPALI olarak ayarlayarak devre dışı bırakın. Sunucu ve veritabanı düzeyindeki güvenlik duvarı kurallarının IP adreslerine izin vermediğinden emin olun. Daha fazla bilgi için Azure Synapse Analytics network access controls sayfasına bakınız.
  2. Yalnızca VM'nin özel IP adresine olan trafiğe izin verin. Daha fazla bilgi için sanal ağ güvenlik duvarı kurallarına bakınız.
  3. Azure VM'de, giden bağlantıların kapsamını Ağ Güvenlik Grupları (NSG'ler) ve Hizmet Etiketleri kullanarak aşağıdaki şekilde daraltın:
    • Hizmet Etiketi = SQL.WestUs için trafiğe izin veren bir NSG kuralı belirtin - yalnızca Batı ABD'deki SQL Veritabanı'na bağlantıya izin verecek şekilde.
    • Tüm bölgelerde SQL Veritabanı bağlantılarını reddetmek için Hizmet Etiketi = olan trafik için Sql bir NSG kuralı belirtin.

Bu kurulumun sonunda, Azure VM yalnızca Batı ABD bölgesindeki bir kaynağa bağlanabilir. Ancak, bağlantı tek bir veritabanıyla sınırlı değildir. VM, aboneliğe dahil olmayan veritabanları da dahil olmak üzere Batı ABD bölgesindeki herhangi bir veritabanına bağlanabilir. Önceki senaryoda veri sızdırma kapsamını belirli bir bölgeye indirmiş olsanız da, tamamen ortadan kaldırmadınız.

Özel Bağlantı'i kullanarak, özel uç noktaya erişimi kısıtlamak için NSG'ler gibi ağ erişim kontrollerini kurabilirsiniz. Bireysel Azure PaaS kaynaklarını belirli özel uç noktalarına eşleyebilirsiniz. Kötü niyetli bir içeriden biri sadece haritalanmış PaaS kaynağına erişebilir ve başka bir kaynağa erişemez.

İlgili içerik

  • Son güncelleştirme: