autenticação apenas com o Microsoft Entra com Azure Synapse Analytics

Ao usar autenticação apenas Microsoft Entra, pode configurar o Azure Synapse Analytics para suportar apenas a autenticação Microsoft Entra.

A autenticação apenas com o Microsoft Entra está disponível para pools SQL dedicados autónomos e espaços de trabalho Azure Synapse. Para configurar a área de trabalho, consulte Desativar a autenticação local. Pools SQL dedicados nos espaços de trabalho do Azure Synapse Analytics não usam servidores SQL lógicos.

Quando ativa a autenticação exclusiva do Microsoft Entra, desativa a autenticação SQL, incluindo ligações de administradores SQL, inícios de sessão e utilizadores. Só os utilizadores que utilizam autenticação Microsoft Entra podem ligar-se.

Para um pool SQL dedicado autónomo, pode ativar ou desativar a autenticação exclusiva da Microsoft Entra usando o portal Azure, CLI do Azure, PowerShell ou API REST. Também pode configurá-lo durante a criação do servidor lógico com um modelo do Azure Resource Manager (ARM).

Para obter mais informações, consulte Autenticação e autorização.

Descrição das funcionalidades

Quando ativa a autenticação apenas Microsoft Entra, desativa a autenticação SQL para o espaço de trabalho ou servidor lógico. Embora a autenticação SQL esteja desativada, contas Microsoft Entra com permissões adequadas ainda podem criar novos logins e utilizadores de autenticação SQL. As contas de autenticação SQL recém-criadas não conseguem estabelecer ligação. Habilitar a autenticação somente do Microsoft Entra, não remove o logon e as contas de usuário de autenticação SQL existentes. A funcionalidade apenas impede que estas contas se liguem ao servidor e a qualquer base de dados criada para este servidor.

Permissions

Os utilizadores da Microsoft Entra que pertencem a funções integradas da Microsoft Entra altamente privilegiadas, como os Proprietários e Contribuidores da subscrição Azure, podem ativar ou desativar a autenticação exclusiva da Microsoft Entra. Além disso, a função SQL Security Manager pode ativar ou desativar a funcionalidade de autenticação exclusiva do Microsoft Entra.

O papel de Contribuidor do SQL Server não tem permissão para ativar ou desativar a autenticação exclusiva do Microsoft Entra. Esta restrição é consistente com a separação de funções: os utilizadores que conseguem criar um servidor lógico ou definir um administrador do Microsoft Entra não podem necessariamente ativar ou desativar funcionalidades de segurança.

Ações necessárias

As ações a seguir são adicionadas à função Gerenciador de Segurança SQL para permitir o gerenciamento do recurso de autenticação somente Microsoft Entra.

• Microsoft.Sql/servers/azureADOnlyAuthentications/*
• Microsoft.Sql/servers/administrators/read - necessária apenas para utilizadores que acedem ao menu Microsoft Entra ID do portal Azure

Também pode adicionar estas ações a uma função personalizada para gerir a autenticação exclusiva do Microsoft Entra. Para obter mais informações, consulte Criar e atribuir uma função personalizada no Microsoft Entra ID.

Gerenciar a autenticação somente do Microsoft Entra, usando APIs

az sql server ad-only-auth enable --resource-group myresource --name myserver

az sql server ad-only-auth disable --resource-group myresource --name myserver

az sql server ad-only-auth get --resource-group myresource --name myserver

Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServer -ServerName myserver | Enable-AzSqlServerActiveDirectoryOnlyAuthentication

Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName myserver -ResourceGroupName myresource

Get-AzSqlServer -ServerName myserver | Get-AzSqlServerActiveDirectoryOnlyAuthentication

$subscriptionId = '<subscriptionId>'
$serverName = "<myserver>"
$resourceGroupName = "<myresource>"

$body = @{ properties = @{ azureADOnlyAuthentication = 1 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

$body = @{ properties = @{ azureADOnlyAuthentication = 0 } } | ConvertTo-Json
Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Invoke-RestMethod -Uri "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/azureADOnlyAuthentications/default?api-version=2020-02-02-preview" -Method GET -Headers $authHeader  | Format-List

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "sqlServer_name": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String"
        },
        "aad_admin_objectid": {
            "type": "String"
        },
        "aad_admin_tenantid": {
            "type": "String"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers/administrators",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/ActiveDirectory')]",
            "properties": {
                "administratorType": "ActiveDirectory",
                "login": "[parameters('aad_admin_name')]",
                "sid": "[parameters('aad_admin_objectid')]",
                "tenantId": "[parameters('aad_admin_tenantId')]"
            }
        },
        {
            "type": "Microsoft.Sql/servers/azureADOnlyAuthentications",
            "apiVersion": "2020-02-02-preview",
            "name": "[concat(parameters('sqlServer_name'), '/Default')]",
            "dependsOn": [
                "[resourceId('Microsoft.Sql/servers/administrators', parameters('sqlServer_name'), 'ActiveDirectory')]"
            ],
            "properties": {
                "azureADOnlyAuthentication": true
            }
        }
    ]
}

Verifique a autenticação somente do Microsoft Entra, usando o T-SQL

Utilize a função SERVERPROPERTY com IsExternalAuthenticationOnly para verificar se a autenticação só com o Microsoft Entra está ativada para o seu servidor lógico. 1 indica que a funcionalidade está ativada e 0 indica que está desativada.

SELECT SERVERPROPERTY('IsExternalAuthenticationOnly')

Conta de administrador do servidor gerada pelo sistema

Quando crias um servidor lógico com autenticação apenas Microsoft Entra ativada, o serviço gera um nome de administrador do servidor e uma palavra-passe aleatória. O nome gerado começa com CloudSA seguido de uma string aleatória, e aparece no portal do Azure como login de administrador do servidor.

A conta existe para cumprir os requisitos de provisionamento, não para permitir a ligação. Provisionar qualquer um dos tipos de recurso ainda requer valores de administrador de autenticação SQL. A autenticação exclusiva do Microsoft Entra altera que métodos de autenticação podem estabelecer uma ligação após o provisionamento, mas não remove esse requisito de provisionamento, pelo que o serviço gera os valores necessários para o satisfazer.

Ver um nome gerado não significa que a autenticação SQL esteja ativada. Enquanto a autenticação exclusiva do Microsoft Entra está ativada:

• Nenhuma conta de autenticação SQL consegue ligar-se, incluindo o administrador gerado pelo sistema.
• A conta gerada não é uma conta partilhada, nem um plano B, nem um caminho de quebra-vidro.
• As aplicações e administradores devem usar autenticação Microsoft Entra para se ligar.
• O administrador da Microsoft Entra e outras identidades autorizadas da Microsoft Entra continuam a ser as formas de administração suportadas.
• O serviço remove permanentemente a palavra-passe do plano de controlo após o provisionamento.

Remarks

• Um Colaborador do SQL Server pode definir ou remover um administrador do Microsoft Entra, mas não pode definir apenas a configuração de autenticação do Microsoft Entra . O Gerenciador de Segurança SQL não pode definir ou remover um administrador do Microsoft Entra, mas pode definir apenas a configuração de autenticação do Microsoft Entra . Somente contas com funções RBAC do Azure mais altas ou funções personalizadas que contenham ambas as permissões podem definir ou remover um administrador do Microsoft Entra e definir a configuração somente autenticação do Microsoft Entra . Uma dessas funções é a função de Colaborador .
• Após ativar ou desativar a autenticação Microsoft Entra apenas no portal Azure, aparece uma entrada no registo de atividade.
• A configuração de autenticação exclusiva do Microsoft Entra apenas pode ser habilitada ou desabilitada por usuários com as permissões adequadas se o administrador do Microsoft Entra estiver especificado. Se o administrador do Microsoft Entra não estiver definido, a configuração Somente autenticação do Microsoft Entra permanecerá inativa e não poderá ser habilitada ou desabilitada. O uso de APIs para habilitar a autenticação somente do Microsoft Entra também falhará se o administrador do Microsoft Entra não tiver sido definido.
• A alteração de um administrador do Microsoft Entra quando a autenticação somente do Microsoft Entra está habilitada é suportada por usuários com as permissões apropriadas.
• Alterar um administrador do Microsoft Entra e habilitar ou desabilitar a autenticação somente do Microsoft Entra é permitido no portal do Azure para usuários com as permissões apropriadas. Ambas as operações podem ser concluídas com um Save no portal do Azure. O administrador do Microsoft Entra deve ser definido para habilitar a autenticação somente do Microsoft Entra.
• Não há suporte para a remoção de um administrador do Microsoft Entra quando o recurso de autenticação somente do Microsoft Entra está habilitado. O uso de uma API para remover um administrador do Microsoft Entra falhará se a autenticação somente do Microsoft Entra estiver habilitada.
  • Se a configuração Somente autenticação do Microsoft Entra estiver ativada, o botão Remover admin estará inativo no portal do Azure.
• Remover um administrador do Microsoft Entra e desativar a configuração somente de autenticação do Microsoft Entra é permitido, mas requer a permissão de usuário certa para concluir as operações. Ambas as operações podem ser concluídas com um Save no portal do Azure.
• Os usuários do Microsoft Entra com permissões adequadas podem representar usuários SQL existentes.
  • A representação continua a funcionar entre utilizadores de autenticação SQL mesmo quando a autenticação apenas Microsoft Entra está ativada.

Conteúdo relacionado

• Utilize a autenticação Microsoft Entra com Synapse SQL
• Autenticação do Microsoft Entra para Azure Synapse Analytics