你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Tip
Microsoft Fabric Data Warehouse是数据湖基础上的企业规模关系仓库，具有未来就绪的体系结构、内置 AI 和新功能。 如果不熟悉数据仓库，请从Fabric Data Warehouse开始。 现有的指定 SQL 池工作负荷可以升级到 Fabric，以跨数据科学、实时分析和报告访问新功能。
Azure Synapse Analytics 为 Synapse SQL 提供公网和私有网络访问控制。 可用的控制取决于 SQL 池是在 Synapse 工作区中，还是独立的专用 SQL 池（以前称为 SQL DW）。
当你为 Azure Synapse Analytics 创建新的 SQL 服务器时，你会得到一个格式为 yourservername.database.windows.net 的公共端点。
默认情况下，逻辑服务器拒绝所有连接以确保安全性。 使用以下一个或多个网络访问控制，选择性地允许通过 公共端点访问数据库：
IP 防火墙规则：使用此功能可以显式允许从特定的 IP 地址建立连接。 例如，通过指定起始和终点IP地址，允许本地机器或一系列IP地址。
允许 Azure 服务和资源访问该服务器：启用后，Azure 边界内的其他资源都可以访问该服务器。
虚拟网络防火墙规则：使用此功能可以允许来自 Azure 边界内特定虚拟网络的流量。
专用链接：利用此功能在特定虚拟网络内为SQL服务器创建私有端点。
IP 防火墙规则
基于 IP 的防火墙规则是 Azure 逻辑服务器的一项功能，它会阻止对你的服务器的所有访问，除非你明确添加了客户端计算机的 IP 地址。
有两种类型的防火墙规则：
- 服务器级防火墙规则适用于服务器上的所有数据库。 你可以通过Azure门户、PowerShell或像sp_set_firewall_rule这样的T-SQL命令配置它们。
- 数据库级防火墙规则：这些规则适用于单个数据库， 只能 通过 T-SQL 命令（如 sp_set_database_firewall_rule）进行配置。
防火墙规则命名适用以下约束：
- 防火墙规则名称不能为空。
- 它不能包含以下字符：
<, >, *, %, &, :, \\, /, ?. - 它不能以句点 (.) 结尾。
- 防火墙规则名称不能超过 128 个字符。
如果你尝试创建不满足这些约束的防火墙规则，就会收到错误信息。 现有基于IP的防火墙规则修改生效可能需要长达五分钟。
Synapse 工作空间中的 SQL 池
Synapse 工作空间提供专用 SQL、无服务器 SQL 和开发端点。 工作区级网络设置共同保护这些端点。
- IP 防火墙规则允许来自特定客户端 IPv4 地址或范围的公共连接。 工作区防火墙规则适用于专用 SQL、无服务器 SQL 和开发端点。 Synapse 工作区仅支持服务器级规则，不支持数据库级防火墙规则。 关于配置步骤，请参见 Azure Synapse Analytics IP 防火墙规则。
- 允许 Azure 服务和资源访问此工作区会允许来自订阅之外的 Azure 资源的连接。 仅在必要时启用，并使用数据库认证和授权来限制访问。
- 公共网络访问 控制工作区是否接受来自公共网络的流量。 当公共网络访问被禁用时，客户端必须使用私有端点。 有关详细信息，请参阅 Azure Synapse Analytics 连接设置。
- 私有端点为工作空间的专用 SQL、无服务器 SQL 或开发终结点在虚拟网络中分配私有 IP 地址。 欲了解更多資訊，請參閱 Azure 专用链接 for Azure Synapse Analytics。
- 托管私有端点提供从托管工作空间虚拟网络到批准的 Azure 资源的出站私有连接。 欲了解更多信息，请参见 Azure Synapse Analytics 管理型私有端点。
独立专用SQL池
一个独立的专用SQL池由 逻辑服务器托管。 逻辑服务器在你配置访问权限之前会拒绝公共连接。
- IP防火墙规则 允许选择的公共客户端地址或范围。 关于配置步骤，请参见 Azure Synapse IP 防火墙规则。
-
允许 Azure 服务和资源访问该服务器会创建一个服务器级规则，范围从
0.0.0.0到0.0.0.0。 此设置允许来自订阅之外的 Azure 资源的连接，因此仅在需要时才启用它。 - 虚拟网络规则允许来自选定虚拟网络子网的流量通过服务终结点。 虚拟网络服务终结点和规则是建立和管理从包含虚拟机的特定子网进行访问的更便捷替代方案。
- 逻辑服务器通过虚拟网络中的私有终结点由 专用链接 暴露。 专用终结点是特定虚拟网络和子网中的专用 IP 地址。
- 在配置私有连接后，可以禁用公共网络访问。 禁用时，防火墙和虚拟网络规则不允许公共连接。
SQL 服务标记
你可以在安全规则以及从客户端到 SQL 数据库的路由中使用服务标签。 你可以在网络安全组、Azure 防火墙 和用户自定义路由中使用服务标签，方法是在安全规则的源或目的地字段中指定它们。
Sql服务标签包含 Azure Synapse Analytics 用于 SQL 数据库的所有 IP 地址。 标签按地区分段。 例如，Sql.WestUS 列出了美国西部 Azure 区域的所有 IP 地址。
Sql服务标签由建立连接所需的IP地址组成。