Проверка подлинности Microsoft Entra в качестве альтернативы проверке подлинности SQL

Область применения:✅ конечная точка аналитики SQL и хранилище в Microsoft Fabric

В этой статье рассматриваются технические методы, которые пользователи и клиенты могут использовать для перехода с проверки подлинности SQL на проверку подлинности Microsoft Entra в Microsoft Fabric. Проверка подлинности Microsoft Entra — это альтернатива имени пользователя и паролям с помощью проверки подлинности SQL для входа в конечную точку аналитики SQL lakehouse или хранилища в Microsoft Fabric. Проверка подлинности Microsoft Entra рекомендуется и жизненно важна для создания безопасной платформы данных.

В этой статье рассматривается проверка подлинности Microsoft Entra в качестве альтернативы проверке подлинности SQL в элементах Microsoft Fabric, таких как конечная точка аналитики Хранилища или Lakehouse SQL.

Преимущества проверки подлинности Microsoft Entra в Fabric

Одним из основных принципов Microsoft Fabric является защита путем разработки. Microsoft Entra является неотъемлемой частью безопасности Microsoft Fabric, обеспечивая надежную защиту данных, управление и соответствие требованиям.

Microsoft Entra играет важную роль в безопасности Microsoft Fabric по нескольким причинам:

• Проверка подлинности. Проверка пользователей и субъектов-служб с помощью идентификатора Microsoft Entra, который предоставляет маркеры доступа для операций в Fabric.
• Безопасный доступ. Безопасное подключение к облачным приложениям с любого устройства или сети, защита запросов, сделанных в Fabric.
• Условный доступ: администраторы могут задавать политики, которые оценивают контекст входа пользователя, управляют доступом или применяют дополнительные действия проверки.
• Интеграция: идентификатор Microsoft Entra ID легко работает со всеми предложениями Microsoft SaaS, включая Fabric, что обеспечивает простой доступ к устройствам и сетям.
• Широкая платформа: получение доступа к Microsoft Fabric с помощью идентификатора Microsoft Entra с помощью любого метода, будь то через портал Fabric, SQL строка подключения, REST API или конечную точку XMLA.

Microsoft Entra принимает полную политику нулевого доверия, предлагая превосходную альтернативу традиционной проверке подлинности SQL, ограниченной именами пользователей и паролями. Особенности этого подхода:

• Запрещает олицетворение пользователей.
• Обеспечивает точное управление доступом с учетом удостоверения пользователя, среды, устройств и т. д.
• Поддерживает расширенную безопасность, например многофакторную проверку подлинности Microsoft Entra.

Конфигурация Структуры

Проверка подлинности Microsoft Entra для использования с конечной точкой аналитики Хранилища или Lakehouse SQL требует настройки как в параметрах клиента, так и в рабочей области.

Параметр клиента

Администратор Fabric в клиенте должен разрешить доступ к API-интерфейсам Структуры, необходимым для интерфейса имени субъекта-службы для sql строка подключения с элементами конечной точки хранилища Fabric или аналитики SQL.

Этот параметр находится в разделе параметров разработчика, а субъекты-службы с метками ios могут использовать API Fabric. Убедитесь, что он включен.

Параметр рабочей области

Администратор Fabric в рабочей области должен предоставить доступ пользователю или имени участника-службы для доступа к элементам Fabric.

Существует два средства, с помощью которых пользователь или имя участника-службы можно предоставить доступ:

• Предоставьте пользователю или участнику субъекта-службы членство в роли участника рабочей области. Роль участника рабочей области позволяет удостоверению пользователя или субъекта-службы получить доступ ко всем элементам Fabric через строка подключения SQL.

  1. В разделе "Управление доступом" в рабочей области назначьте роль участника. Дополнительные сведения см. в разделе "Роли службы".

  

• Назначьте пользователю или имени субъекта-службы определенному элементу: предоставьте доступ к определенной конечной точке хранилища или аналитики SQL. Администратор Fabric может выбрать разные уровни разрешений.

  1. Перейдите к соответствующему элементу конечной точки хранилища или аналитики SQL.
  2. Выберите "Дополнительные параметры" и "Управление разрешениями". Выберите Добавить пользователя.
  3. Добавьте имя пользователя или участника-службы на страницу предоставления доступа пользователям.
  4. Назначьте необходимые разрешения пользователю или имени участника-службы. Выберите дополнительные разрешения только для предоставления разрешений на подключение.

  

Вы можете изменить разрешения по умолчанию, предоставленные пользователю или имени участника-службы системой. Используйте команды T-SQL GRANT и DENY , чтобы изменить разрешения по мере необходимости или ALTER ROLE , чтобы добавить членство в роли.

В настоящее время имена субъектов-служб не имеют возможности в качестве учетных записей пользователей для подробной настройки разрешений.GRANT/DENY

Поддержка удостоверений пользователей и имен субъектов-служб (SPN)

Структура изначально поддерживает проверку подлинности и авторизацию для пользователей Microsoft Entra и имен субъектов-служб (SPN) в подключениях SQL к элементам конечной точки хранилища и аналитики SQL.

• Удостоверения пользователей — это уникальные учетные данные для каждого пользователя в организации.
• Имена субъектов-служб представляют объекты приложений в клиенте и действуют в качестве удостоверения для экземпляров приложений, принимая на себя роль проверки подлинности и авторизации этих приложений.

Поддержка табличного потока данных (TDS)

Структура изначально поддерживает протокол табличного потока данных (TDS), также известный как sql строка подключения. Поэтому Структура совместима с любым приложением или инструментом, способным подключаться к продукту с помощью модуля База данных SQL. Как и подключение к экземпляру SQL Server, TDS работает с TCP-портом 1433. Дополнительные сведения о подключении к SQL Fabric см. в разделе "Подключение".

Чтобы получить строка подключения, выберите дополнительные параметры в хранилище Fabric или элемент конечной точки аналитики SQL.

Пример SQL строка подключения выглядит следующим образом: <guid_unique_your_item>.datawarehouse.fabric.microsoft.com

Приложения и клиентские средства могут задать Authentication свойство подключения в строка подключения, чтобы выбрать режим проверки подлинности Microsoft Entra. В следующей таблице описаны различные режимы проверки подлинности Entra, включая поддержку многофакторной проверки подлинности (MFA) Microsoft Entra.

Поддержка драйверов для проверки подлинности Microsoft Entra

Хотя большинство драйверов SQL изначально пришли с поддержкой проверки подлинности Microsoft Entra, последние обновления расширили совместимость, чтобы включить проверку подлинности на основе имени участника-службы. Это улучшение упрощает переход на проверку подлинности Microsoft Entra для различных приложений и инструментов с помощью обновлений драйверов и добавления поддержки проверки подлинности Microsoft Entra.

Однако иногда необходимо настроить дополнительные параметры, такие как включение определенных портов или брандмауэров для упрощения проверки подлинности Microsoft Entra на хост-компьютере.

Приложения и средства должны обновлять драйверы до версий, поддерживающих проверку подлинности Entra, и добавлять ключевое слово режима проверки подлинности в строка подключения SQL, например ActiveDirectoryInteractiveActiveDirectoryServicePrincipal, или ActiveDirectoryPassword.

Структура совместима с собственными драйверами Майкрософт, включая OLE DB, Microsoft.Data.SqlClientи универсальные драйверы, такие как ODBC и JDBC. Переход для приложений, работающих с Fabric, можно управлять с помощью перенастройки для использования проверки подлинности на основе идентификатора Microsoft Entra.

Дополнительные сведения см. в разделе "Подключение к хранилищу данных" в Microsoft Fabric.

OLE DB (Майкрософт)

Драйвер OLE DB для SQL Server — это автономный API доступа к данным, разработанный для OLE DB и первый выпуск с SQL Server 2005 (9.x). Так как расширенные функции включают проверку подлинности на основе имени участника-службы с версией 18.5.0, добавив к существующим методам проверки подлинности из предыдущих версий.

Фрагмент кода C# с помощью OLE DB с проверкой подлинности на основе spN см. в System.Data.OLEDB.Connect.cs.

Драйвер ODBC Microsoft.

Драйвер Microsoft ODBC для SQL Server — это одна библиотека динамической компоновки (DLL), содержащая поддержку времени выполнения для приложений, использующих API машинного кода для подключения к SQL Server. Рекомендуется использовать последнюю версию для приложений для интеграции с Fabric.

Дополнительные сведения о проверке подлинности Microsoft Entra с помощью ODBC см. в статье Об использовании идентификатора Microsoft Entra с примером кода драйвера ODBC.

Фрагмент кода Python с помощью ODBC с проверкой подлинности на основе субъекта-службы см. в pyodbc-dw-connectivity.py.

Драйвер Microsoft JDBC

Драйвер Microsoft JDBC для SQL Server — это драйвер JDBC типа 4, который обеспечивает подключение к базе данных через стандартные интерфейсы программ приложений JDBC (API), доступные на платформе Java.

Начиная с версии 9.2, mssql-jdbc предоставляет поддержку ActiveDirectoryInteractive и ActiveDirectoryServicePrincipalActiveDirectoryPassword поддерживается в версиях 12.2 и выше. Для этого драйвера требуются дополнительные jar-файлы в качестве зависимостей, которые должны быть совместимы с версией используемой mssql-driver в приложении. Дополнительные сведения см. в разделе "Зависимости компонентов" драйвера JDBC и требования к настройке клиента.

Фрагмент кода java с помощью JDBC с проверкой подлинности на основе имени субъекта-службы см. в разделе fabrictoolbox/dw_connect.java и пример файла pom pom.xml.

Microsoft.Data.SqlClient в .NET Core (C#)

Microsoft.Data.SqlClient — это поставщик данных для Microsoft SQL Server и База данных SQL Azure. Это объединение двух System.Data.SqlClient компонентов, которые живут независимо в платформа .NET Framework и .NET Core, предоставляя набор классов для доступа к базам данных Microsoft SQL Server. Microsoft.Data.SqlClient рекомендуется для всех новых и будущих разработок.

Фрагменты кода с помощью субъектов-служб:

• Microsoft.Data.SqlClient.Connect.cs
• System.Data.SqlClient.Connect.cs

Связанный контент

• Подключение
• Безопасность хранения данных в Microsoft Fabric