Řízení přístupu k účtu úložiště pro bezserverový fond SQL ve službě Azure Synapse Analytics

Identita uživatele, označovaná také jako průchod Microsoft Entra, je typ autorizace, kde se identita uživatele Microsoft Entra přihlášeného do bezserverového fondu SQL používá k autorizaci přístupu k datům. Před přístupem k datům musí správce služby Azure Storage udělit oprávnění uživateli Microsoft Entra. Jak je uvedeno v podporovaných typech autorizace pro tabulku uživatelé databáze, nepodporuje se pro typ uživatele SQL.

Abyste mohli přistupovat k datům, musíte být členem role Vlastník dat objektů blob služby Storage, Přispěvatel dat objektů blob služby Storage nebo Čtenář dat objektů blob služby Storage. Jako alternativu můžete zadat jemně odstupňovaná pravidla seznamu ACL pro přístup k souborům a složkám. I když jste vlastníkem účtu úložiště, musíte se stále přidat do jedné z rolí dat objektů blob služby Storage. Další informace o řízení přístupu v Azure Data Lake Store Gen2 najdete v článku o řízení přístupu v Azure Data Lake Storage Gen2 .

Sdílený přístupový podpis (SAS) poskytuje delegovaný přístup k prostředkům v účtu úložiště. Pomocí sdíleného přístupového podpisu může zákazník udělit klientům přístup k prostředkům v účtu úložiště bez sdílení klíčů účtu. SAS poskytuje podrobnou kontrolu nad typem přístupu, který udělujete klientům, kteří mají SAS, včetně intervalu platnosti, udělených oprávnění, přijatelného rozsahu IP adres a přijatelného protokolu (https/http).

Token SAS můžete získat tak, že přejdete na web Azure Portal –> Účet úložiště –> Sdílený přístupový podpis –> Konfigurace oprávnění –> Vygenerování SAS a připojovací řetězec.

Pokud chcete povolit přístup pomocí tokenu SAS, musíte vytvořit přihlašovací údaje s oborem databáze nebo serveru.

Instanční objekt je místní reprezentace globálního objektu aplikace v konkrétním tenantovi Microsoft Entra. Tato metoda ověřování je vhodná v případech, kdy má být přístup k úložišti autorizovaný pro uživatelskou aplikaci, službu nebo nástroj pro automatizaci. Další informace o instančních objektech v MICROSOFT Entra ID naleznete v tématu Aplikace a instanční objekty v Microsoft Entra ID.

Aplikace musí být zaregistrovaná v Microsoft Entra ID. Další informace o procesu registrace najdete v rychlém startu: Registrace aplikace na platformě Microsoft Identity Platform. Po registraci aplikace je možné k autorizaci použít instanční objekt.

Instanční objekt by měl být přiřazený k rolím Vlastník dat objektů blob služby Storage, Přispěvatel dat objektů blob úložiště a Čtenář dat objektů blob služby Storage, aby aplikace měla přístup k datům. I když je instanční objekt vlastníkem účtu úložiště, musí být stále udělena příslušná role dat objektů blob služby Storage. Jako alternativní způsob udělení přístupu k souborům a složkám úložiště je možné definovat jemně odstupňovaná pravidla seznamu ACL pro instanční objekt.

Další informace o řízení přístupu v Azure Data Lake Store Gen2 najdete v tématu Řízení přístupu v Azure Data Lake Storage Gen2.

Identita spravované služby nebo spravovaná identita se také označuje jako MSI. MSI je funkce MICROSOFT Entra ID, která poskytuje služby Azure službě Azure, v tomto případě pro bezserverový fond SQL. MSI se vytvoří automaticky v Microsoft Entra ID. Tuto identitu můžete použít k autorizaci žádosti o přístup k datům ve službě Azure Storage.

Před přístupem k datům musí správce služby Azure Storage udělit oprávnění identitě spravované služby pro přístup k datům. Udělení oprávnění MSI se provádí stejným způsobem jako udělení oprávnění všem ostatním uživatelům Microsoft Entra.

Můžete přistupovat k veřejně dostupným souborům umístěným v účtech úložiště Azure, které umožňují anonymní přístup.

Pokud chcete získat přístup k úložišti chráněnému bránou firewall prostřednictvím identity uživatele, můžete použít Azure Portal nebo modul Az.Storage PowerShell.

Konfigurace brány firewall služby Azure Storage prostřednictvím webu Azure Portal

1. Vyhledejte svůj účet úložiště na webu Azure Portal.
2. V hlavní navigační nabídce přejděte do části Sítě v části Nastavení.
3. V části Instance prostředků přidejte výjimku pro váš pracovní prostor Azure Synapse.
4. Vyberte Microsoft.Synapse/workspaces jako typ prostředku.
5. Vyberte název pracovního prostoru jako název instance.
6. Zvolte Uložit.

Konfigurace brány firewall služby Azure Storage prostřednictvím PowerShellu

Podle těchto kroků nakonfigurujte účet úložiště a přidejte výjimku pro pracovní prostor Azure Synapse.

1. Otevřete PowerShell nebo nainstalujte PowerShell.

2. Nainstalujte nejnovější verze modulu Az.Storage a modulu Az.Synapse, například v následujícím skriptu:

   Install-Module -Name Az.Storage -RequiredVersion 3.4.0
   Install-Module -Name Az.Synapse -RequiredVersion 0.7.0
   

   Důležité

   Ujistěte se, že používáte aspoň verzi 3.4.0. Verzi Az.Storage můžete zkontrolovat spuštěním tohoto příkazu:

   Get-Module -ListAvailable -Name Az.Storage | Select Version
   

3. Připojení do tenanta Azure:

   Connect-AzAccount
   

4. Definování proměnných v PowerShellu:

   • Název skupiny prostředků – najdete ho na webu Azure Portal v přehledu účtu úložiště.
   • Název účtu – název účtu, který je chráněný pravidly brány firewall.
   • ID tenanta – toto najdete na webu Azure Portal v ID Microsoft Entra v části Vlastnosti ve vlastnostech tenanta.
   • Název pracovního prostoru – název pracovního prostoru Azure Synapse.

       $resourceGroupName = "<resource group name>"
       $accountName = "<storage account name>"
       $tenantId = "<tenant id>"
       $workspaceName = "<Azure Synapse workspace name>"
   
       $workspace = Get-AzSynapseWorkspace -Name $workspaceName
       $resourceId = $workspace.Id
       $index = $resourceId.IndexOf("/resourceGroups/", 0)
       # Replace G with g - /resourceGroups/ to /resourcegroups/
       $resourceId = $resourceId.Substring(0,$index) + "/resourcegroups/" ` 
           + $resourceId.Substring($index + "/resourceGroups/".Length)
   
       $resourceId
   

   Důležité

   Hodnota $resourceid vrácená skriptem PowerShellu by měla odpovídat této šabloně: /subscriptions/{subscription-id}/resourcegroups/{resource-group}/providers/Microsoft.Synapse/workspaces/{name-of-workspace} V malých případech je důležité psát skupiny prostředků.

5. Přidejte síťové pravidlo účtu úložiště Azure:

       $parameters = @{
           ResourceGroupName = $resourceGroupName
           Name = $accountName
           TenantId = $tenantId 
           ResourceId = $resourceId
       }
   
       Add-AzStorageAccountNetworkRule @parameters
   

6. Ověřte, že se v bráně firewall účtu úložiště použilo pravidlo sítě účtu úložiště. Následující skript PowerShellu $resourceid porovná proměnnou z předchozích kroků s výstupem síťového pravidla účtu úložiště.

       $parameters = @{
           ResourceGroupName = $resourceGroupName
           Name = $accountName
       }
   
       $rule = Get-AzStorageAccountNetworkRuleSet @parameters
       $rule.ResourceAccessRules | ForEach-Object { 
           if ($_.ResourceId -cmatch "\/subscriptions\/(\w\-*)+\/resourcegroups\/(.)+") { 
               Write-Host "Storage account network rule is successfully configured." -ForegroundColor Green
               $rule.ResourceAccessRules
           } else {
               Write-Host "Storage account network rule is not configured correctly. Remove this rule and follow the steps in detail." -ForegroundColor Red
               $rule.ResourceAccessRules
           }
       }
   

Sdílené přístupové podpisy nelze použít pro přístup k úložišti chráněnému bránou firewall.

Instanční objekt nelze použít pro přístup k úložišti chráněnému bránou firewall. Místo toho použijte identitu spravované služby.

Musíte povolit nastavení Povolit důvěryhodné služby Microsoft a přiřadit roli Azure spravované identitě přiřazené systémem pro danou instanci prostředku.

V tomto případě rozsah přístupu instance prostředku odpovídá roli Azure přiřazené spravované identitě.

K úložišti chráněnému bránou firewall nemůžete přistupovat pomocí anonymního přístupu.

Uživatelé Microsoft Entra mají přístup k libovolnému souboru v úložišti Azure, pokud jsou členy role Vlastník dat objektů blob služby Storage, Přispěvatel dat objektů blob úložiště nebo Čtenář dat objektů blob služby Storage. Uživatelé Microsoft Entra nepotřebují pro přístup k úložišti přihlašovací údaje.

Ověření uživatelé SQL nemůžou pro přístup k úložišti používat ověřování Microsoft Entra. K úložišti mají přístup prostřednictvím přihlašovacích údajů databáze pomocí spravované identity, klíče SAS, instančního objektu nebo veřejného přístupu k úložišti.

Následující skript vytvoří přihlašovací údaje na úrovni serveru, které může funkce použít OPENROWSET pro přístup k libovolnému souboru v úložišti Azure pomocí tokenu SAS. Vytvořte tyto přihlašovací údaje, abyste umožnili instančnímu objektu SQL používat OPENROWSET funkci ke čtení souborů chráněných klíčem SAS v úložišti Azure. Název přihlašovacích údajů se musí shodovat s adresou URL.

V následujícím ukázkovém dotazu nahraďte <mystorageaccountname> skutečným názvem účtu úložiště a <mystorageaccountcontainername> skutečným názvem kontejneru:

CREATE CREDENTIAL [https://<mystorageaccountname>.dfs.core.windows.net/<mystorageaccountcontainername>]
WITH IDENTITY='SHARED ACCESS SIGNATURE'
, SECRET = 'sv=2018-03-28&ss=bfqt&srt=sco&sp=rwdlacup&se=2019-04-18T20:42:12Z&st=2019-04-18T12:42:12Z&spr=https&sig=lQHczNvrk1BrIPBNJ3VYEIq78%3D';
GO

Volitelně můžete použít pouze základní adresu URL účtu úložiště bez názvu kontejneru.

Následující skript vytvoří přihlašovací údaje na úrovni serveru, které lze použít pro přístup k souborům v úložišti pomocí instančního objektu pro ověřování a autorizaci. ID aplikace najdete tak, že navštívíte Registrace aplikací na webu Azure Portal a vyberete aplikaci, která žádá o přístup k úložišti. Tajný kód se získá během registrace aplikace. AuthorityUrl je adresa URL autority Microsoft Entra ID Oauth2.0.

CREATE CREDENTIAL [https://<storage_account>.dfs.core.windows.net/<container>]
WITH IDENTITY = '<AppID>@<AuthorityUrl>' 
, SECRET = '<Secret>'

Následující skript vytvoří přihlašovací údaje na úrovni serveru, které může funkce použít OPENROWSET pro přístup k libovolnému souboru v úložišti Azure pomocí spravované identity pracovního prostoru Azure Synapse, speciálního typu identity spravované služby.

CREATE CREDENTIAL [https://<storage_account>.dfs.core.windows.net/<container>]
WITH IDENTITY='Managed Identity'

Volitelně můžete použít pouze základní adresu URL účtu úložiště bez názvu kontejneru.

Pro povolení přístupu k veřejně dostupným souborům se přihlašovací údaje na úrovni serveru nevyžadují. Vytvořte zdroj dat bez přihlašovacích údajů pro přístup k veřejně dostupným souborům v úložišti Azure.

Uživatelé Microsoft Entra mají přístup k libovolnému souboru v úložišti Azure, pokud jsou členy role Vlastník dat objektů blob služby Storage, Přispěvatel dat objektů blob úložiště nebo Čtenář dat objektů blob služby Storage. Uživatelé Microsoft Entra nepotřebují pro přístup k úložišti přihlašovací údaje.

CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>'
)

Ověření uživatelé SQL nemůžou pro přístup k úložišti používat ověřování Microsoft Entra. K úložišti mají přístup prostřednictvím přihlašovacích údajů databáze pomocí spravované identity, klíče SAS, instančního objektu nebo veřejného přístupu k úložišti.

Následující skript vytvoří přihlašovací údaje, které se používají pro přístup k souborům v úložišti pomocí tokenu SAS zadaného v přihlašovacích údajích. Skript vytvoří ukázkový externí zdroj dat, který pro přístup k úložišti používá tento token SAS.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>'
GO
CREATE DATABASE SCOPED CREDENTIAL [SasToken]
WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
     SECRET = 'sv=2018-03-28&ss=bfqt&srt=sco&sp=rwdlacup&se=2019-04-18T20:42:12Z&st=2019-04-18T12:42:12Z&spr=https&sig=lQHczNvrk1KEIq78%3D';
GO
CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = SasToken
)

Následující skript vytvoří přihlašovací údaje s oborem databáze, které lze použít pro přístup k souborům v úložišti pomocí instančního objektu pro ověřování a autorizaci. ID aplikace najdete tak, že navštívíte Registrace aplikací na webu Azure Portal a vyberete aplikaci, která žádá o přístup k úložišti. Tajný kód se získá během registrace aplikace. AuthorityUrl je adresa URL autority Microsoft Entra ID Oauth2.0.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>

CREATE DATABASE SCOPED CREDENTIAL [<CredentialName>] WITH
IDENTITY = '<AppID>@<AuthorityUrl>' 
, SECRET = '<Secret>'
GO
CREATE EXTERNAL DATA SOURCE MyDataSource
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = CredentialName
)

Následující skript vytvoří přihlašovací údaje v oboru databáze, které lze použít k zosobnění aktuálního uživatele Microsoft Entra jako spravované identity služby. Skript vytvoří ukázkový externí zdroj dat, který pro přístup k úložišti používá identitu pracovního prostoru.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>
CREATE DATABASE SCOPED CREDENTIAL SynapseIdentity
WITH IDENTITY = 'Managed Identity';
GO
CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = SynapseIdentity
)

Přihlašovací údaje v oboru databáze se nemusí shodovat s názvem účtu úložiště, protože se explicitně použije ve zdroji dat, který definuje umístění úložiště.

Pro povolení přístupu k veřejně dostupným souborům není nutné přihlašovací údaje s vymezeným oborem databáze. Vytvořte zdroj dat bez přihlašovacích údajů pro přístup k veřejně dostupným souborům v úložišti Azure.

CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.blob.core.windows.net/<container>/<path>'
)