Control del acceso a la cuenta de almacenamiento del grupo de SQL sin servidor en Azure Synapse Analytics

La Identidad de usuario, también conocida como "tránsito de Microsoft Entra" es un tipo de autorización en el que la identidad del usuario de Microsoft Entra que inició sesión en el grupo de SQL sin servidor se utiliza para autorizar el acceso a los datos. Antes de acceder a los datos, el administrador de Azure Storage debe conceder permisos al usuario de Microsoft Entra. Como se indica en la tabla Tipos de autorización admitidos para usuarios de base de datos, no se admite para el tipo de usuario de SQL.

Debe ser miembro del rol Propietario de datos de Storage Blob, Colaborador de datos de Storage Blob o Lector de datos de Storage Blob para usar su identidad para acceder a los datos. Como alternativa, puede establecer reglas de ACL específicas para acceder a archivos y carpetas. Incluso si es propietario de una cuenta de almacenamiento, deberá agregarse a uno de los roles de datos del blob de almacenamiento. Para más información sobre el control de acceso en Azure Data Lake Store Gen2, revise el artículo Control de acceso en Azure Data Lake Storage Gen2.

La Firma de acceso compartido (SAS) ofrece acceso delegado a los recursos de una cuenta de almacenamiento. Con SAS, un cliente puede conceder a los clientes acceso a los recursos de una cuenta de almacenamiento sin compartir las claves de la cuenta. SAS le ofrece un control detallado sobre el tipo de acceso que concede a los clientes que tienen una SAS, incluido el intervalo de validez, los permisos concedidos, el intervalo de direcciones IP aceptable y el protocolo aceptable (https/http).

Puede obtener un token de SAS dirigiéndose a Azure portal -> Cuenta de almacenamiento -> Firma de acceso compartido -> Configurar permisos -> Generar SAS y cadena de conexión.

Para habilitar el acceso mediante un token de SAS, debe crear una credencial con ámbito en la base de datos o con ámbito en el servidor.

Una entidad de servicio es la representación local de un objeto de aplicación global en un inquilino particular de Microsoft Entra. Este método de autenticación es apropiado en los casos en que el acceso al almacenamiento necesita ser autorizado para una aplicación de usuario, servicio o herramienta de automatización. Para obtener más información sobre las entidades de servicio en Microsoft Entra ID, consulte Objetos de aplicación y de entidad de servicio de Microsoft Entra ID.

La aplicación debe registrarse en Microsoft Entra ID. Para obtener más información sobre el proceso de registro, consulte Inicio rápido: Registro de una aplicación con la plataforma de identidad de Microsoft. Una vez registrada la aplicación, la entidad de servicio se puede usar para realizar la autorización.

La entidad de servicio debe asignarse a los roles Propietario de datos de Storage Blob, Colaborador de datos de Storage Blob y Lector de datos de Storage Blob para que la aplicación acceda a los datos. Incluso si la entidad de servicio es la propietaria de una cuenta de almacenamiento, todavía es necesario conceder un rol de datos del blob de almacenamiento adecuado. Como forma alternativa de conceder acceso a archivos de almacenamiento y carpetas, se pueden definir reglas de ACL específicas para la entidad de servicio.

Para más información sobre el control de acceso en Azure Data Lake Store Gen2, revise Control de acceso en Azure Data Lake Storage Gen2.

La Identidad de servicio administrada, o identidad administrada, también se conoce como MSI. Una MSI es una característica de Microsoft Entra ID que proporciona servicios de Azure a un servicio de Azure, en este caso, para el grupo de SQL sin servidor. La MSI se crea automáticamente en Microsoft Entra ID. Esta identidad se puede usar para autorizar la solicitud de acceso a los datos de Azure Storage.

Antes de acceder a los datos, el administrador de Azure Storage debe conceder permisos a la identidad de servicio administrada para acceder a los datos. La concesión de permisos a la MSI se realiza de la misma forma que la concesión de permisos a cualquier otro usuario de Microsoft Entra.

Puede tener acceso a los archivos disponibles públicamente ubicados en cuentas de almacenamiento de Azure que permitan el acceso anónimo.

Para acceder a un almacenamiento protegido por el firewall por medio de una identidad de usuario, puede usar Azure Portal o el módulo de PowerShell Az.Storage.

Configuración del firewall de Azure Storage a través de Azure Portal

1. Busque su cuenta de almacenamiento en Azure Portal.
2. En el menú de navegación principal, vaya a Redes en Configuración.
3. En la sección Instancias de recursos, agregue una excepción para el área de trabajo de Azure Synapse.
4. Seleccione Microsoft.Synapse/workspaces como un Tipo de recurso.
5. Seleccione el nombre del área de trabajo como un Nombre de instancia.
6. Seleccione Guardar.

Configuración del firewall de Azure Storage a través de PowerShell

Siga estos pasos para configurar la cuenta de almacenamiento y agregar una excepción para el área de trabajo de Azure Synapse.

1. Abra o instale PowerShell.

2. Instale las versiones más recientes de los módulos Az.Storage y Az.Synapse, por ejemplo en el siguiente script:

   Install-Module -Name Az.Storage -RequiredVersion 3.4.0
   Install-Module -Name Az.Synapse -RequiredVersion 0.7.0
   

   Importante

   Asegúrese de usar como mínimo la versión 3.4.0. Puede comprobar la versión de Az.Storage con este comando:

   Get-Module -ListAvailable -Name Az.Storage | Select Version
   

3. Conéctese a su inquilino de Azure:

   Connect-AzAccount
   

4. Defina las variables en PowerShell:

   • Nombre del grupo de recursos: puede encontrarlo en Azure Portal, en la Información general de la cuenta de almacenamiento.
   • Nombre de cuenta: nombre de la cuenta de almacenamiento que está protegida por reglas de firewall.
   • Id.de inquilino: puede encontrarlo en Azure Portal en Microsoft Entra ID, bajo Propiedades, en Propiedades del inquilino.
   • Nombre del área de trabajo: nombre del área de trabajo de Azure Synapse.

       $resourceGroupName = "<resource group name>"
       $accountName = "<storage account name>"
       $tenantId = "<tenant id>"
       $workspaceName = "<Azure Synapse workspace name>"
   
       $workspace = Get-AzSynapseWorkspace -Name $workspaceName
       $resourceId = $workspace.Id
       $index = $resourceId.IndexOf("/resourceGroups/", 0)
       # Replace G with g - /resourceGroups/ to /resourcegroups/
       $resourceId = $resourceId.Substring(0,$index) + "/resourcegroups/" ` 
           + $resourceId.Substring($index + "/resourceGroups/".Length)
   
       $resourceId
   

   Importante

   El valor del $resourceid devuelto por el script de PowerShell debe coincidir con esta plantilla: /subscriptions/{subscription-id}/resourcegroups/{resource-group}/providers/Microsoft.Synapse/workspaces/{name-of-workspace} Es importante escribir resourcegroups en minúsculas.

5. Agregue una regla de red de la cuenta de almacenamiento de Azure:

       $parameters = @{
           ResourceGroupName = $resourceGroupName
           Name = $accountName
           TenantId = $tenantId 
           ResourceId = $resourceId
       }
   
       Add-AzStorageAccountNetworkRule @parameters
   

6. Compruebe que la regla de red de la cuenta de almacenamiento se aplicó en el firewall de la cuenta de almacenamiento. El siguiente script de PowerShell compara la variable $resourceid de los pasos anteriores con la salida de la regla de red de la cuenta de almacenamiento.

       $parameters = @{
           ResourceGroupName = $resourceGroupName
           Name = $accountName
       }
   
       $rule = Get-AzStorageAccountNetworkRuleSet @parameters
       $rule.ResourceAccessRules | ForEach-Object { 
           if ($_.ResourceId -cmatch "\/subscriptions\/(\w\-*)+\/resourcegroups\/(.)+") { 
               Write-Host "Storage account network rule is successfully configured." -ForegroundColor Green
               $rule.ResourceAccessRules
           } else {
               Write-Host "Storage account network rule is not configured correctly. Remove this rule and follow the steps in detail." -ForegroundColor Red
               $rule.ResourceAccessRules
           }
       }
   

Las firmas de acceso compartido no se pueden usar para acceder al almacenamiento protegido por el firewall.

La entidad de servicio no se puede usar para acceder al almacenamiento protegido por firewall. Use una identidad de servicio administrada en su lugar.

Debe habilitar la configuración Permitir servicios de Microsoft de confianza y asignar un rol de Azure a la identidad administrada asignada por el sistema para esa instancia del recurso.

En este caso, el ámbito de acceso de la instancia de recurso corresponde al rol de Azure que se asigna a la identidad administrada.

No se puede acceder al almacenamiento protegido por el firewall mediante el acceso anónimo.

Los usuarios de Microsoft Entra pueden acceder a cualquier archivo de Azure Storage si son miembros del rol Propietario de datos de Storage Blob, Colaborador de datos de Storage Blob o Lector de datos de Storage Blob. Los usuarios de Microsoft Entra no necesitan credenciales para acceder al almacenamiento.

Los usuarios de SQL autenticados no pueden utilizar la autenticación de Microsoft Entra para acceder al almacenamiento. Pueden acceder al almacenamiento con una credencial de base de datos mediante identidad administrada, clave de SAS, entidad de servicio o si hay acceso público al almacenamiento.

El script siguiente crea una credencial de nivel de servidor que puede ser usada por la función OPENROWSET para tener acceso a cualquier archivo de Azure Storage mediante el token de SAS. Cree esta credencial para permitir que una entidad de seguridad de SQL use la función OPENROWSET para leer archivos protegidos con una clave de SAS en el almacenamiento de Azure. El nombre de la credencial debe coincidir con la URL.

En la siguiente consulta de ejemplo, remplace <mystorageaccountname> con el nombre de su cuenta de almacenamiento, y <mystorageaccountcontainername> con el nombre del contenedor:

CREATE CREDENTIAL [https://<mystorageaccountname>.dfs.core.windows.net/<mystorageaccountcontainername>]
WITH IDENTITY='SHARED ACCESS SIGNATURE'
, SECRET = 'sv=2018-03-28&ss=bfqt&srt=sco&sp=rwdlacup&se=2019-04-18T20:42:12Z&st=2019-04-18T12:42:12Z&spr=https&sig=lQHczNvrk1BrIPBNJ3VYEIq78%3D';
GO

Opcionalmente, puede usar solo la dirección URL base de la cuenta de almacenamiento, sin el nombre de contenedor.

El siguiente script crea una credencial de nivel de servidor que se puede usar para acceder a los archivos de un almacén mediante la entidad de servicio para la autenticación y autorización. AppID se puede encontrar si accede a los Registros de aplicaciones en Azure Portal y seleccionando la aplicación que solicita acceso al almacenamiento. El secreto se obtiene durante el registro de la aplicación. El valor AuthorityUrl es la dirección URL de la entidad de Microsoft Entra ID OAuth 2.0.

CREATE CREDENTIAL [https://<storage_account>.dfs.core.windows.net/<container>]
WITH IDENTITY = '<AppID>@<AuthorityUrl>' 
, SECRET = '<Secret>'

El siguiente script crea una credencial de nivel de servidor que puede ser usada por la función OPENROWSET para acceder a cualquier archivo de Azure Storage mediante la identidad administrada del área de trabajo de Azure Synapse, un tipo especial de identidad de servicio administrada.

CREATE CREDENTIAL [https://<storage_account>.dfs.core.windows.net/<container>]
WITH IDENTITY='Managed Identity'

Opcionalmente, puede usar solo la dirección URL base de la cuenta de almacenamiento, sin el nombre de contenedor.

La credencial de nivel de servidor no es necesaria para permitir el acceso a archivos disponibles públicamente. Cree un origen de datos sin credenciales para tener acceso a los archivos disponibles públicamente en Azure Storage.

Los usuarios de Microsoft Entra pueden acceder a cualquier archivo de Azure Storage si son miembros del rol Propietario de datos de Storage Blob, Colaborador de datos de Storage Blob o Lector de datos de Storage Blob. Los usuarios de Microsoft Entra no necesitan credenciales para acceder al almacenamiento.

CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>'
)

Los usuarios de SQL autenticados no pueden utilizar la autenticación de Microsoft Entra para acceder al almacenamiento. Pueden acceder al almacenamiento con una credencial de base de datos mediante identidad administrada, clave de SAS, entidad de servicio o si hay acceso público al almacenamiento.

El script siguiente crea una credencial que se usa para tener acceso a los archivos del almacenamiento mediante el token de SAS especificado en la credencial. El script crea un origen de datos externo de ejemplo que usa este token de SAS para acceder al almacenamiento.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>'
GO
CREATE DATABASE SCOPED CREDENTIAL [SasToken]
WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
     SECRET = 'sv=2018-03-28&ss=bfqt&srt=sco&sp=rwdlacup&se=2019-04-18T20:42:12Z&st=2019-04-18T12:42:12Z&spr=https&sig=lQHczNvrk1KEIq78%3D';
GO
CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = SasToken
)

El siguiente script crea una credencial con ámbito en una base de datos que se puede usar para acceder a los archivos de un almacén mediante la entidad de servicio para la autenticación y autorización. AppID se puede encontrar si accede a los Registros de aplicaciones en Azure Portal y seleccionando la aplicación que solicita acceso al almacenamiento. El secreto se obtiene durante el registro de la aplicación. El valor AuthorityUrl es la dirección URL de la entidad de Microsoft Entra ID OAuth 2.0.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>

CREATE DATABASE SCOPED CREDENTIAL [<CredentialName>] WITH
IDENTITY = '<AppID>@<AuthorityUrl>' 
, SECRET = '<Secret>'
GO
CREATE EXTERNAL DATA SOURCE MyDataSource
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = CredentialName
)

El script siguiente crea una credencial con ámbito en la base de datos que se puede usar para suplantar al usuario actual de Microsoft Entra como Identidad administrada del servicio. El script crea un origen de datos externo de ejemplo que usa la identidad del área de trabajo para acceder al almacenamiento.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>
CREATE DATABASE SCOPED CREDENTIAL SynapseIdentity
WITH IDENTITY = 'Managed Identity';
GO
CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = SynapseIdentity
)

No es necesario que la credencial con ámbito en la base de datos coincida con el nombre de la cuenta de almacenamiento porque se usará explícitamente en el ORIGEN DE DATOS que define la ubicación del almacenamiento.

La credencial con ámbito en la base de datos no es necesaria para permitir el acceso a archivos disponibles públicamente. Cree un origen de datos sin credenciales para tener acceso a los archivos disponibles públicamente en Azure Storage.

CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.blob.core.windows.net/<container>/<path>'
)