Uwierzytelnianie microsoft Entra jako alternatywa dla uwierzytelniania SQL

Dotyczy:✅ punkt końcowy analizy danych SQL i Magazyn w Microsoft Fabric

W tym artykule opisano metody techniczne, które użytkownicy i klienci mogą zastosować, aby przejść z uwierzytelniania SQL na uwierzytelnianie Microsoft Entra w usłudze Microsoft Fabric. Uwierzytelnianie Microsoft Entra jest alternatywą dla używania nazw użytkowników i haseł poprzez uwierzytelnianie SQL do punktu końcowego analityki SQL lub magazynu danych w usłudze Microsoft Fabric. Uwierzytelnianie za pomocą usługi Microsoft Entra jest zalecane i istotne przy tworzeniu bezpiecznej platformy danych.

Ten artykuł koncentruje się na uwierzytelnianiu Microsoft Entra jako alternatywie dla uwierzytelniania SQL w elementach usługi Microsoft Fabric, takich jak punkt końcowy analizy SQL dla magazynu danych Warehouse lub usługi Lakehouse.

Zalety uwierzytelniania Microsoft Entra w usłudze Fabric

Jedną z podstawowych zasad usługi Microsoft Fabric jest bezpieczeństwo zgodnie z projektem. Microsoft Entra stanowi integralny element bezpieczeństwa usługi Microsoft Fabric, zapewniając solidną ochronę danych, nadzór i zgodność.

Firma Microsoft Entra odgrywa kluczową rolę w zabezpieczeniach usługi Microsoft Fabric z kilku powodów:

• Uwierzytelnianie: Zweryfikuj użytkowników i jednostki usługi przy użyciu identyfikatora Entra firmy Microsoft, który udziela tokenów dostępu dla operacji w ramach sieci szkieletowej.
• Bezpieczny dostęp: nawiązuj bezpieczne połączenia z aplikacjami w chmurze z dowolnego urządzenia lub sieci, chroniąc żądania wysyłane do Fabric.
• Dostęp warunkowy: Administratorzy mogą ustawiać zasady, które oceniają kontekst użytkownika, kontrolują dostęp lub wymuszają dodatkowe kroki weryfikacji.
• Integracja: usługa Microsoft Entra ID bezproblemowo współpracuje ze wszystkimi ofertami SaaS firmy Microsoft, w tym siecią szkieletową, umożliwiając łatwy dostęp między urządzeniami i sieciami.
• Szeroki zakres platform: uzyskaj dostęp do usługi Microsoft Fabric przy użyciu Microsoft Entra ID dowolną metodą — za pośrednictwem portalu Microsoft Fabric, parametrów połączenia SQL, interfejsu REST API lub punktu końcowego XMLA.

Firma Microsoft Entra stosuje pełne zasady zero trustu, oferując doskonałą alternatywę dla tradycyjnego uwierzytelniania SQL ograniczonego do nazw użytkowników i haseł. Takie podejście:

• Uniemożliwia personifikację użytkownika.
• Umożliwia szczegółową kontrolę dostępu, biorąc pod uwagę tożsamość użytkownika, środowisko, urządzenia itp.
• Obsługuje zaawansowane zabezpieczenia, takie jak uwierzytelnianie wieloskładnikowe firmy Microsoft.

Konfiguracja sieci szkieletowej

Uwierzytelnianie Microsoft Entra używane z punktem końcowym analizy SQL usługi Warehouse lub Lakehouse wymaga konfiguracji zarówno w ustawieniach Dzierżawa, jak i Obszar roboczy.

Ustawienie dzierżawy

Administrator platformy Fabric w dzierżawie musi zezwolić nazwom głównym usług (SPN) na dostęp do interfejsów API platformy Fabric, co jest niezbędne, aby można było używać SPN w parametrach połączenia SQL dla elementów magazynu danych Fabric lub punktu końcowego analizy SQL.

To ustawienie znajduje się w sekcji Ustawienia dewelopera i ma etykietę Jednostki usługi mogą używać interfejsów API sieci szkieletowej. Upewnij się, że jest włączona.

Ustawienie obszaru roboczego

Administrator usługi Fabric w Twoim obszarze roboczym musi nadać użytkownikowi lub jednostce SPN dostęp do elementów Fabric.

Istnieją dwa sposoby, aby przyznać dostęp użytkownikowi lub SPN.

• Przyznanie użytkownikowi lub SPN członkostwa w roli: Dowolna rola obszaru roboczego (Administrator, Członek, Współautor lub Osoba przeglądająca) jest wystarczająca do nawiązania połączenia z elementami magazynu lub lakehouse przy użyciu ciągu połączenia SQL.

  1. W obszarze roboczym w opcji Zarządzaj dostępem przypisz rolę Współautor. Aby uzyskać więcej informacji, zobacz Role usługi.

• Przypisz użytkownika lub nazwę SPN do określonego elementu: Udziel dostępu do określonego punktu końcowego magazynu danych lub analizy SQL usługi Lakehouse. Administrator usługi Fabric może wybierać spośród różnych poziomów uprawnień.

  1. Przejdź do odpowiedniego elementu Warehouse lub punktu końcowego analityki SQL.
  2. Wybierz pozycję Więcej opcji, a następnie pozycję Zarządzaj uprawnieniami. Wybierz Dodaj użytkownika.
  3. Dodaj użytkownika lub nazwę SPN na stronie Udzielanie osobom dostępu.
  4. Przydziel niezbędne uprawnienia użytkownikowi lub SPN. Wybierz opcję Brak dodatkowych uprawnień, aby przyznać tylko uprawnienia do nawiązywania połączenia.

  

Możesz zmienić domyślne uprawnienia przyznane przez system użytkownikowi lub SPN. Użyj poleceń T-SQL GRANT i DENY , aby zmienić uprawnienia zgodnie z potrzebami lub ALTER ROLE , aby dodać członkostwo do ról.

Obsługa tożsamości użytkowników i nazw głównych usług (SPN)

Microsoft Fabric natywnie obsługuje uwierzytelnianie i autoryzację użytkowników Microsoft Entra oraz nazw głównych usług (SPN) w połączeniach SQL z elementami magazynu i punktu końcowego analizy SQL.

• Tożsamości użytkowników to unikatowe poświadczenia dla każdego użytkownika w organizacji.
• Obiekty SPN reprezentują obiekty aplikacji w obrębie dzierżawy i służą jako tożsamość wystąpień aplikacji, pełniąc rolę uwierzytelniania i autoryzacji tych aplikacji.

Obsługa strumienia danych tabelarycznych (TDS)

Fabric używa protokołu Tabular Data Stream (TDS), takiego samego jak SQL Server, podczas łączenia się przy użyciu parametrów połączenia.

Fabric jest zgodny z każdą aplikacją lub narzędziem, które może połączyć się z produktem wyposażonym w silnik bazy danych SQL. Podobnie jak połączenie z wystąpieniem SQL Server, protokół TDS korzysta z portu TCP 1433. Aby uzyskać więcej informacji na temat łączności Fabric SQL i znajdowania ciągu połączenia SQL, zobacz Znajdowanie ciągu połączenia magazynu.

Przykładowy ciąg połączenia SQL wygląda następująco: <guid_unique_your_item>.datawarehouse.fabric.microsoft.com.

Aplikacje i narzędzia klienckie mogą ustawić właściwość połączenia Authentication w parametrach połączenia, aby wybrać tryb uwierzytelniania Microsoft Entra. W poniższej tabeli przedstawiono różne tryby uwierzytelniania entra firmy Microsoft, w tym obsługę uwierzytelniania wieloskładnikowego firmy Microsoft (MFA).

Obsługa sterowników na potrzeby uwierzytelniania firmy Microsoft Entra

Chociaż większość sterowników SQL początkowo obsługiwała uwierzytelnianie firmy Microsoft Entra, najnowsze aktualizacje rozszerzyły zgodność w celu uwzględnienia uwierzytelniania opartego na nazwie SPN. To ulepszenie upraszcza przejście na uwierzytelnianie Microsoft Entra w różnych aplikacjach i narzędziach dzięki aktualizacjom sterowników i dodaniu obsługi tej metody uwierzytelniania.

Jednak czasami konieczne jest dostosowanie dodatkowych ustawień, takich jak włączenie niektórych portów lub zapór w celu ułatwienia uwierzytelniania firmy Microsoft Entra na maszynie hosta.

Aplikacje i narzędzia muszą uaktualnić sterowniki do wersji obsługujących uwierzytelnianie firmy Microsoft Entra i dodać słowo kluczowe trybu uwierzytelniania w parametry połączenia SQL, takich jak ActiveDirectoryInteractive, ActiveDirectoryServicePrincipallub ActiveDirectoryPassword.

Fabric jest zgodny z natywnymi sterownikami firmy Microsoft, w tym z OLE DB, Microsoft.Data.SqlClient, oraz sterownikami ogólnego przeznaczenia, takimi jak ODBC i JDBC. Przejście aplikacji do pracy z usługą Fabric można zarządzać za pomocą ponownej konfiguracji w celu korzystania z uwierzytelniania opartego na identyfikatorze Microsoft Entra.

Więcej informacji można znaleźć w artykule Łączność z Fabric Data Warehouse.

Microsoft OLE DB

Sterownik OLE DB dla programu SQL Server jest autonomicznym interfejsem API dostępu do danych zaprojektowanym dla ole DB i wydanym po raz pierwszy z programem SQL Server 2005 (9.x). Od wersji 18.5.0 rozszerzona funkcjonalność obejmuje uwierzytelnianie oparte na SPN, oprócz istniejących metod uwierzytelniania z wcześniejszych wersji.

Aby zapoznać się z fragmentem kodu w języku C#, korzystającym z OLE DB i uwierzytelniania opartego na SPN, zobacz System.Data.OLEDB.Connect.cs.

Sterownik ODBC firmy Microsoft

Sterownik Microsoft ODBC dla programu SQL Server to pojedyncza biblioteka biblioteki dynamicznej (DLL) zawierająca obsługę czasu wykonywania dla aplikacji korzystających z interfejsów API kodu natywnego w celu nawiązania połączenia z programem SQL Server. Zaleca się używanie najnowszej wersji do integracji aplikacji z usługą Fabric.

Aby uzyskać więcej informacji o uwierzytelnianiu za pomocą usługi Microsoft Entra przy użyciu sterownika ODBC, zobacz Używanie identyfikatora Microsoft Entra ID z przykładowym kodem sterownika ODBC.

Fragment kodu Python wykorzystujący ODBC z uwierzytelnianiem opartym na SPN znajdziesz w pliku pyodbc-dw-connectivity.py.

Sterownik JDBC firmy Microsoft

Sterownik JDBC firmy Microsoft dla programu SQL Server to sterownik JDBC typu 4, który zapewnia łączność bazy danych za pośrednictwem standardowych interfejsów programu aplikacji JDBC (API) dostępnych na platformie Java.

Począwszy od wersji 9.2, mssql-jdbc wprowadza obsługę ActiveDirectoryInteractive i ActiveDirectoryServicePrincipal, przy czym ActiveDirectoryPassword jest obsługiwane od wersji 12.2 wzwyż. Ten sterownik wymaga dodatkowych plików JAR jako zależności, które muszą być zgodne z wersją mssql-driver używaną w aplikacji. Aby uzyskać więcej informacji, zobacz Zależności funkcji sterowników JDBC firmy Microsoft i wymagania dotyczące konfiguracji klienta .

Aby zapoznać się z fragmentem kodu Java używającym JDBC z uwierzytelnianiem opartym na SPN, zobacz fabrictoolbox/dw_connect.java oraz przykładowy plik POM pom.xml.

Microsoft.Data.SqlClient na platformie .NET

Ta biblioteka Microsoft.Data.SqlClient jest nowszym dostawcą danych międzyplatformowych dla programu SQL Server, który ma zastąpić starszy System.Data.SqlClient, który działał tylko w systemie Windows.

Obsługiwane platformy:

• .NET 8.0 lub nowszy
• .NET Framework 4.6.2 i nowsze

Przestrzeń nazw Microsoft.Data.SqlClient jest połączeniem dwóch składników, zapewniając zestaw klas na potrzeby uzyskiwania dostępu do baz danych silnika SQL. Microsoft.Data.SqlClient jest zalecany dla wszystkich nowych prac rozwojowych.

Fragmenty kodu korzystające z identyfikatorów SPN:

• Microsoft.Data.SqlClient.Connect.cs
• System.Data.SqlClient.Connect.cs

Powiązana zawartość

• Połączenie z Fabric Data Warehouse
• Bezpieczeństwo w Fabric Data Warehouse