Azure Synapse Analytics'te sunucusuz SQL havuzu için depolama hesabı erişimini denetleme

"Microsoft Entra geçişi" olarak da bilinen kullanıcı kimliği, sunucusuz SQL havuzunda oturum açan Microsoft Entra kullanıcısının kimliğinin veri erişimini yetkilendirmek için kullanıldığı bir yetkilendirme türüdür. Verilere erişmeden önce Azure Depolama yöneticisinin Microsoft Entra kullanıcısına izin vermesi gerekir. Veritabanı kullanıcıları için desteklenen yetkilendirme türleri tablosunda belirtildiği gibi, SQL kullanıcı türü için desteklenmez.

Verilere erişmek için kimliğinizi kullanmak için Depolama Blob Veri Sahibi, blob veri katkıda bulunanı Depolama veya blob veri okuyucusu rolünün Depolama üyesi olmanız gerekir. Alternatif olarak, dosya ve klasörlere erişmek için ayrıntılı ACL kuralları belirtebilirsiniz. bir Depolama Hesabının Sahibi olsanız bile, Depolama Blob Verileri rollerinden birine kendinizi eklemeniz gerekir. Azure Data Lake Store 2. Nesil'de erişim denetimi hakkında daha fazla bilgi edinmek için Azure Data Lake Storage 2. Nesil erişim denetimi makalesini gözden geçirin.

Paylaşılan erişim imzası (SAS), depolama hesabındaki kaynaklara temsilci erişimi sağlar. SAS ile müşteri, hesap anahtarlarını paylaşmadan istemcilere depolama hesabındaki kaynaklara erişim izni verebilir. SAS, SAS'ye sahip istemcilere sağladığınız erişim türü üzerinde, geçerlilik aralığı, verilen izinler, kabul edilebilir IP adresi aralığı ve kabul edilebilir protokol (https/http) gibi ayrıntılı denetim sağlar.

Azure portalına giderek SAS belirteci alabilirsiniz -> Depolama Hesabı -> Paylaşılan erişim imzası -> İzinleri yapılandırma -> SAS ve bağlantı dizesi oluşturma.

SAS belirteci kullanarak erişimi etkinleştirmek için veritabanı kapsamlı veya sunucu kapsamlı kimlik bilgileri oluşturmanız gerekir

Hizmet sorumlusu, belirli bir Microsoft Entra kiracısında genel uygulama nesnesinin yerel gösterimidir. Bu kimlik doğrulama yöntemi, depolama erişiminin bir kullanıcı uygulaması, hizmet veya otomasyon aracı için yetkilendirileceği durumlarda uygundur. Microsoft Entra Id'deki hizmet sorumluları hakkında daha fazla bilgi için bkz . Microsoft Entra Id'de uygulama ve hizmet sorumlusu nesneleri.

Uygulamanın Microsoft Entra Id'ye kaydedilmesi gerekir. Kayıt işlemi hakkında daha fazla bilgi için Hızlı Başlangıç: uygulamayı Microsoft kimlik platformu kaydetme'yi izleyin. Uygulama kaydedildikten sonra, hizmet sorumlusu yetkilendirme için kullanılabilir.

Uygulamanın verilere erişebilmesi için hizmet sorumlusu Depolama Blob Veri Sahibine, Blob Veri Katkıda Bulunanı Depolama ve Blob Veri Okuyucusu rollerini Depolama atanmalıdır. Hizmet sorumlusu bir depolama hesabının Sahibi olsa bile, buna uygun bir Depolama Blob Verileri rolü verilmesi gerekir. Depolama dosyalarına ve klasörlerine erişim vermenin alternatif bir yolu olarak, hizmet sorumlusu için ayrıntılı ACL kuralları tanımlanabilir.

Azure Data Lake Store 2. Nesil'de erişim denetimi hakkında daha fazla bilgi edinmek için Azure Data Lake Storage 2. Nesil'da Erişim denetimi'ni gözden geçirin.

Yönetilen hizmet kimliği veya yönetilen kimlik, MSI olarak da bilinir. MSI, sunucusuz SQL havuzunuz için bir Azure hizmetine Azure hizmetleri sağlayan bir Microsoft Entra Id özelliğidir. MSI, Microsoft Entra Id'de otomatik olarak oluşturulur. Bu kimlik, Azure Depolama'de veri erişimi isteğini yetkilendirmek için kullanılabilir.

Verilere erişmeden önce Azure Depolama yöneticisinin verilere erişmek için yönetilen hizmet kimliğine izin vermesi gerekir. MSI'ye izin verme işlemi, diğer Microsoft Entra kullanıcılarına izin vermekle aynı şekilde yapılır.

Anonim erişime izin veren Azure depolama hesaplarına yerleştirilen genel kullanıma açık dosyalara erişebilirsiniz.

Güvenlik duvarıyla korunan depolamaya bir kullanıcı kimliği aracılığıyla erişmek için Azure portalını veya Az.Depolama PowerShell modülünü kullanabilirsiniz.

Azure portal aracılığıyla Azure Depolama güvenlik duvarı yapılandırması

1. Azure portalında Depolama Hesabınızı arayın.
2. Ana gezinti menüsünde Ayarlar altındaki Ağ'a gidin.
3. Kaynak örnekleri bölümünde Azure Synapse çalışma alanınız için bir özel durum ekleyin.
4. Kaynak türü olarak seçinMicrosoft.Synapse/workspaces.
5. Örnek adı olarak çalışma alanınızın adını seçin.
6. Kaydet'i seçin.

PowerShell aracılığıyla Azure Depolama güvenlik duvarı yapılandırması

Depolama hesabınızı yapılandırmak ve Azure Synapse çalışma alanı için özel durum eklemek için bu adımları izleyin.

1. PowerShell'i açın veya PowerShell'i yükleyin.

2. Az.Depolama modülünün ve Az.Synapse modülünün en son sürümlerini, örneğin aşağıdaki betikte yükleyin:

   Install-Module -Name Az.Storage -RequiredVersion 3.4.0
   Install-Module -Name Az.Synapse -RequiredVersion 0.7.0
   

   Önemli

   En az 3.4.0 sürümünü kullandığınızdan emin olun. Şu komutu çalıştırarak Az.Depolama sürümünüzü de kontrol edebilirsiniz:

   Get-Module -ListAvailable -Name Az.Storage | Select Version
   

3. Azure Kiracınıza Bağlan:

   Connect-AzAccount
   

4. PowerShell'de değişkenleri tanımlama:

   • Kaynak grubu adı : Bunu Azure portalında depolama hesabınıza genel bakış bölümünde bulabilirsiniz.
   • Hesap Adı - Güvenlik duvarı kurallarıyla korunan depolama hesabının adı.
   • Kiracı Kimliği - Bunu Azure portalında, Microsoft Entra Id'de, Özellikler'in altında, Kiracı özellikleri'nde bulabilirsiniz.
   • Çalışma Alanı Adı - Azure Synapse çalışma alanının adı.

       $resourceGroupName = "<resource group name>"
       $accountName = "<storage account name>"
       $tenantId = "<tenant id>"
       $workspaceName = "<Azure Synapse workspace name>"
   
       $workspace = Get-AzSynapseWorkspace -Name $workspaceName
       $resourceId = $workspace.Id
       $index = $resourceId.IndexOf("/resourceGroups/", 0)
       # Replace G with g - /resourceGroups/ to /resourcegroups/
       $resourceId = $resourceId.Substring(0,$index) + "/resourcegroups/" ` 
           + $resourceId.Substring($index + "/resourceGroups/".Length)
   
       $resourceId
   

   Önemli

   PowerShell betiği tarafından döndürülen değerinin $resourceid şu şablonla eşleşmesi gerekir: /subscriptions/{subscription-id}/resourcegroups/{resource-group}/providers/Microsoft.Synapse/workspaces/{name-of-workspace}Kaynak gruplarını küçük harfle yazmak önemlidir.

5. Azure depolama hesabı ağ kuralı ekleyin:

       $parameters = @{
           ResourceGroupName = $resourceGroupName
           Name = $accountName
           TenantId = $tenantId 
           ResourceId = $resourceId
       }
   
       Add-AzStorageAccountNetworkRule @parameters
   

6. Depolama hesabı güvenlik duvarınıza depolama hesabı ağ kuralının uygulandığını doğrulayın. Aşağıdaki PowerShell betiği, önceki adımlardan $resourceid gelen değişkeni depolama hesabı ağ kuralının çıkışıyla karşılaştırır.

       $parameters = @{
           ResourceGroupName = $resourceGroupName
           Name = $accountName
       }
   
       $rule = Get-AzStorageAccountNetworkRuleSet @parameters
       $rule.ResourceAccessRules | ForEach-Object { 
           if ($_.ResourceId -cmatch "\/subscriptions\/(\w\-*)+\/resourcegroups\/(.)+") { 
               Write-Host "Storage account network rule is successfully configured." -ForegroundColor Green
               $rule.ResourceAccessRules
           } else {
               Write-Host "Storage account network rule is not configured correctly. Remove this rule and follow the steps in detail." -ForegroundColor Red
               $rule.ResourceAccessRules
           }
       }
   

Paylaşılan erişim imzaları güvenlik duvarı korumalı depolamaya erişmek için kullanılamaz.

Hizmet sorumlusu güvenlik duvarı korumalı depolamaya erişmek için kullanılamaz. Bunun yerine yönetilen hizmet kimliği kullanın.

Güvenilen Microsoft hizmetleri izin ver ayarını etkinleştirmeniz ve bu kaynak örneği için sistem tarafından atanan yönetilen kimliğe bir Azure rolü atamanız gerekir.

Bu durumda, kaynak örneğinin erişim kapsamı yönetilen kimliğe atanan Azure rolüne karşılık gelir.

Anonim erişim kullanarak güvenlik duvarı korumalı depolamaya erişemezsiniz.

Microsoft Entra kullanıcıları, Depolama Blob Veri Sahibi, Depolama Blob Veri Katkıda Bulunanı veya Depolama Blob Veri Okuyucusu rolünün üyesi olmaları durumunda Azure depolamadaki tüm dosyalara erişebilir. Microsoft Entra kullanıcılarının depolamaya erişmek için kimlik bilgilerine ihtiyacı yoktur.

SQL kimliği doğrulanmış kullanıcılar depolama alanına erişmek için Microsoft Entra kimlik doğrulamasını kullanamaz. Yönetilen Kimlik, SAS Anahtarı, Hizmet Sorumlusu kullanarak veya depolamaya genel erişim varsa, bir veritabanı kimlik bilgileri aracılığıyla depolamaya erişebilirler.

Aşağıdaki betik, SAS belirtecini kullanarak Azure depolamadaki OPENROWSET herhangi bir dosyaya erişmek için işlev tarafından kullanılabilecek sunucu düzeyinde bir kimlik bilgisi oluşturur. Bir SQL sorumlusunun OPENROWSET azure depolamada SAS anahtarıyla korunan dosyaları okumak için işlevini kullanmasını sağlamak için bu kimlik bilgilerini oluşturun. Kimlik bilgisi adı URL ile eşleşmelidir.

Aşağıdaki örnek sorguda değerini gerçek depolama hesabınızın adıyla ve <mystorageaccountcontainername> gerçek kapsayıcı adıyla değiştirin<mystorageaccountname>:

CREATE CREDENTIAL [https://<mystorageaccountname>.dfs.core.windows.net/<mystorageaccountcontainername>]
WITH IDENTITY='SHARED ACCESS SIGNATURE'
, SECRET = 'sv=2018-03-28&ss=bfqt&srt=sco&sp=rwdlacup&se=2019-04-18T20:42:12Z&st=2019-04-18T12:42:12Z&spr=https&sig=lQHczNvrk1BrIPBNJ3VYEIq78%3D';
GO

İsteğe bağlı olarak, kapsayıcı adı olmadan yalnızca depolama hesabının temel URL'sini kullanabilirsiniz.

Aşağıdaki betik, kimlik doğrulaması ve yetkilendirme için Hizmet sorumlusu kullanılarak depolamadaki dosyalara erişmek için kullanılabilecek sunucu düzeyinde bir kimlik bilgisi oluşturur. AppID, Azure portalında Uygulama kayıtları ziyaret ederek ve depolama erişimi isteyen Uygulama'yı seçerek bulunabilir. Gizli dizi, Uygulama kaydı sırasında elde edilir. AuthorityUrl , Microsoft Entra Id Oauth2.0 yetkilisinin URL'sidir.

CREATE CREDENTIAL [https://<storage_account>.dfs.core.windows.net/<container>]
WITH IDENTITY = '<AppID>@<AuthorityUrl>' 
, SECRET = '<Secret>'

Aşağıdaki betik, özel bir yönetilen hizmet kimliği türü olan Azure Synapse çalışma alanı yönetilen kimliğini kullanarak Azure depolamadaki herhangi bir dosyaya erişmek için işlev tarafından OPENROWSET kullanılabilecek sunucu düzeyinde bir kimlik bilgisi oluşturur.

CREATE CREDENTIAL [https://<storage_account>.dfs.core.windows.net/<container>]
WITH IDENTITY='Managed Identity'

İsteğe bağlı olarak, kapsayıcı adı olmadan yalnızca depolama hesabının temel URL'sini kullanabilirsiniz.

Genel kullanıma açık dosyalara erişime izin vermek için sunucu düzeyinde kimlik bilgileri gerekli değildir. Azure depolamada genel kullanıma açık dosyalara erişmek için kimlik bilgileri olmadan veri kaynağı oluşturun.

Microsoft Entra kullanıcıları Depolama Blob Veri Sahibi, Depolama Blob Veri Katkıda Bulunanı veya Depolama Blob Veri Okuyucusu rollerinin üyesi olmaları durumunda Azure depolamadaki herhangi bir dosyaya erişebilir. Microsoft Entra kullanıcılarının depolamaya erişmek için kimlik bilgilerine ihtiyacı yoktur.

CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>'
)

SQL kimliği doğrulanmış kullanıcılar depolama alanına erişmek için Microsoft Entra kimlik doğrulamasını kullanamaz. Yönetilen Kimlik, SAS Anahtarı, Hizmet Sorumlusu kullanarak veya depolamaya genel erişim varsa, bir veritabanı kimlik bilgileri aracılığıyla depolamaya erişebilirler.

Aşağıdaki betik, kimlik bilgisinde belirtilen SAS belirtecini kullanarak depolamadaki dosyalara erişmek için kullanılan bir kimlik bilgisi oluşturur. Betik, depolamaya erişmek için bu SAS belirtecini kullanan örnek bir dış veri kaynağı oluşturur.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>'
GO
CREATE DATABASE SCOPED CREDENTIAL [SasToken]
WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
     SECRET = 'sv=2018-03-28&ss=bfqt&srt=sco&sp=rwdlacup&se=2019-04-18T20:42:12Z&st=2019-04-18T12:42:12Z&spr=https&sig=lQHczNvrk1KEIq78%3D';
GO
CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = SasToken
)

Aşağıdaki betik, kimlik doğrulaması ve yetkilendirme için hizmet sorumlusu kullanılarak depolamadaki dosyalara erişmek için kullanılabilecek veritabanı kapsamlı bir kimlik bilgisi oluşturur. AppID, Azure portalında Uygulama kayıtları ziyaret ederek ve depolama erişimi isteyen Uygulama'yı seçerek bulunabilir. Gizli dizi, Uygulama kaydı sırasında elde edilir. AuthorityUrl , Microsoft Entra Id Oauth2.0 yetkilisinin URL'sidir.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>

CREATE DATABASE SCOPED CREDENTIAL [<CredentialName>] WITH
IDENTITY = '<AppID>@<AuthorityUrl>' 
, SECRET = '<Secret>'
GO
CREATE EXTERNAL DATA SOURCE MyDataSource
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = CredentialName
)

Aşağıdaki betik, geçerli Microsoft Entra kullanıcısını Yönetilen Hizmet Kimliği olarak taklit etmek için kullanılabilecek veritabanı kapsamlı bir kimlik bilgisi oluşturur. Betik, depolama alanına erişmek için çalışma alanı kimliğini kullanan örnek bir dış veri kaynağı oluşturur.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>
CREATE DATABASE SCOPED CREDENTIAL SynapseIdentity
WITH IDENTITY = 'Managed Identity';
GO
CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = SynapseIdentity
)

Veritabanı kapsamlı kimlik bilgilerinin depolama hesabının adıyla eşleşmesi gerekmez çünkü depolamanın konumunu tanımlayan VERİ KAYNAKI'nda açıkça kullanılır.

Genel kullanıma açık dosyalara erişime izin vermek için veritabanı kapsamlı kimlik bilgileri gerekli değildir. Azure depolamada genel kullanıma açık dosyalara erişmek için kimlik bilgileri olmadan bir veri kaynağı oluşturun.

CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.blob.core.windows.net/<container>/<path>'
)