Controllare l'accesso agli account di archiviazione per il pool SQL serverless in Azure Synapse Analytics

Identità utente: nota anche come "pass-through di Microsoft Entra", è un tipo di autorizzazione in cui per concedere l'accesso ai dati viene usata l'identità dell'utente di Microsoft Entra che ha eseguito l'accesso al pool SQL serverless. Prima di accedere ai dati, l'amministratore di Archiviazione di Azure deve concedere le apposite autorizzazioni all'utente di Microsoft Entra. Come indicato nella tabella Tipi di autorizzazione supportati per gli utenti di database, non è supportata per il tipo di utente SQL.

L'utente deve essere membro del ruolo Proprietario dei dati dei BLOB di archiviazione, Collaboratore ai dati dei BLOB di archiviazione o Lettore dei dati dei BLOB di archiviazione per usare l'identità per accedere ai dati. In alternativa, è possibile specificare regole di controllo di accesso (ACL) con granularità fine per accedere a file e cartelle. Anche se si è proprietari di un account di archiviazione, è comunque necessario aggiungere se stessi in uno dei ruoli dei dati dei BLOB di archiviazione. Per altre informazioni sul controllo di accesso in Azure Data Lake Store Gen2, vedere l'articolo Controllo di accesso in Azure Data Lake Storage Gen2.

Firma di accesso condiviso: fornisce accesso delegato alle risorse in un account di archiviazione. Con una firma di accesso condiviso è possibile concedere ai client l'accesso alle risorse in un account di archiviazione, senza condividere le chiavi dell'account. La firma di accesso condiviso offre un controllo granulare sul tipo di accesso concesso ai client a cui viene assegnata, tra cui intervallo di validità, autorizzazioni concesse, intervallo di indirizzi IP accettabile e protocollo accettabile (HTTPS/HTTP).

Per ottenere un token di firma di accesso condiviso, passare a Portale di Azure -> Account di archiviazione -> Firma di accesso condiviso -> Configurazione autorizzazioni -> Genera firma di accesso condiviso e stringa di connessione.

Per abilitare l'accesso tramite il token di firma di accesso condiviso, è necessario creare una credenziale con ambito database o con ambito server

Un'entità servizio è la rappresentazione locale di un oggetto applicazione globale in un tenant Microsoft Entra specifico. Questo metodo di autenticazione è appropriato nei casi in cui occorre autorizzare l'accesso alle risorse di archiviazione per un'applicazione utente, un servizio o uno strumento di automazione. Per altre informazioni sulle entità servizio in Microsoft Entra ID, vedere Oggetti applicazione ed entità servizio in Microsoft Entra ID.

L'applicazione deve essere registrata in Microsoft Entra ID. Per altre informazioni sul processo di registrazione, vedere Avvio rapido: Registrare un'applicazione con Microsoft Identity Platform. Dopo la registrazione dell'applicazione, è possibile usare l'entità servizio per l'autorizzazione.

L'entità servizio deve essere assegnata ai ruoli Proprietario dei dati dei BLOB di archiviazione, Collaboratore ai dati dei BLOB di archiviazione e Lettore dei dati dei BLOB di archiviazione per consentire all'applicazione di accedere ai dati. Anche se l'entità servizio è il proprietario di un account di archiviazione, deve comunque esserle concesso un ruolo per i dati dei BLOB di archiviazione appropriato. Una soluzione alternativa per concedere l'accesso a file e cartelle di archiviazione prevede la definizione di regole di controllo di accesso (ACL) con granularità fine per l'entità servizio.

Per altre informazioni sul controllo di accesso in Azure Data Lake Store Gen2, vedere Controllo di accesso in Azure Data Lake Storage Gen2.

L'identità del servizio gestita è anche nota come identità gestita. Un'identità del servizio gestita è una funzionalità di Microsoft Entra ID che fornisce servizi di Azure a un servizio di Azure, in questo caso, per il pool SQL serverless. L'identità del servizio gestita viene creata automaticamente in Microsoft Entra ID. Questa identità può essere usata per autorizzare la richiesta di accesso ai dati in Archiviazione di Azure.

Prima di accedere ai dati, l'amministratore di Archiviazione di Azure deve concedere all'identità del servizio gestita le autorizzazioni per accedere ai dati. La concessione di autorizzazioni all'identità del servizio gestita avviene esattamente nello stesso modo in cui vengono concesse le autorizzazioni ad altri utenti di Microsoft Entra.

È possibile accedere ai file disponibili pubblicamente presenti negli account di archiviazione di Azure che consentono l'accesso anonimo.

Per accedere all'account di archiviazione protetto da firewall tramite l'identità utente, è possibile usare il portale di Azure o il modulo Az.Storage di PowerShell.

Configurazione del firewall di Archiviazione di Azure tramite il portale di Azure

1. Cercare l'account di archiviazione nel portale di Azure.
2. Nel menu di spostamento principale passare a Rete in Impostazioni.
3. Nella sezione Istanze della risorsa aggiungere un'eccezione per l'area di lavoro di Azure Synapse.
4. Selezionare Microsoft.Synapse/workspaces come Tipo di risorsa.
5. Selezionare il nome dell'area di lavoro come Nome istanza.
6. Seleziona Salva.

Configurazione del firewall di Archiviazione di Azure tramite PowerShell

Seguire questa procedura per configurare l'account di archiviazione e aggiungere un'eccezione per l'area di lavoro di Azure Synapse.

1. Aprire o installare PowerShell.

2. Installare le versioni più recenti del modulo Az.Storage e del modulo Az.Synapse, ad esempio nello script seguente:

   Install-Module -Name Az.Storage -RequiredVersion 3.4.0
   Install-Module -Name Az.Synapse -RequiredVersion 0.7.0
   

   Importante

   Assicurarsi di usare almeno la versione 3.4.0. È possibile verificare la versione di Az.Storage eseguendo questo comando:

   Get-Module -ListAvailable -Name Az.Storage | Select Version
   

3. Connettersi al tenant di Azure:

   Connect-AzAccount
   

4. Definire le variabili in PowerShell:

   • Nome del gruppo di risorse: è possibile trovarlo nel portale di Azure nella Panoramica dell'account di archiviazione.
   • Nome account: nome dell'account di archiviazione protetto dalle regole del firewall.
   • ID tenant: è possibile trovarlo nel portale di Azure in Microsoft Entra ID, in Proprietà, Proprietà tenant.
   • Nome area di lavoro: nome dell'area di lavoro di Azure Synapse.

       $resourceGroupName = "<resource group name>"
       $accountName = "<storage account name>"
       $tenantId = "<tenant id>"
       $workspaceName = "<Azure Synapse workspace name>"
   
       $workspace = Get-AzSynapseWorkspace -Name $workspaceName
       $resourceId = $workspace.Id
       $index = $resourceId.IndexOf("/resourceGroups/", 0)
       # Replace G with g - /resourceGroups/ to /resourcegroups/
       $resourceId = $resourceId.Substring(0,$index) + "/resourcegroups/" ` 
           + $resourceId.Substring($index + "/resourceGroups/".Length)
   
       $resourceId
   

   Importante

   Il valore di $resourceid restituito dallo script di PowerShell deve corrispondere a questo modello: /subscriptions/{subscription-id}/resourcegroups/{resource-group}/providers/Microsoft.Synapse/workspaces/{name-of-workspace} È importante scrivere resourcegroups in lettere minuscole.

5. Aggiungere una regola di rete dell'account di archiviazione di Azure:

       $parameters = @{
           ResourceGroupName = $resourceGroupName
           Name = $accountName
           TenantId = $tenantId 
           ResourceId = $resourceId
       }
   
       Add-AzStorageAccountNetworkRule @parameters
   

6. Verificare che la regola di rete dell'account di archiviazione sia stata applicata nel firewall dell'account di archiviazione. Lo script di PowerShell seguente confronta la variabile $resourceid dei passaggi precedenti con l'output della regola di rete dell'account di archiviazione.

       $parameters = @{
           ResourceGroupName = $resourceGroupName
           Name = $accountName
       }
   
       $rule = Get-AzStorageAccountNetworkRuleSet @parameters
       $rule.ResourceAccessRules | ForEach-Object { 
           if ($_.ResourceId -cmatch "\/subscriptions\/(\w\-*)+\/resourcegroups\/(.)+") { 
               Write-Host "Storage account network rule is successfully configured." -ForegroundColor Green
               $rule.ResourceAccessRules
           } else {
               Write-Host "Storage account network rule is not configured correctly. Remove this rule and follow the steps in detail." -ForegroundColor Red
               $rule.ResourceAccessRules
           }
       }
   

Non è possibile usare le firme di accesso condiviso per accedere all'archiviazione protetta dal firewall.

Non è possibile usare l'entità servizio per accedere all'archiviazione protetta dal firewall. Usare invece un'identità del servizio gestita.

È necessario abilitare l'impostazione Consenti servizi Microsoft attendibili e assegnare un ruolo di Azure all'identità gestita assegnata dal sistema per tale istanza della risorsa.

In questo caso l'ambito di accesso dell'istanza della risorsa corrisponde al ruolo di Azure assegnato all'identità gestita.

Non è possibile accedere all'archiviazione protetta dal firewall usando l'accesso anonimo.

Gli utenti di Microsoft Entra possono accedere a qualsiasi file nell'archiviazione di Azure se sono membri del ruolo Proprietario dei dati dei BLOB di archiviazione, Collaboratore ai dati dei BLOB di archiviazione o Lettore dei dati dei BLOB di archiviazione. Gli utenti di Microsoft Entra non necessitano di credenziali per accedere alle risorse di archiviazione.

Gli utenti che hanno eseguito l'autenticazione di SQL non possono usare l'autenticazione di Microsoft Entra per accedere all'archiviazione. Possono accedere all'archiviazione tramite credenziali del database usando un'identità gestita, una chiave di firma di accesso condiviso, un'entità servizio o se è disponibile l'accesso pubblico alla risorsa di archiviazione.

Lo script seguente crea credenziali a livello di server che possono essere usate dalla funzione OPENROWSET per accedere a qualsiasi file in Archiviazione di Azure tramite il token di firma di accesso condiviso. Creare queste credenziali per abilitare l'entità di sicurezza SQL per l'utilizzo della funzione OPENROWSET per eseguire la lettura di file protetti con la chiave di firma di accesso condiviso in Archiviazione di Azure. Il nome delle credenziali deve corrispondere all'URL.

Nella query di esempio seguente sostituire <mystorageaccountname> con il nome effettivo dell'account di archiviazione e <mystorageaccountcontainername> con il nome effettivo del contenitore:

CREATE CREDENTIAL [https://<mystorageaccountname>.dfs.core.windows.net/<mystorageaccountcontainername>]
WITH IDENTITY='SHARED ACCESS SIGNATURE'
, SECRET = 'sv=2018-03-28&ss=bfqt&srt=sco&sp=rwdlacup&se=2019-04-18T20:42:12Z&st=2019-04-18T12:42:12Z&spr=https&sig=lQHczNvrk1BrIPBNJ3VYEIq78%3D';
GO

Facoltativamente, è possibile usare solo l'URL di base dell'account di archiviazione, senza il nome del contenitore.

Lo script seguente crea credenziali a livello di server che possono essere usate per accedere ai file in una risorsa di archiviazione usando l'entità servizio per l'autenticazione e l'autorizzazione. Per trovare il valore di AppID, vedere Registrazioni app nel portale di Azure e selezionare l'pp che richiede l'accesso alle risorse di archiviazione. Il valore di Secret viene ottenuto durante la registrazione dell'app. AuthorityUrl è l'URL dell'autorità Oauth2.0 di Microsoft Entra ID.

CREATE CREDENTIAL [https://<storage_account>.dfs.core.windows.net/<container>]
WITH IDENTITY = '<AppID>@<AuthorityUrl>' 
, SECRET = '<Secret>'

Lo script seguente crea credenziali a livello di server che possono essere usate dalla funzione OPENROWSET per accedere a qualsiasi file in Archiviazione di Azure con l'identità gestita dell'area di lavoro.

CREATE CREDENTIAL [https://<storage_account>.dfs.core.windows.net/<container>]
WITH IDENTITY='Managed Identity'

Facoltativamente, è possibile usare solo l'URL di base dell'account di archiviazione, senza il nome del contenitore.

Le credenziali a livello di server non sono necessarie per consentire l'accesso a file disponibili pubblicamente. Creare un'origine dati senza credenziali per accedere ai file disponibili pubblicamente in Archiviazione di Azure.

Gli utenti di Microsoft Entra possono accedere a qualsiasi file nell'archiviazione di Azure se sono membri dei ruoli Proprietario dei dati dei BLOB di archiviazione, Collaboratore ai dati dei BLOB di archiviazione o Lettore dei dati dei BLOB di archiviazione. Gli utenti di Microsoft Entra non necessitano di credenziali per accedere alle risorse di archiviazione.

CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>'
)

Gli utenti che hanno eseguito l'autenticazione di SQL non possono usare l'autenticazione di Microsoft Entra per accedere all'archiviazione. Possono accedere all'archiviazione tramite credenziali del database usando un'identità gestita, una chiave di firma di accesso condiviso, un'entità servizio o se è disponibile l'accesso pubblico alla risorsa di archiviazione.

Lo script seguente crea una credenziale usata per accedere ai file nell'archivio tramite il token di firma di accesso condiviso specificato nella credenziale. Lo script crea un'origine dati esterna di esempio che usa questo token di firma di accesso condiviso per accedere alla risorsa di archiviazione.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>'
GO
CREATE DATABASE SCOPED CREDENTIAL [SasToken]
WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
     SECRET = 'sv=2018-03-28&ss=bfqt&srt=sco&sp=rwdlacup&se=2019-04-18T20:42:12Z&st=2019-04-18T12:42:12Z&spr=https&sig=lQHczNvrk1KEIq78%3D';
GO
CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = SasToken
)

Lo script seguente crea credenziali con ambito database che possono essere usate per accedere ai file in una risorsa di archiviazione usando l'entità servizio per l'autenticazione e l'autorizzazione. Per trovare il valore di AppID, vedere Registrazioni app nel portale di Azure e selezionare l'pp che richiede l'accesso alle risorse di archiviazione. Il valore di Secret viene ottenuto durante la registrazione dell'app. AuthorityUrl è l'URL dell'autorità Oauth2.0 di Microsoft Entra ID.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>

CREATE DATABASE SCOPED CREDENTIAL [<CredentialName>] WITH
IDENTITY = '<AppID>@<AuthorityUrl>' 
, SECRET = '<Secret>'
GO
CREATE EXTERNAL DATA SOURCE MyDataSource
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = CredentialName
)

Lo script seguente crea credenziali con ambito database che possono essere usate per una rappresentazione dell'utente di Microsoft Entra corrente come identità gestita del servizio. Lo script crea un'origine dati esterna di esempio che usa l'identità dell'area di lavoro per accedere alla risorsa di archiviazione.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>
CREATE DATABASE SCOPED CREDENTIAL SynapseIdentity
WITH IDENTITY = 'Managed Identity';
GO
CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = SynapseIdentity
)

Le credenziali con ambito database non devono corrispondere al nome dell'account di archiviazione perché verranno usate in modo esplicito nell'origine dati che definisce il percorso di archiviazione.

Le credenziali con ambito database non sono necessarie per consentire l'accesso a file disponibili pubblicamente. Creare un'origine dati senza credenziali per accedere ai file disponibili pubblicamente in Archiviazione di Azure.

CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.blob.core.windows.net/<container>/<path>'
)