Azure Synapse Analytics nätverksåtkomstkontroller

Azure Synapse Analytics tillhandahåller offentliga och privata nätverksåtkomstkontroller för Synapse SQL. De tillgängliga kontrollerna beror på om SQL-poolen finns i en Synapse-arbetsyta eller är en fristående dedikerad SQL-pool (tidigare SQL DW).

När du skapar en ny SQL-server för Azure Synapse Analytics får du en publik endpoint i formatet: yourservername.database.windows.net. Som standard nekar den logiska servern alla anslutningar för att säkerställa säkerheten. Använd en eller flera av följande nätverksåtkomstkontroller för att selektivt tillåta åtkomst till en databas via den publika ändpunkten:

• IP-baserade brandväggsregler: Använd den här funktionen för att uttryckligen tillåta anslutningar från en specifik IP-adress. Till exempel, tillåt lokala datorer i den egna miljön eller ett intervall av IP-adresser genom att ange start- och slut-IP-adress.

• Tillåt Azure-tjänster och resurser att komma åt denna server: När den är aktiverad kan andra resurser inom Azure:s gräns nå servern.

Du kan också tillåta privat åtkomst till databasen från virtuella nätverk via:

• Brandväggsregler för virtuellt nätverk: Använd den här funktionen för att tillåta trafik från ett specifikt virtuellt nätverk inom Azure-gränsen.

• Private Link: Använd denna funktion för att skapa en privat endpoint för SQL-servern inom ett specifikt virtuellt nätverk.

IP-brandväggsregler

IP-baserade brandväggsregler är en funktion i den logiska servern i Azure som förhindrar all åtkomst till din server tills du uttryckligen lägger till IP-adresserna för klientdatorerna.

Det finns två typer av brandväggsregler:

• brandväggsregler på servernivå: Dessa regler gäller för alla databaser på servern. Du kan konfigurera dem via Azure-portalen, PowerShell eller T-SQL-kommandon som sp_set_firewall_rule.
• Brandväggsregler på databasnivå: Dessa regler gäller för enskilda databaser och kan endast konfigureras med T-SQL-kommandon som sp_set_database_firewall_rule.

Följande begränsningar gäller för namngivning av brandväggsregler:

• Namnet på brandväggsregeln får inte vara tomt.
• Den får inte innehålla följande tecken: <, >, *, %, &, :, \\, /, ?.
• Det kan inte sluta med en punkt (.).
• Brandväggsregelns namn får inte överstiga 128 tecken.

Om du försöker skapa brandväggsregler som inte uppfyller dessa begränsningar får du ett felmeddelande. Det kan ta upp till fem minuter innan ändringar av befintliga IP-baserade brandväggsregler träder i kraft.

SQL-pooler i en Synapse-arbetsyta

En Synapse-arbetsyta exponerar dedikerade SQL-ändpunkter, serverlösa SQL-ändpunkter och utvecklingsändpunkter. Nätverksinställningar på arbetsytenivå skyddar dessa ändpunkter som en grupp.

• IP-brandväggsregler tillåter publika anslutningar från specifika klient-IPv4-adresser eller -intervall. Arbetsytans brandväggsregler gäller för dedikerad SQL, serverless SQL och utvecklingsändpunkter. Synapse-arbetsytor stöder endast servernivåregler, inte databasnivå-brandväggsregler. För konfigurationssteg, se Azure Synapse Analytics IP firewall rules.
• Tillåt Azure-tjänster och resurser att få tillgång till denna arbetsyta tillåter anslutningar från Azure-resurser utanför din prenumeration. Aktivera det endast när det krävs, och använd databasautentisering och auktorisation för att begränsa åtkomsten.
• Offentlig nätverksåtkomst styr om arbetsytan tar emot trafik från publika nätverk. När tillgång till det offentliga nätverket är inaktiverat måste klienterna använda privata ändpunkter. Mer information finns i Azure Synapse Analytics anslutningsinställningar.
• Privata slutpunkter tilldelar privata IP-adresser i ditt virtuella nätverk till arbetsytans dedikerade SQL-, serverless SQL- eller utvecklingsslutpunkt. För mer information, se Azure Private Link for Azure Synapse Analytics.
• Hanterade privata slutpunkter tillhandahåller utgående privat anslutning från ett hanterat virtuellt arbetsytenätverk till godkända Azure-resurser. För mer information, se Azure Synapse Analytics managed private endpoints.

Fristående dedikerade SQL-pooler

En fristående dedikerad SQL-pool hostas av en logisk server. Den logiska servern nekar offentlig åtkomst tills du konfigurerar åtkomst.

• IP-brandväggsregler tillåter utvalda publika klientadresser eller intervall. För konfigurationssteg, se Azure Synapse IP firewall rules.
• Tillåt Azure-tjänster och resurser att komma åt denna server skapar en servernivåregel från 0.0.0.0 till 0.0.0.0. Denna inställning tillåter anslutningar från Azure-resurser utanför din prenumeration, så aktivera den endast när det behövs.
• Virtuella nätverksregler tillåter trafik från utvalda virtuella nätverkssubnät via service-endpoints. Slutpunkter för virtuella nätverkstjänster och regler är enklare alternativ för att etablera och hantera åtkomst från ett specifikt subnät som innehåller dina VM:ar.
• Private Link gör den logiska servern tillgänglig via en privat slutpunkt i ditt virtuella nätverk. En privat slutpunkt är en privat IP-adress i ett specifikt virtuellt nätverk och undernät.
• Offentlig nätverksåtkomst kan inaktiveras efter att privat anslutning har konfigurerats. När de är inaktiverade tillåter inte brandväggs- och virtuella nätverksregler offentliga anslutningar.

SQL Service Tagg

Du kan använda servicetaggar i säkerhetsregler och rutter från klienter till en SQL-databas. Du kan använda servicetaggar i nätverkssäkerhetsgrupper, Azure Firewall och användardefinierade rutter genom att ange dem i käll- eller destinationsfältet i en säkerhetsregel.
Servicetaggen Sql består av alla IP-adresser som Azure Synapse Analytics använder för en SQL-databas. Taggen är segmenterad efter region. Till exempel listar Sql.WestUS alla IP-adresser i Azure-regionen USA, västra.

Servicetaggen Sql består av IP-adresser som krävs för att etablera anslutning.

Relaterat innehåll

• Azure Private Link for Azure Synapse Analytics
• Anslut till Synapse SQL
• Säkerhetsöversikt för Azure Synapse Analytics: nätverkssäkerhet