Azure Synapse Analytics controlos de acesso à rede

O Azure Synapse Analytics fornece controlos de acesso à rede pública e privada para o Synapse SQL. Os controlos disponíveis dependem se o pool SQL está num workspace Synapse ou se é um pool SQL dedicado autónomo (anteriormente SQL DW).

Quando cria um novo servidor SQL para Azure Synapse Analytics, obtém um endpoint público no formato: yourservername.database.windows.net. Por padrão, o servidor lógico nega todas as conexões para garantir a segurança. Utilize um ou mais dos seguintes controlos de acesso à rede para permitir seletivamente o acesso a uma base de dados através do endpoint público:

• regras de firewall baseadas em IP: Utilize esta funcionalidade para permitir explicitamente conexões de um endereço IP específico. Por exemplo, permitir máquinas on-premises ou um intervalo de endereços IP especificando o endereço IP inicial e final.

• Permitir que os serviços e recursos do Azure acedam a este servidor: Quando ativado, outros recursos dentro do limite do Azure podem aceder ao servidor.

Também pode permitir acesso privado à base de dados a partir de redes virtuais através de:

• Regras de firewall de rede virtual: use esse recurso para permitir o tráfego de uma rede virtual específica dentro do limite do Azure.

• Private Link: Utilize esta funcionalidade para criar um endpoint privado para o servidor SQL dentro de uma rede virtual específica.

Regras de firewall IP

As regras de firewall baseadas em IP são uma funcionalidade do servidor lógico no Azure que impede todo o acesso ao seu servidor até adicionar explicitamente os endereços IP das máquinas clientes.

Existem dois tipos de regras de firewall:

• Regras de firewall no nível de servidor: Essas regras se aplicam a todos os bancos de dados no servidor. Podes configurá-los através do portal Azure, PowerShell ou comandos T-SQL como sp_set_firewall_rule.
• Regras de firewall ao nível da base de dados: Estas regras aplicam-se a bases de dados individuais e só podem ser configuradas usando comandos T-SQL como sp_set_database_firewall_rule.

As seguintes restrições aplicam-se à nomeação das regras de firewall:

• O nome da regra de firewall não pode estar vazio.
• Ele não pode conter os seguintes caracteres: <, >, *, %, &, :, \\, /, ?.
• Não pode terminar com um ponto final (.).
• O nome da regra de firewall não pode exceder 128 caracteres.

Se tentar criar regras de firewall que não cumpram estas restrições, recebe uma mensagem de erro. Pode demorar até cinco minutos até que as modificações às regras existentes de firewall baseadas em IP produzam efeito.

Pools SQL num espaço de trabalho do Synapse

Um espaço de trabalho Synapse expõe SQL dedicado, SQL serverless e endpoints de desenvolvimento. As definições de rede ao nível do espaço de trabalho protegem estes pontos de extremidade em conjunto.

• As regras de firewall IP permitem ligações públicas a partir de endereços ou intervalos IPv4 específicos do cliente. As regras de firewall de workspace aplicam-se ao SQL dedicado, SQL serverless e endpoints de desenvolvimento. Os espaços de trabalho Synapse suportam apenas regras ao nível do servidor, não regras de firewall ao nível da base de dados. Para os passos de configuração, consulte as regras de firewall IP do Azure Synapse Analytics.
• Permitir que os serviços e recursos do Azure acedam a este espaço de trabalho permite ligações a partir de recursos do Azure fora da sua subscrição. Ative-o apenas quando necessário e use autenticação e autorização da base de dados para restringir o acesso.
• O acesso de rede pública controla se o espaço de trabalho aceita tráfego de redes públicas. Quando o acesso à rede pública está desativado, os clientes devem usar endpoints privados. Para mais informações, consulte Azure Synapse Analytics definições de conectividade.
• Os endpoints privados atribuem endereços IP privados na sua rede virtual ao SQL dedicado, SQL serverless ou endpoint de desenvolvimento do workspace. Para mais informações, consulte Azure Private Link for Azure Synapse Analytics.
• Os endpoints privados geridos fornecem conectividade privada de saída de uma rede virtual de espaço de trabalho gerido para recursos Azure aprovados. Para mais informações, consulte endpoints privados geridos pelo Azure Synapse Analytics.

pools de SQL dedicados autónomos

Um pool SQL dedicado autónomo é alojado por um servidor lógico. O servidor lógico nega ligações públicas até configurares o acesso.

• As regras de firewall IP permitem endereços ou intervalos públicos de clientes selecionados. Para passos de configuração, consulte as regras do firewall IP do Azure Synapse.
• Permitir que os serviços e recursos do Azure acedam a este servidor cria uma regra ao nível do servidor de 0.0.0.0 a 0.0.0.0. Esta configuração permite ligações a partir de recursos do Azure fora da sua subscrição, por isso ative-a apenas quando necessário.
• As regras de rede virtual permitem tráfego de sub-redes virtuais selecionadas através de endpoints de serviço. Endpoints e regras de serviços de rede virtual são alternativas mais fáceis de estabelecer e gerir o acesso a partir de uma sub-rede específica que contém as suas VMs.
• O Private Link expõe o servidor lógico através de um endpoint privado na sua rede virtual. Um ponto de extremidade privado é um endereço IP privado dentro de uma sub-rede e rede virtual específica.
• O acesso à rede pública pode ser desativado após a configuração da conectividade privada. Quando desativado, as regras da firewall e da rede virtual não permitem ligações de rede públicas.

Tag de serviço Sql

Pode usar etiquetas de serviço em regras de segurança e rotas de clientes para uma base de dados SQL. Pode usar etiquetas de serviço em grupos de segurança de rede, Azure Firewall e rotas definidas pelo utilizador, especificando-as no campo de origem ou destino de uma regra de segurança.
A Sql etiqueta de serviço consiste em todos os endereços IP que o Azure Synapse Analytics utiliza para uma base de dados SQL. A etiqueta é segmentada por região. Por exemplo, Sql.WestUS lista todos os endereços IP na região do Azure do Oeste dos EUA.

A Sql tag de serviço consiste nos endereços IP necessários para estabelecer a conectividade.

Conteúdo relacionado

• Azure Private Link for Azure Synapse Analytics
• Liga-te ao Synapse SQL
• Documento técnico de segurança do Azure Synapse Analytics: Segurança de rede