Autenticación exclusiva de Microsoft Entra con Azure SQL

Se aplica a:Azure SQL DatabaseAzure SQL Managed Instance

La autenticación exclusiva de Microsoft Entra es una característica de Azure SQL que permite que el servicio solo admita la autenticación de Microsoft Entra, y es compatible con la base de datos de Azure SQL y Azure SQL Managed Instance.

Cuando activas la autenticación solo Microsoft Entra, desactivas la autenticación SQL en el entorno Azure SQL, incluyendo las conexiones desde administradores de servidores SQL, inicios de sesión y usuarios. Solo los usuarios que usan autenticación Microsoft Entra pueden conectarse al servidor o base de datos.

La autenticación solo de Microsoft Entra se puede habilitar o deshabilitar mediante Azure Portal, la CLI de Azure, PowerShell o la API de REST. La autenticación solo de Microsoft Entra también se puede configurar durante la creación del servidor con una plantilla de Azure Resource Manager (ARM).

Para más información sobre la autenticación de Azure SQL, consulte Autenticación y autorización.

Descripción de la característica

Cuando activas la autenticación solo de Microsoft Entra, desactivas la autenticación SQL a nivel de servidor o instancia gestionada. Este cambio impide cualquier autenticación basada en credenciales de autenticación SQL. Los usuarios de autenticación SQL no pueden conectarse al servidor lógico de Azure SQL Database o instancia gestionada, incluidas todas sus bases de datos. Aunque la autenticación SQL está deshabilitada, las cuentas de Microsoft Entra con los permisos adecuados aún pueden crear nuevos inicios de sesión y usuarios de autenticación SQL. Las cuentas de autenticación SQL recién creadas no pueden conectarse al servidor. Al habilitar la autenticación de solo Microsoft Entra no se quitan las cuentas de usuario y los inicios de sesión con autenticación de SQL existentes. La función solo impide que estas cuentas se conecten al servidor y a cualquier base de datos creada para este servidor.

También puedes usar Azure Policy para forzar la creación de servidores con la autenticación solo de Microsoft Entra activada. Para obtener más información, consulte Azure Policy para la autenticación solo de Microsoft Entra con Azure SQL.

El servicio también genera un nombre de administrador del servidor durante la provisión, que puede aparecer en el portal de Azure incluso cuando la autenticación SQL está desactivada. Para más información, consulta cuenta de administrador de servidores generada por el sistema.

Permisos

Los usuarios de Microsoft Entra que son miembros de roles integrados de Microsoft Entra con privilegios elevados pueden habilitar o deshabilitar la autenticación solo de Microsoft Entra, como propietarios y colaboradores de suscripciones de Azure. Además, el rol Administrador de seguridad de SQL también puede habilitar o deshabilitar la característica de autenticación solo de Microsoft Entra.

Los roles de SQL Server Contributor y SQL Managed Instance Contributor no tienen permisos para habilitar o desactivar la función de autenticación exclusiva de Microsoft Entra. Esta restricción es coherente con el enfoque de Separación de Tareas, donde los usuarios que pueden crear un servidor Azure SQL o un administrador de Microsoft Entra no pueden activar ni desactivar funciones de seguridad.

Acciones requeridas

Se han agregado las siguientes acciones al rol Administrador de seguridad de SQL para permitir la administración de la característica de autenticación solo de Microsoft Entra.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read: solo es necesario para los usuarios que acceden al menú de Microsoft Entra ID de Azure Portal.
• Microsoft.Sql/managedInstances/azureADOnlyAuthentications/*
• Microsoft.Sql/managedInstances/read

Las acciones anteriores también se pueden agregar a un rol personalizado para administrar la autenticación solo de Microsoft Entra. Para más información, consulte Crear y asignar un rol personalizado en Microsoft Entra ID.

Administración de la autenticación exclusiva de Microsoft Entra mediante API

az sql server ad-only-auth enable --resource-group myresource --name myserver

az sql server ad-only-auth disable --resource-group myresource --name myserver

az sql server ad-only-auth get --resource-group myresource --name myserver

az sql mi ad-only-auth enable --resource-group myresource --name myserver

az sql mi ad-only-auth disable --resource-group myresource --name myserver

az sql mi ad-only-auth get --resource-group myresource --name myserver

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

Enable-AzSqlInstanceActiveDirectoryOnlyAuthentication -InstanceName myinstance -ResourceGroupName myresource

Get-AzSqlInstance -InstanceName myinstance | Enable-AzSqlInstanceActiveDirectoryOnlyAuthentication

Disable-AzSqlInstanceActiveDirectoryOnlyAuthentication -InstanceName myinstance -ResourceGroupName myresource

Get-AzSqlInstanceActiveDirectoryOnlyAuthentication -InstanceName myinstance -ResourceGroupName myresource

Get-AzSqlInstance -InstanceName myinstance | Get-AzSqlInstanceActiveDirectoryOnlyAuthentication

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

$body = @{   properties = @{  azureADOnlyAuthentication = 1 }  } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

$body = @{   properties = @{  azureADOnlyAuthentication = 0 }  } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "instance": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/managedInstances/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('instance'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/managedInstances/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('instance'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/managedInstances/administrators', parameters('instance'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Comprobación de la autenticación solo de Microsoft Entra mediante T-SQL

Utiliza la función SERVERPROPERTY para IsExternalAuthenticationOnly comprobar si la autenticación solo Microsoft Entra está habilitada para tu servidor o instancia gestionada. 1 indica que la función está activada e 0 indica que está desactivada.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Cuenta de administrador de servidor generada por el sistema

Cuando creas un servidor lógico para Azure SQL Database o una Azure SQL Managed Instance con autenticación solo de Microsoft Entra activada, el servicio genera un nombre de administrador del servidor y una contraseña aleatoria. El nombre generado comienza con CloudSA seguido de una cadena aleatoria, y aparece en el portal de Azure como el inicio de sesión de administrador del servidor.

La cuenta existe para satisfacer la provisión, no para proporcionar una forma de conectarse. Provisionar cualquiera de los dos tipos de recurso sigue requiriendo valores de administrador de autenticación SQL. La autenticación solo de Microsoft Entra cambia qué métodos de autenticación pueden establecer una conexión tras el aprovisionamiento, pero no elimina ese requisito de aprovisionamiento, por lo que el servicio genera los valores necesarios para cumplirlo.

Ver un nombre generado no significa que la autenticación SQL esté habilitada. Mientras la autenticación exclusiva de Microsoft Entra esté habilitada:

• Ninguna cuenta de autenticación SQL puede conectarse, incluida la administradora generada por el sistema.
• La cuenta generada no es una cuenta compartida, ni una alternativa de respaldo, ni una vía de acceso de emergencia.
• Las aplicaciones y administradores deben usar la autenticación Microsoft Entra para conectarse.
• El administrador de Microsoft Entra y otras entidades principales autorizadas de Microsoft Entra siguen siendo las vías de administración admitidas.
• El servicio elimina la contraseña del plano de control de forma permanente tras el aprovisionamiento.

Comentarios

• Un colaborador de SQL Server puede establecer o eliminar un administrador de Microsoft Entra, pero no puede establecer la configuración de solo autenticación de Microsoft Entra. El Administrador de seguridad de SQL no puede establecer o eliminar un administrador de Microsoft Entra, pero puede establecer la configuración de solo autenticación de Microsoft Entra. Solo las cuentas con roles de RBAC de Azure superiores o roles personalizados que contengan ambos permisos pueden establecer o quitar un administrador de Microsoft Entra y establecer la configuración de autenticación solo de Microsoft Entra. Uno de estos roles es el rol Colaborador.
• Después de habilitar o deshabilitar la autenticación solo de Microsoft Entra en Azure Portal, se puede ver una entrada del registro de actividad en el menú del SQL Server.
• La autenticación solo de Microsoft Entra solo la pueden habilitar o deshabilitar los usuarios con los permisos adecuados si se especifica el administrador de Microsoft Entra. Si no se establece el administrador de Microsoft Entra, la configuración de autenticación de Microsoft Entra solo permanece inactiva y no se puede habilitar ni deshabilitar. El uso de las API para habilitar la autenticación exclusiva de Microsoft Entra también dará error si no se ha configurado el administrador de Microsoft Entra.
• El cambio de un administrador de Microsoft Entra cuando está habilitada la autenticación exclusiva de Microsoft Entra es compatible para los usuarios con los permisos adecuados.
• El cambio de un administrador de Microsoft Entra y la habilitación o deshabilitación de la autenticación solo de Microsoft Entra se permite en Azure Portal para los usuarios con los permisos adecuados. Ambas operaciones se pueden completar con una operación Guardar en Azure Portal. El administrador de Microsoft Entra tiene que estar configurado para habilitar la autenticación exclusiva de Microsoft Entra.
• No se admite la eliminación de un administrador de Microsoft Entra cuando está habilitada la característica de autenticación solo de Microsoft Entra. El uso de una API para eliminar un administrador de Microsoft Entra dará error si está activada la autenticación solo de Microsoft Entra.
  • Si la configuración de autenticación solo de Microsoft Entra está habilitada, el botón Quitar administrador está inactivo en Azure Portal.
• Se permite quitar un administrador de Microsoft Entra y deshabilitar la configuración de autenticación solo de Microsoft Entra, pero requiere el permiso de usuario adecuado para completar las operaciones. Ambas operaciones se pueden completar con una operación Guardar en Azure Portal.
• Los usuarios de Microsoft Entra con los permisos adecuados pueden suplantar a los usuarios de SQL existentes.
  • La suplantación sigue funcionando entre los usuarios con autenticación de SQL, incluso cuando la característica de autenticación solo de Microsoft Entra está habilitada.

Limitaciones de la autenticación solo de Microsoft Entra en SQL Database

Cuando la autenticación solo de Microsoft Entra está habilitada para SQL Database, no se admiten las siguientes características:

• Trabajos elásticos para Azure SQL Database
• SQL Data Sync
• Captura de datos de cambios (CDC) - Si creas una base de datos en Azure SQL Database como usuario de Microsoft Entra y activas la captura de datos de cambios en ella, un usuario de SQL no puede desactivar ni hacer cambios en artefactos CDC. Sin embargo, otro usuario de Microsoft Entra puede activar o desactivar CDC en la misma base de datos. De forma similar, si creas una Azure SQL Database como usuario SQL, habilitar o desactivar CDC como usuario de Microsoft Entra no funciona
• Replicación transaccional con Azure SQL Managed Instance: dado que la autenticación SQL es necesaria para la conectividad entre los participantes de la replicación, cuando la autenticación exclusiva de Microsoft Entra está habilitada, la replicación transaccional no se admite para Azure SQL Database en escenarios donde se usa la replicación transaccional para aplicar cambios realizados en una Azure SQL Managed Instance, en un SQL Server local o en una instancia de SQL Server en una máquina virtual de Azure a una base de datos en Azure SQL Database.
• SQL Insights (versión preliminar)
• Instrucción EXEC AS para las cuentas miembro de grupos de Microsoft Entra

Limitaciones de la autenticación exclusiva de Microsoft Entra en Azure SQL Managed Instance

Cuando la autenticación solo de Microsoft Entra está habilitada para SQL Managed Instance, no se admiten las siguientes características:

• Replicación transaccional con Instancia administrada de Azure SQL
• Automatizar tareas de administración mediante trabajos de SQL Agent en Azure SQL Managed Instance admite la autenticación exclusiva de Microsoft Entra. Sin embargo, el usuario de Microsoft Entra que es miembro de un grupo de Microsoft Entra que tiene acceso a la instancia administrada no puede poseer trabajos de Agente SQL.
• SQL Insights (versión preliminar)
• Instrucción EXEC AS para las cuentas miembro de grupos de Microsoft Entra

Para obtener más información sobre las limitaciones, consulte Diferencias de T-SQL entre SQL Server y Azure SQL Managed Instance.

Autenticación Microsoft Entra-only con Azure Synapse Analytics

Para pools SQL dedicados en Azure Synapse Analytics, véase autenticación solo de Microsoft Entra.

Contenido relacionado

• Tutorial: Habilitar la autenticación solo de Microsoft Entra con Azure SQL
• Creación de un servidor con la autenticación solo de Microsoft Entra habilitada en Azure SQL