Autenticação exclusiva do Microsoft Entra com SQL do Azure

Aplica-se a: Base de Dados SQL do AzureAzure SQL Managed Instance

A autenticação somente Microsoft Entra é um recurso no SQL do Azure que permite que o serviço suporte apenas a autenticação Microsoft Entra, com suporte no Base de Dados SQL do Azure e Azure SQL Managed Instance.

Quando ativa a autenticação apenas Microsoft Entra, desativa a autenticação SQL no ambiente SQL do Azure, incluindo ligações de administradores de servidores SQL, logins e utilizadores. Apenas os utilizadores que utilizam autenticação Microsoft Entra podem ligar-se ao servidor ou base de dados.

A autenticação somente do Microsoft Entra, pode ser habilitada ou desabilitada usando o portal do Azure, a CLI do Azure, o PowerShell ou a API REST. A autenticação somente do Microsoft Entra também pode ser configurada durante a criação do servidor com um template do Azure Resource Manager (ARM).

Para obter mais informações sobre a autenticação SQL do Azure, consulte Autenticação e autorização.

Descrição das funcionalidades

Quando ativa a autenticação apenas Microsoft Entra, desativa a autenticação SQL ao nível do servidor ou da instância gerida. Esta alteração impede qualquer autenticação baseada em credenciais de autenticação SQL. Os utilizadores de autenticação SQL não conseguem ligar-se ao servidor lógico do Base de Dados SQL do Azure ou da instância gerida, incluindo todas as suas bases de dados. Embora a autenticação SQL esteja desativada, contas Microsoft Entra com permissões adequadas ainda podem criar novos logins e utilizadores de autenticação SQL. Contas de autenticação SQL recém-criadas não conseguem ligar-se ao servidor. Habilitar a autenticação somente do Microsoft Entra, não remove o logon e as contas de usuário de autenticação SQL existentes. A funcionalidade apenas impede que estas contas se liguem ao servidor e a qualquer base de dados criada para este servidor.

Também pode usar o Azure Policy para obrigar à criação de servidores com a autenticação exclusiva do Microsoft Entra ativada. Para obter mais informações, consulte Política do Azure para autenticação somente Microsoft Entra-only com o SQL do Azure.

O serviço também gera um nome de administrador do servidor durante o provisionamento, que pode aparecer no portal Azure mesmo quando a autenticação SQL está desativada. Para mais informações, consulte Conta de administrador de servidor gerada pelo sistema.

Permissions

A autenticação somente do Microsoft Entra pode ser habilitada ou desabilitada por usuários do Microsoft Entra que são membros de funções internas altamente privilegiadas do Microsoft Entra, como Proprietários e Colaboradores da assinatura do Azure. Além disso, a função SQL Security Manager também pode habilitar ou desabilitar o recurso de autenticação somente Microsoft Entra.

Os papéis SQL Server Contributor e SQL Managed Instance Contributor não têm permissões para ativar ou desativar a funcionalidade de autenticação exclusiva do Microsoft Entra. Esta restrição é consistente com a abordagem de Separação de Deveres, onde os utilizadores que conseguem criar um servidor SQL do Azure ou criar um administrador Microsoft Entra não podem ativar ou desativar funcionalidades de segurança.

Ações necessárias

As ações a seguir são adicionadas à função Gerenciador de Segurança SQL para permitir o gerenciamento do recurso de autenticação somente Microsoft Entra.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read - necessário apenas para utilizadores que acedem ao portal Azure menu de ID do Microsoft Entra
• Microsoft.Sql/managedInstances/azureADOnlyAuthentications/*
• Microsoft.Sql/managedInstances/read

As ações acima também podem ser adicionadas a uma função personalizada para gerenciar a autenticação somente do Microsoft Entra. Para obter mais informações, consulte Criar e atribuir uma função personalizada no Microsoft Entra ID.

Gerenciar a autenticação somente do Microsoft Entra, usando APIs

az sql server ad-only-auth enable --resource-group myresource --name myserver

az sql server ad-only-auth disable --resource-group myresource --name myserver

az sql server ad-only-auth get --resource-group myresource --name myserver

az sql mi ad-only-auth enable --resource-group myresource --name myserver

az sql mi ad-only-auth disable --resource-group myresource --name myserver

az sql mi ad-only-auth get --resource-group myresource --name myserver

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

Enable-AzSqlInstanceActiveDirectoryOnlyAuthentication -InstanceName myinstance -ResourceGroupName myresource

Get-AzSqlInstance -InstanceName myinstance | Enable-AzSqlInstanceActiveDirectoryOnlyAuthentication

Disable-AzSqlInstanceActiveDirectoryOnlyAuthentication -InstanceName myinstance -ResourceGroupName myresource

Get-AzSqlInstanceActiveDirectoryOnlyAuthentication -InstanceName myinstance -ResourceGroupName myresource

Get-AzSqlInstance -InstanceName myinstance | Get-AzSqlInstanceActiveDirectoryOnlyAuthentication

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

$body = @{   properties = @{  azureADOnlyAuthentication = 1 }  } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

$body = @{   properties = @{  azureADOnlyAuthentication = 0 }  } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "instance": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/managedInstances/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('instance'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/managedInstances/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('instance'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/managedInstances/administrators', parameters('instance'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Verifique a autenticação somente do Microsoft Entra, usando o T-SQL

Utilize a função SERVERPROPERTY com IsExternalAuthenticationOnly para verificar se a autenticação exclusiva do Microsoft Entra está ativada para o seu servidor ou instância gerida. 1 indica que a funcionalidade está ativada e 0 indica que está desativada.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Conta de administrador do servidor gerada pelo sistema

Quando cria um servidor lógico para o Base de Dados SQL do Azure ou uma Azure SQL Managed Instance com autenticação apenas do Microsoft Entra ativada, o serviço gera um nome de administrador do servidor e uma palavra-passe aleatória. O nome gerado começa com CloudSA seguido de uma string aleatória, e aparece no portal do Azure como login de administrador do servidor.

A conta existe para cumprir os requisitos de provisionamento, não para permitir a ligação. Provisionar qualquer um dos tipos de recurso ainda requer valores de administrador de autenticação SQL. A autenticação exclusiva do Microsoft Entra altera que métodos de autenticação podem estabelecer uma ligação após o provisionamento, mas não remove esse requisito de provisionamento, pelo que o serviço gera os valores necessários para o satisfazer.

Ver um nome gerado não significa que a autenticação SQL esteja ativada. Enquanto a autenticação exclusiva do Microsoft Entra está ativada:

• Nenhuma conta de autenticação SQL consegue ligar-se, incluindo o administrador gerado pelo sistema.
• A conta gerada não é uma conta partilhada, nem um plano B, nem um caminho de quebra-vidro.
• As aplicações e administradores devem usar autenticação Microsoft Entra para se ligar.
• O administrador da Microsoft Entra e outras identidades autorizadas da Microsoft Entra continuam a ser as formas de administração suportadas.
• O serviço remove permanentemente a palavra-passe do plano de controlo após o provisionamento.

Observações

• Um Colaborador do SQL Server pode definir ou remover um administrador do Microsoft Entra, mas não pode definir apenas a configuração de autenticação do Microsoft Entra . O Gerenciador de Segurança SQL não pode definir ou remover um administrador do Microsoft Entra, mas pode definir apenas a configuração de autenticação do Microsoft Entra . Somente contas com funções RBAC do Azure mais altas ou funções personalizadas que contenham ambas as permissões podem definir ou remover um administrador do Microsoft Entra e definir a configuração somente autenticação do Microsoft Entra . Uma dessas funções é a função de Colaborador .
• Depois de ativar ou desativar a autenticação somente do Microsoft Entra no portal do Azure, uma entrada no registo de atividades pode ser vista no menu do servidor SQL.
• A configuração de autenticação exclusiva do Microsoft Entra apenas pode ser habilitada ou desabilitada por usuários com as permissões adequadas se o administrador do Microsoft Entra estiver especificado. Se o administrador do Microsoft Entra não estiver definido, a configuração Somente autenticação do Microsoft Entra permanecerá inativa e não poderá ser habilitada ou desabilitada. O uso de APIs para habilitar a autenticação somente do Microsoft Entra também falhará se o administrador do Microsoft Entra não tiver sido definido.
• A alteração de um administrador do Microsoft Entra quando a autenticação somente do Microsoft Entra está habilitada é suportada por usuários com as permissões apropriadas.
• Alterar um administrador do Microsoft Entra e habilitar ou desabilitar a autenticação somente do Microsoft Entra é permitido no portal do Azure para usuários com as permissões apropriadas. Ambas as operações podem ser concluídas com um Save no portal do Azure. O administrador do Microsoft Entra deve ser definido para habilitar a autenticação somente do Microsoft Entra.
• Não há suporte para a remoção de um administrador do Microsoft Entra quando o recurso de autenticação somente do Microsoft Entra está habilitado. O uso de uma API para remover um administrador do Microsoft Entra falhará se a autenticação somente do Microsoft Entra estiver habilitada.
  • Se a configuração Somente autenticação do Microsoft Entra estiver ativada, o botão Remover admin estará inativo no portal do Azure.
• Remover um administrador do Microsoft Entra e desativar a configuração somente de autenticação do Microsoft Entra é permitido, mas requer a permissão de usuário certa para concluir as operações. Ambas as operações podem ser concluídas com um Save no portal do Azure.
• Os usuários do Microsoft Entra com permissões adequadas podem representar usuários SQL existentes.
  • A representação continua a funcionar entre utilizadores de autenticação SQL mesmo quando a funcionalidade de autenticação exclusiva do Microsoft Entra está habilitada.

Limitações para autenticação apenas Microsoft Entra no Banco de Dados SQL

Quando a autenticação apenas Microsoft Entra está habilitada para o Banco de Dados SQL, os seguintes recursos não são suportados:

• Trabalhos elásticos no Banco de Dados SQL do Azure
• Sincronização de Dados SQL
• Captura de dados de alterações (CDC) - Se criar uma base de dados no Base de Dados SQL do Azure como utilizador do Microsoft Entra e ativar a captura de dados de alteração nela, um utilizador SQL não pode desativar nem fazer alterações aos artefactos do CDC. No entanto, outro utilizador do Microsoft Entra pode ativar ou desativar o CDC na mesma base de dados. De forma semelhante, se criar uma base de dados Azure SQL enquanto utilizador SQL, a ativação ou desativação do CDC enquanto utilizador do Microsoft Entra não funciona
• pt-PT: Replicação transacional com a Instância Gerenciada SQL do Azure - Como a autenticação SQL é necessária para a conectividade entre os participantes da replicação, quando a autenticação apenas Microsoft Entra está ativada, a replicação transacional não é suportada para o Banco de Dados SQL do Azure em cenários onde a replicação transacional é usada para fazer push das alterações feitas numa Instância Gerenciada SQL do Azure, no SQL Server no local, ou numa instância do SQL Server da VM do Azure para um banco de dados no Banco de Dados SQL do Azure.
• SQL Insights (pré-visualização)
• EXEC AS declaração para contas de membros do grupo Microsoft Entra

Limitações para autenticação somente Microsoft Entra-only na Instância Gerenciada SQL do Azure

Quando a autenticação somente Microsoft Entra está habilitada para a Instância Gerenciada SQL, os seguintes recursos não são suportados:

• Replicação transacional com a Instância Gerenciada SQL do Azure
• Automatizar tarefas de gerenciamento usando trabalhos do SQL Agent na Instância Gerida do Azure SQL suporta apenas autenticação Microsoft Entra. No entanto, o utilizador do Microsoft Entra que é membro de um grupo do Microsoft Entra que tem acesso à instância gerida não pode possuir tarefas do SQL Agent.
• SQL Insights (pré-visualização)
• EXEC AS declaração para contas de membros do grupo Microsoft Entra

Para obter mais limitações, consulte Diferenças de T-SQL entre SQL Server e Instância Gerenciada SQL do Azure.

autenticação apenas com o Microsoft Entra com Azure Synapse Analytics

Para pools SQL dedicados no Azure Synapse Analytics, consulte autenticação exclusiva do Microsoft Entra.

Conteúdo relacionado

• Tutorial: Habilitar a autenticação somente do Microsoft Entra com o SQL do Azure
• Criar servidor com autenticação exclusiva do Microsoft Entra ativada no SQL do Azure