Autenticação Microsoft Entra-only com Azure Synapse Analytics

Ao usar autenticação somente Microsoft Entra, você pode configurar o Azure Synapse Analytics para suportar apenas a autenticação Microsoft Entra.

A autenticação somente Microsoft Entra está disponível para pools SQL dedicados independentes e espaços de trabalho Azure Synapse. Para a configuração do espaço de trabalho, consulte Desabilitar autenticação local. Pools SQL dedicados nos workspaces do Azure Synapse Analytics não usam servidores SQL lógicos.

Quando você ativa a autenticação somente Microsoft Entra, você desabilita a autenticação SQL, incluindo conexões de administradores SQL, logins e usuários. Apenas usuários que utilizam autenticação Microsoft Entra podem se conectar.

Para um pool SQL dedicado independente, você pode ativar ou desativar a autenticação somente Microsoft Entra usando o portal Azure, CLI do Azure, PowerShell ou API REST. Você também pode configurá-lo durante a criação do servidor lógico com um template do Azure Resource Manager (ARM).

Para obter mais informações, consulte Autenticação e autorização.

Descrição do recurso

Quando você ativa a autenticação somente Microsoft Entra, você desativa a autenticação SQL para o workspace ou servidor lógico. Embora a autenticação SQL esteja desativada, contas Microsoft Entra com permissões adequadas ainda podem criar novos logins e usuários de autenticação SQL. Contas de autenticação SQL recém-criadas não conseguem se conectar. Habilitar a autenticação somente pelo Microsoft Entra não remove os logins e as contas de usuário existentes da autenticação SQL. O recurso apenas impede que essas contas se conectem ao servidor e a qualquer banco de dados criado para esse servidor.

Permissions

Usuários do Microsoft Entra que são membros de funções integradas ao Microsoft Entra de alto privilégio, como os Proprietários e Colaboradores de assinatura do Azure, podem ativar ou desativar a autenticação exclusiva do Microsoft Entra. Além disso, a função SQL Security Manager pode ativar ou desativar o recurso de autenticação exclusiva do Microsoft Entra.

A função de Contribuidor do SQL Server não tem permissão para ativar ou desativar a autenticação exclusiva do Microsoft Entra. Essa restrição é consistente com a separação de funções: usuários que conseguem criar um servidor lógico ou definir um administrador do Microsoft Entra não podem necessariamente ativar ou desativar recursos de segurança.

Ações necessárias

As ações a seguir são adicionadas à função Gerenciador de Segurança do SQL para permitir o gerenciamento do recurso de autenticação somente do Microsoft Entra.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read - exigido apenas para usuários que acessam o menu Microsoft Entra ID do portal do Azure

Você também pode adicionar essas ações a uma função personalizada para gerenciar a autenticação exclusiva da Microsoft Entra. Para obter mais informações, consulte Criar e atribuir uma função personalizada no Microsoft Entra ID.

Gerenciar a autenticação somente do Microsoft Entra usando APIs

az sql server ad-only-auth enable --resource-group myresource --name myserver

az sql server ad-only-auth disable --resource-group myresource --name myserver

az sql server ad-only-auth get --resource-group myresource --name myserver

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Verificar a autenticação somente do Microsoft Entra usando T-SQL

Use a função SERVERPROPERTY para IsExternalAuthenticationOnly verificar se a autenticação somente Microsoft Entra está ativada para seu servidor lógico. 1 indica que o recurso está ativado e 0 indica que está desativado.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Conta de administrador de servidor gerada pelo sistema

Quando você cria um servidor lógico com autenticação apenas Microsoft Entra ativada, o serviço gera um nome de administrador do servidor e uma senha aleatória. O nome gerado começa com CloudSA seguido por uma string aleatória, e aparece no portal do Azure como login de administrador do servidor.

A conta existe para satisfazer o provisionamento, não para fornecer uma forma de conectar. Provisionar qualquer um dos tipos de recurso ainda requer valores de administrador de autenticação SQL. A autenticação somente com o Microsoft Entra altera quais métodos de autenticação podem ser usados para estabelecer uma conexão após o provisionamento, mas não elimina essa exigência de provisionamento, portanto o serviço gera os valores necessários para cumpri-la.

Ver um nome gerado não significa que a autenticação SQL está ativada. Enquanto a autenticação exclusiva do Microsoft Entra estiver habilitada:

• Nenhuma conta de autenticação SQL pode se conectar, incluindo o administrador gerado pelo sistema.
• A conta gerada não é uma conta compartilhada, um plano B ou um caminho de quebra-vidro.
• Aplicativos e administradores devem usar autenticação Microsoft Entra para se conectar.
• O administrador do Microsoft Entra e outras entidades autorizadas do Microsoft Entra continuam sendo as formas de administração com suporte.
• O serviço remove permanentemente a senha do plano de controle após o provisionamento.

Remarks

• Um Colaborador do SQL Server pode definir ou remover um administrador do Microsoft Entra, mas não pode definir a configuração de autenticação do Microsoft Entra somente. O Gerenciador de Segurança do SQL não pode definir ou remover um administrador do Microsoft Entra, mas pode definir a configuração somente autenticação do Microsoft Entra. Somente as contas com funções RBAC do Azure mais elevadas ou com funções personalizadas que contenham ambas as permissões podem definir ou remover um administrador do Microsoft Entra e definir a configuração Autenticação somente do Microsoft Entra. Uma dessas funções é a função Colaborador.
• Após ativar ou desativar a autenticação Microsoft Entra apenas no portal Azure, aparece uma entrada de registro de atividade.
• A configuração Autenticação somente do Microsoft Entra só poderá ser habilitada ou desabilitada por usuários com as permissões corretas se o administrador do Microsoft Entra for especificado. Se o administrador do Microsoft Entra não estiver configurado, a configuração somente de autenticação do Microsoft Entra permanecerá inativa e não poderá ser habilitada ou desabilitada. O uso de APIs para habilitar a autenticação somente do Microsoft Entra também falhará se o administrador do Microsoft Entra não tiver sido definido.
• Há suporte para a alteração de um administrador do Microsoft Entra quando a autenticação somente do Microsoft Entra está habilitada para os usuários com as permissões apropriadas.
• A alteração de um administrador do Microsoft Entra e a habilitação ou a desabilitação da autenticação somente do Microsoft Entra são permitidas no portal do Azure para os usuários com as permissões apropriadas. Ambas as operações podem ser concluídas com um clique na opção Salvar no portal do Azure. O administrador do Microsoft Entra deve ser definido para habilitar a autenticação somente do Microsoft Entra.
• Não há suporte para a remoção de um administrador do Microsoft Entra quando o recurso de autenticação somente do Microsoft Entra está habilitado. O uso de uma API para remover um administrador do Microsoft Entra falhará se a autenticação somente do Microsoft Entra estiver habilitada.
  • Se a configuração Autenticação somente do Microsoft Entra estiver habilitada, o botão Remover administrador ficará inativo no portal do Azure.
• A remoção de um administrador do Microsoft Entra e a desabilitação da configuração Autenticação somente do Microsoft Entra são permitidas, mas exigem a permissão de usuário correta para concluir as operações. Ambas as operações podem ser concluídas com um clique na opção Salvar no portal do Azure.
• Os usuários do Microsoft Entra com as permissões apropriadas podem representar os usuários existentes do SQL.
  • A representação continua funcionando entre usuários de autenticação SQL mesmo quando a autenticação somente Microsoft Entra está habilitada.

Conteúdo relacionado

• Use a autenticação Microsoft Entra com o Synapse SQL
• Autenticação do Microsoft Entra para o Azure Synapse Analytics