Controlar o acesso à conta de armazenamento para o pool SQL sem servidor no Azure Synapse Analytics

Identidade do utilizador, também conhecida como "Microsoft Entra pass-through", é um tipo de autorização onde a identidade do utilizador Microsoft Entra que iniciou sessão no pool SQL serverless é usada para autorizar o acesso aos dados. Antes de aceder aos dados, o administrador do Armazenamento do Azure deve conceder permissões ao utilizador do Microsoft Entra. Como indicado na tabela Tipos de autorização suportados para utilizadores de base de dados, não é suportado para o tipo de utilizador SQL.

Você precisa ser membro da função Proprietário de Dados de Blob de Armazenamento, Colaborador de Dados de Blob de Armazenamento ou Leitor de Dados de Blob de Armazenamento para usar a sua identidade e aceder aos dados. Como alternativa, você pode especificar regras de ACL refinadas para acessar arquivos e pastas. Mesmo que você seja proprietário de uma conta de armazenamento, ainda precisará se adicionar a uma das funções de Dados de Blob de Armazenamento. Para saber mais sobre controlo de acesso na Azure Data Lake Store Gen2, consulte o artigo sobre controlo de acesso em Azure Data Lake Storage Gen2.

A assinatura de acesso partilhado (SAS) fornece acesso delegado a recursos numa conta de armazenamento. Com o SAS, um cliente pode conceder aos clientes acesso a recursos numa conta de armazenamento sem partilhar chaves de conta. O SAS dá-lhe controlo granular sobre o tipo de acesso que concede a clientes que têm um SAS, incluindo intervalo de validade, permissões concedidas, intervalo de endereços IP aceitável e o protocolo aceitável (https/http).

Pode obter um token SAS navegando até ao portal Azure -> Conta de Armazenamento -> Assinatura de acesso partilhada -> Configurar permissões -> Gerar SAS e cadeia de conexão.

Para permitir o acesso através de um token de SAS, precisa de criar uma credencial com âmbito de base de dados ou de servidor

Um service principal é a representação local de um objeto de aplicação global num determinado locatário Microsoft Entra. Este método de autenticação é adequado nos casos em que o acesso ao armazenamento deve ser autorizado para uma aplicação, serviço ou ferramenta de automação do utilizador. Para mais informações sobre principais de serviço no Microsoft Entra ID, consulte Objetos de aplicação e principais de serviço no Microsoft Entra ID.

A candidatura deve estar registada no Microsoft Entra ID. Para mais informações sobre o processo de registo, siga Quickstart: Registe uma candidatura no plataforma de identidades da Microsoft. Uma vez registada a aplicação, o seu principal de serviço pode ser usado para autorização.

O principal de serviço deve ser associado às funções de Proprietário de Dados do Blob de Armazenamento, Contribuidor de Dados do Blob de Armazenamento e Leitor de Dados do Blob de Armazenamento para permitir o acesso da aplicação aos dados. Mesmo que o principal do serviço seja o Proprietário de uma conta de armazenamento, ainda assim precisa de lhe ser atribuído um papel apropriado como Storage Blob Data. Como forma alternativa de conceder acesso a ficheiros e pastas de armazenamento, podem ser definidas regras ACL detalhadas para o principal de serviço.

Para saber mais sobre controlo de acesso na Azure Data Lake Store Gen2, consulte o controlo de acesso no Azure Data Lake Storage Gen2.

A identidade de serviço gerido ou identidade gerida também é conhecida como MSI. Um MSI é uma funcionalidade do Microsoft Entra ID que fornece serviços da Azure a um serviço da Azure, neste caso, para o seu pool SQL serverless. O MSI é criado automaticamente no Microsoft Entra ID. Essa identidade pode ser usada para autorizar a solicitação de acesso a dados no Armazenamento do Azure.

Antes de aceder aos dados, o administrador do Armazenamento do Azure deve conceder permissões à identidade de serviço gerido para aceder aos dados. Conceder permissões à MSI é feito da mesma forma que conceder permissão a qualquer outro utilizador da Microsoft Entra.

Pode aceder a ficheiros públicos disponíveis colocados em contas de armazenamento Azure que permitir acesso anónimo.

Para aceder a armazenamento protegido pelo firewall através de uma identidade de utilizador, pode usar o portal Azure ou o módulo PowerShell do Az.Storage.

Configuração do firewall do Armazenamento do Azure através do portal Azure

1. Procure a sua Conta de Armazenamento no portal do Azure.
2. No menu principal de navegação, vá a Rede em Definições.
3. Na secção Resource instances, adicione uma exceção para o seu espaço de trabalho Azure Synapse.
4. Selecione Microsoft.Synapse/workspaces como Tipo de recurso.
5. Selecione o nome do seu espaço de trabalho como nome de Instância.
6. Selecione Guardar.

Configuração do firewall do Armazenamento do Azure via PowerShell

Siga estes passos para configurar a sua conta de armazenamento e adicionar uma exceção para o espaço de trabalho do Azure Synapse.

1. Abre o PowerShell ou instala o PowerShell.

2. Instale as versões mais recentes do módulo Az.Storage e do módulo Az.Synapse, por exemplo, no seguinte script:

   Install-Module -Name Az.Storage -RequiredVersion 3.4.0
   Install-Module -Name Az.Synapse -RequiredVersion 0.7.0
   

   Importante

   Certifica-te de que usas pelo menos a versão 3.4.0. Podes verificar a versão do teu Az.Storage executando este comando:

   Get-Module -ListAvailable -Name Az.Storage | Select Version
   

3. Ligue-se ao seu Inquilino Azure:

   Connect-AzAccount
   

4. Defina variáveis no PowerShell:

   • Nome do grupo de recursos - pode encontrar isto no portal Azure no Visão Geral da sua conta de armazenamento.
   • Nome da Conta - nome da conta de armazenamento protegida pelas regras do firewall.
   • ID de Inquilino - pode encontrá-lo no portal Azure em Microsoft Entra ID, em Properties, em Tenant Properties.
   • Nome do Espaço de Trabalho - Nome do Azure Synapse Workspace.

       $resourceGroupName = "<resource group name>"
       $accountName = "<storage account name>"
       $tenantId = "<tenant id>"
       $workspaceName = "<Azure Synapse workspace name>"
   
       $workspace = Get-AzSynapseWorkspace -Name $workspaceName
       $resourceId = $workspace.Id
       $index = $resourceId.IndexOf("/resourceGroups/", 0)
       # Replace G with g - /resourceGroups/ to /resourcegroups/
       $resourceId = $resourceId.Substring(0,$index) + "/resourcegroups/" ` 
           + $resourceId.Substring($index + "/resourceGroups/".Length)
   
       $resourceId
   

   Importante

   O valor do $resourceid devolvido pelo script PowerShell deve corresponder a este modelo: /subscriptions/{subscription-id}/resourcegroups/{resource-group}/providers/Microsoft.Synapse/workspaces/{name-of-workspace} É importante escrever resourcegroups em minúsculas.

5. Adicione uma regra de rede de contas de armazenamento Azure:

       $parameters = @{
           ResourceGroupName = $resourceGroupName
           Name = $accountName
           TenantId = $tenantId 
           ResourceId = $resourceId
       }
   
       Add-AzStorageAccountNetworkRule @parameters
   

6. Verifica se a regra da rede de contas de armazenamento foi aplicada no firewall da tua conta de armazenamento. O script PowerShell seguinte compara a $resourceid variável dos passos anteriores com a saída da regra da rede de contas de armazenamento.

       $parameters = @{
           ResourceGroupName = $resourceGroupName
           Name = $accountName
       }
   
       $rule = Get-AzStorageAccountNetworkRuleSet @parameters
       $rule.ResourceAccessRules | ForEach-Object { 
           if ($_.ResourceId -cmatch "\/subscriptions\/(\w\-*)+\/resourcegroups\/(.)+") { 
               Write-Host "Storage account network rule is successfully configured." -ForegroundColor Green
               $rule.ResourceAccessRules
           } else {
               Write-Host "Storage account network rule is not configured correctly. Remove this rule and follow the steps in detail." -ForegroundColor Red
               $rule.ResourceAccessRules
           }
       }
   

Assinaturas de acesso partilhadas não podem ser usadas para aceder a armazenamento protegido por firewall.

O principal de serviço não pode ser usado para aceder a armazenamento protegido por firewall. Em vez disso, utilize uma Identidade de Serviço Gerido.

Tens de ativar a definição Permitir serviços Microsoft fidedignos e atribuir uma função de Azure à identidade gerida atribuída pelo sistema para a instância de recurso.

Neste caso, o âmbito de acesso para a instância de recurso corresponde ao papel Azure atribuído à identidade gerida.

Não pode aceder a armazenamento protegido por firewall usando acesso anónimo.

Os utilizadores do Microsoft Entra podem aceder a qualquer ficheiro no armazenamento Azure se forem membros das funções de Proprietário de Dados de Blob de Armazenamento, Contribuidor de Dados de Blob de Armazenamento ou Leitor de Dados de Blob de Armazenamento. Os utilizadores da Microsoft Entra não precisam de credenciais para aceder ao armazenamento.

Os utilizadores autenticados por SQL não podem usar a autenticação Microsoft Entra para aceder ao armazenamento. Podem aceder ao armazenamento através de uma credencial de base de dados usando Identidade Gerida, Chave SAS, Principal de Serviço ou, se houver acesso público ao armazenamento.

O script seguinte cria uma credencial ao nível do servidor que pode ser usada pela função OPENROWSET para aceder a qualquer ficheiro no armazenamento Azure usando o token SAS. Crie esta credencial para permitir que um principal SQL use a função OPENROWSET para ler ficheiros protegidos com uma chave SAS no armazenamento Azure. O nome da credencial deve corresponder ao URL.

Na consulta de exemplo seguinte, substitua <mystorageaccountname> pelo nome real da sua conta de armazenamento e <mystorageaccountcontainername> pelo nome real do contentor:

CREATE CREDENTIAL [https://<mystorageaccountname>.dfs.core.windows.net/<mystorageaccountcontainername>]
WITH IDENTITY='SHARED ACCESS SIGNATURE'
, SECRET = 'sv=2018-03-28&ss=bfqt&srt=sco&sp=rwdlacup&se=2019-04-18T20:42:12Z&st=2019-04-18T12:42:12Z&spr=https&sig=lQHczNvrk1BrIPBNJ3VYEIq78%3D';
GO

Opcionalmente, podes usar apenas a URL base da conta de armazenamento, sem o nome do contentor.

O script seguinte cria uma credencial ao nível do servidor que pode ser usada para aceder a ficheiros num armazenamento usando o principal do serviço para autenticação e autorização. AppID pode ser encontrado visitando Registos de aplicações no portal Azure e selecionando a aplicação que solicita acesso ao armazenamento. O Secret é obtido durante o registo da App. AuthorityUrl é o URL da autoridade OAuth2.0 do Microsoft Entra ID.

CREATE CREDENTIAL [https://<storage_account>.dfs.core.windows.net/<container>]
WITH IDENTITY = '<AppID>@<AuthorityUrl>' 
, SECRET = '<Secret>'

O script seguinte cria uma credencial ao nível do servidor que pode ser usada pela função OPENROWSET para aceder a qualquer ficheiro no armazenamento Azure usando a identidade gerida Azure Synapse workspace, um tipo especial de identidade de serviço gerido.

CREATE CREDENTIAL [https://<storage_account>.dfs.core.windows.net/<container>]
WITH IDENTITY='Managed Identity'

Opcionalmente, podes usar apenas a URL base da conta de armazenamento, sem o nome do contentor.

Credencial ao nível do servidor não é obrigatória para permitir o acesso a ficheiros publicamente disponíveis. Criar data source sem credencial para aceder a ficheiros públicos disponíveis no armazenamento do Azure.

Os utilizadores do Microsoft Entra podem aceder a qualquer ficheiro no armazenamento Azure se forem membros das funções Storage Blob Data Owner, Storage Blob Data Contributor ou Storage Blob Data Reader. Os utilizadores da Microsoft Entra não precisam de credenciais para aceder ao armazenamento.

CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>'
)

Os utilizadores autenticados por SQL não podem usar a autenticação Microsoft Entra para aceder ao armazenamento. Podem aceder ao armazenamento através de uma credencial de base de dados usando Identidade Gerida, Chave SAS, Principal de Serviço ou, se houver acesso público ao armazenamento.

O script seguinte cria uma credencial que é usada para aceder a ficheiros em armazenamento usando o token SAS especificado na credencial. O script cria uma fonte de dados externa de exemplo que utiliza este token SAS para aceder ao armazenamento.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>'
GO
CREATE DATABASE SCOPED CREDENTIAL [SasToken]
WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
     SECRET = 'sv=2018-03-28&ss=bfqt&srt=sco&sp=rwdlacup&se=2019-04-18T20:42:12Z&st=2019-04-18T12:42:12Z&spr=https&sig=lQHczNvrk1KEIq78%3D';
GO
CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = SasToken
)

O script seguinte cria uma credencial com âmbito para a base de dados, que pode ser usada para aceder a ficheiros num armazenamento usando um serviço principal para processos de autenticação e autorização. AppID pode ser encontrado visitando Registos de aplicações no portal Azure e selecionando a aplicação que solicita acesso ao armazenamento. O Secret é obtido durante o registo da App. AuthorityUrl é o URL da autoridade OAuth2.0 do Microsoft Entra ID.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>

CREATE DATABASE SCOPED CREDENTIAL [<CredentialName>] WITH
IDENTITY = '<AppID>@<AuthorityUrl>' 
, SECRET = '<Secret>'
GO
CREATE EXTERNAL DATA SOURCE MyDataSource
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = CredentialName
)

O script seguinte cria uma credencial com âmbito de base de dados que pode ser usada para se fazer passar pelo utilizador atual da Microsoft Entra como Identidade Gerida do serviço. O script cria uma fonte de dados externa de exemplo que utiliza a identidade do espaço de trabalho para aceder ao armazenamento.

-- Optional: Create MASTER KEY if not exists in database:
-- CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Very Strong Password>
CREATE DATABASE SCOPED CREDENTIAL SynapseIdentity
WITH IDENTITY = 'Managed Identity';
GO
CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.dfs.core.windows.net/<container>/<path>',
          CREDENTIAL = SynapseIdentity
)

A credencial com âmbito da base de dados não precisa de corresponder ao nome da conta de armazenamento porque será explicitamente usada na FONTE DE DADOS que define a localização do armazenamento.

Credenciais com âmbito de base de dados não são obrigadas a permitir o acesso a ficheiros públicos disponíveis. Crie uma fonte dados sem credenciais para aceder a ficheiros públicos disponíveis no armazenamento Azure.

CREATE EXTERNAL DATA SOURCE mysample
WITH (    LOCATION   = 'https://<storage_account>.blob.core.windows.net/<container>/<path>'
)