Az Azure SQL Database és az Azure Synapse IP-tűzfalszabályai

A következőkre vonatkozik:Azure SQL DatabaseAzure Synapse Analytics

Amikor új kiszolgálót hoz létre az Azure SQL Database-ben vagy mysqlservernevű Azure Synapse Analyticsben, például egy kiszolgálószintű tűzfal blokkolja a kiszolgáló nyilvános végpontjának minden hozzáférését (amely a mysqlserver.database.windows.netcímen érhető el). Az egyszerűség kedvéért SQL Database az SQL Database-re és az Azure Synapse Analyticsre is hivatkozik. Ez a cikk nem vonatkozik az Azure SQL Felügyelt Példányokra. A hálózati konfigurációval kapcsolatos információkért lásd: Az alkalmazás csatlakoztatása felügyelt Azure SQL-példányhoz.

A tűzfal működése

Az internetről és az Azure-ból történő csatlakozási kísérleteknek át kell haladniuk a tűzfalon, mielőtt elérnék a kiszolgálót vagy az adatbázist, ahogy az alábbi ábrán látható.

Kiszolgálószintű IP-tűzfalszabályok

Ezek a szabályok lehetővé teszik az ügyfelek számára a teljes kiszolgáló, vagyis a kiszolgáló által felügyelt összes adatbázis elérését. A szabályok a fő adatbázisban vannak tárolva. A kiszolgálószintű IP-tűzfalszabályok maximális száma kiszolgáló esetén legfeljebb 256 lehet. Ha engedélyezte a Azure szolgáltatások és erőforrások hozzáférését a szerverhez beállítást, ez a szerver egyetlen tűzfalszabályának számít.

A kiszolgálószintű IP-tűzfalszabályokat az Azure Portal, a PowerShell vagy Transact-SQL utasítások használatával konfigurálhatja.

• A portál vagy a PowerShell használatához az előfizetés tulajdonosának vagy az előfizetés közreműködőjének kell lennie.
• A Transact-SQL használatához csatlakoznia kell a fő adatbázishoz kiszolgálószintű egyszerű bejelentkezésként vagy a Microsoft Entra rendszergazdájaként. (A kiszolgálószintű IP-tűzfalszabályt először egy Azure-szintű engedélyekkel rendelkező felhasználónak kell létrehoznia.)

Adatbázisszintű IP-tűzfalszabályok

Az adatbázisszintű IP-tűzfalszabályok lehetővé teszik az ügyfelek számára bizonyos (biztonságos) adatbázisok elérését. Minden egyes adatbázishoz (beleértve a fő adatbázist) létre kell hoznia a szabályokat, és azokat az egyes adatbázisokban tárolja.

• A fő- és felhasználói adatbázisokhoz csak adatbázisszintű IP-tűzfalszabályokat hozhat létre és kezelhet Transact-SQL utasítások használatával, és csak az első kiszolgálószintű tűzfal konfigurálása után.
• Ha olyan IP-címtartományt ad meg az adatbázisszintű IP-tűzfalszabályban, amely kívül esik a kiszolgálószintű IP-tűzfalszabály tartományán, csak azok az ügyfelek férhetnek hozzá az adatbázishoz, amelyek IP-címekkel rendelkeznek az adatbázis-szintű tartományban.
• Az alapértelmezett érték egy adatbázis legfeljebb 256 adatbázisszintű IP-tűzfalszabálya lehet. Az adatbázisszintű IP-tűzfalszabályok konfigurálásával kapcsolatos további információkért tekintse meg a későbbi példát ebben a cikkben, valamint a sp_set_database_firewall_rule (Azure SQL Database)című hivatkozást.

Javaslatok tűzfalszabályok beállításához

Javasoljuk, hogy lehetőség szerint használjon adatbázisszintű IP-tűzfalszabályokat. Ez a gyakorlat növeli a biztonságot, és hordozhatóbbá teszi az adatbázist. Kiszolgálószintű IP-tűzfalszabályok használata rendszergazdák számára. Akkor is használja őket, ha sok olyan adatbázissal rendelkezik, amelyekre ugyanazok a hozzáférési követelmények vonatkoznak, és nem szeretné egyenként konfigurálni az egyes adatbázisokat.

Kiszolgálószintű és adatbázisszintű IP-tűzfalszabályok

Az egyik adatbázis felhasználóit teljesen el kell különíteni egy másik adatbázistól?

Ha igen, az adatbázisszintű IP-tűzfalszabályok használatával biztosítson hozzáférést. Ez a módszer elkerüli a kiszolgálószintű IP-tűzfalszabályok használatát, amelyek lehetővé teszik a tűzfalon keresztüli hozzáférést az összes adatbázishoz. Ez csökkenti a védelem mélységét.

Az IP-címeken lévő felhasználóknak hozzáférésre van szükségük az összes adatbázishoz?

Ha igen, kiszolgálószintű IP-tűzfalszabályok használatával csökkentse az IP-tűzfalszabályok konfigurálásának számát.

Az IP-tűzfalszabályokat konfiguráló személy vagy csapat csak az Azure Portalon, a PowerShellen vagy a REST API-on keresztül fér hozzá?

Ha igen, kiszolgálószintű IP-tűzfalszabályokat kell használnia. Az adatbázisszintű IP-tűzfalszabályok csak a Transact-SQL-en keresztül konfigurálhatók.

Tilos az IP-tűzfalszabályokat konfiguráló személynek vagy csapatnak magas szintű engedélyekkel rendelkezni az adatbázis szintjén?

Ha igen, használjon kiszolgálószintű IP-tűzfalszabályokat. Az adatbázisszintű IP-tűzfalszabályok Transact-SQL-en keresztüli konfigurálásához legalább CONTROL DATABASE engedélyre van szüksége az adatbázis szintjén.

Az IP-tűzfalszabályokat konfiguráló vagy naplózó személy vagy csapat központilag kezeli az IP-tűzfalszabályokat számos (talán több száz) adatbázis esetében?

Ebben a forgatókönyvben az ajánlott eljárásokat az ön igényei és környezete határozza meg. A kiszolgálószintű IP-tűzfalszabályokat egyszerűbb lehet konfigurálni, de a szkriptelés az adatbázis szintjén konfigurálhatja a szabályokat. Még ha kiszolgálószintű IP-tűzfalszabályokat is használ, előfordulhat, hogy adatbázisszintű IP-tűzfalszabályokat kell naplóznia, hogy a CONTROL engedéllyel rendelkező felhasználók adatbázisszintű IP-tűzfalszabályokat hoznak-e létre.

Használhatok kiszolgálószintű és adatbázisszintű IP-tűzfalszabályokat?

Igen. Egyes felhasználóknak, például rendszergazdáknak kiszolgálószintű IP-tűzfalszabályokra lehet szükségük. Más felhasználóknak, például egy adatbázis-alkalmazás felhasználóinak is szükség lehet adatbázisszintű IP-tűzfalszabályokra.

Kapcsolatok az internetről

Amikor egy számítógép az internetről próbál csatlakozni a kiszolgálóhoz, a tűzfal először ellenőrzi a kérés eredeti IP-címét a kapcsolat által kért adatbázis adatbázisszintű IP-tűzfalszabályai között.

• Ha a cím az adatbázisszintű IP-tűzfalszabályokban megadott tartományon belül van, a kapcsolat a szabályt tartalmazó adatbázishoz lesz adva.
• Ha a cím nem tartozik az adatbázisszintű IP-tűzfalszabályok tartományába, a tűzfal ellenőrzi a kiszolgálószintű IP-tűzfalszabályokat. Ha a cím egy olyan tartományon belül van, amely a kiszolgálószintű IP-tűzfalszabályokban található, a kapcsolat meg lesz adva. A kiszolgálószintű IP-tűzfalszabályok a kiszolgáló által felügyelt összes adatbázisra érvényesek.
• Ha a cím nem az adatbázisszintű vagy kiszolgálószintű IP-tűzfalszabályok egyikében sem található tartományon belül, a kapcsolatkérés meghiúsul.

Kapcsolatok az Azure-on belülről

Ahhoz, hogy az Azure-ban üzemeltetett alkalmazások kapcsolódhassanak az SQL Serverhez, engedélyezni kell az Azure-kapcsolatokat. Az Azure-kapcsolatok engedélyezéséhez rendelkeznie kell egy tűzfalszabálysal, amelynek kezdő és befejező IP-címe 0.0.0.0. Ez az ajánlott szabály csak az Azure SQL Database-ben alkalmazható.

Amikor egy Azure-ból származó alkalmazás megpróbál csatlakozni a kiszolgálóhoz, a tűzfal ellenőrzi, hogy az Azure-kapcsolatok engedélyezve vannak-e a tűzfalszabály meglétének ellenőrzésével. Ez közvetlenül az Azure portál panelen kapcsolható be azzal, hogy a Allow Azure Services and resources to access this server opciót BE állítja a tűzfalak és virtuális hálózatok beállításai között. A beállítás BE kapcsolásával létrejön egy bejövő tűzfalszabály az IP 0.0.0.0 – 0.0.0.0 számára AllowAllWindowsAzureIpsnéven. A szabály megtekinthető master adatbázis sys.firewall_rules nézetben. Ha nem a portált használja, a PowerShell vagy az Azure CLI használatával hozzon létre egy 0.0.0.0-s kezdő- és végponti IP-címekkel rendelkező tűzfalszabályt.

Engedélyek

Az Azure SQL Server IP-tűzfalszabályainak létrehozásához és kezeléséhez a következőkre van szükség:

• SQL Server-közreműködői szerepkörben
• SQL Security Manager szerepkörben
• az Azure SQL Servert tartalmazó erőforrás tulajdonosa

IP-tűzfalszabályok létrehozása és kezelése

Az első kiszolgálószintű tűzfalbeállítást az Azure Portal használatával vagy programozott módon hozhatja létre Azure PowerShell-, Azure CLIvagy Azure REST API-használatával. Ezekkel a módszerekkel vagy a Transact-SQL-lel további kiszolgálószintű IP-tűzfalszabályokat hozhat létre és kezelhet.

A teljesítmény javítása érdekében a kiszolgálószintű IP-tűzfalszabályok ideiglenesen gyorsítótárazva vannak az adatbázis szintjén. A gyorsítótár frissítéséhez lásd DBCC FLUSHAUTHCACHE.

Kiszolgálószintű IP-tűzfalszabályok kezelése az Azure Portal használatával

Ha kiszolgálószintű IP-tűzfalszabályt szeretne beállítani az Azure Portalon, nyissa meg az adatbázis vagy a kiszolgáló áttekintő oldalát.

Az adatbázis áttekintési oldaláról

1. Ha kiszolgálószintű IP-tűzfalszabályt szeretne beállítani az adatbázis áttekintési oldaláról, válassza a Kiszolgálói tűzfal beállítása az eszköztáron, ahogyan az alábbi képen látható.

   

   Megnyílik a kiszolgáló hálózatkezelési lapja.

2. Adjon hozzá egy szabályt a Tűzfalszabályok szakaszban a használt számítógép IP-címének hozzáadásához, majd válassza a Mentéslehetőséget. A rendszer létrehoz egy kiszolgálószintű IP-tűzfalszabályt az aktuális IP-címhez.

   

A kiszolgáló áttekintési oldaláról

Megnyílik a kiszolgáló áttekintő oldala. A teljes kiszolgálónevet (például mynewserver20170403.database.windows.net) jeleníti meg, és további konfigurációs lehetőségeket biztosít.

1. Ha kiszolgálószintű szabályt szeretne beállítani erről a lapról, válassza Hálózatkezelési a bal oldalon található Beállítások menüből.

2. Adjon hozzá egy szabályt a Tűzfalszabályok szakaszban a használt számítógép IP-címének hozzáadásához, majd válassza a Mentéslehetőséget. A rendszer létrehoz egy kiszolgálószintű IP-tűzfalszabályt az aktuális IP-címhez.

IP-tűzfalszabályok kezelése a Transact-SQL használatával

Az alábbi példa áttekinti a meglévő szabályokat, engedélyezi az IP-címek tartományát a kiszolgálón Contoso, és töröl egy IP-tűzfalszabályt:

SELECT * FROM sys.firewall_rules ORDER BY name;

Ezután adjon hozzá egy kiszolgálószintű IP-tűzfalszabályt.

EXECUTE sp_set_firewall_rule @name = N'ContosoFirewallRule',
   @start_ip_address = '192.168.1.1', @end_ip_address = '192.168.1.10'

Kiszolgálószintű IP-tűzfalszabály törléséhez hajtsa végre a sp_delete_firewall_rule tárolt eljárást. Az alábbi példa törli a ContosoFirewallRuleszabályt:

EXECUTE sp_delete_firewall_rule @name = N'ContosoFirewallRule'

Kiszolgálószintű IP-tűzfalszabályok kezelése a PowerShell használatával

Az alábbi példa a PowerShell használatával állít be egy kiszolgálószintű IP-tűzfalszabályt:

New-AzSqlServerFirewallRule -ResourceGroupName "myResourceGroup" `
    -ServerName $servername `
    -FirewallRuleName "ContosoIPRange" -StartIpAddress "192.168.1.0" -EndIpAddress "192.168.1.255"

Kiszolgálószintű IP-tűzfalszabályok kezelése a parancssori felület használatával

Az alábbi példa a parancssori felület használatával állít be egy kiszolgálószintű IP-tűzfalszabályt:

az sql server firewall-rule create --resource-group myResourceGroup --server $servername \
-n ContosoIPRange --start-ip-address 192.168.1.0 --end-ip-address 192.168.1.255

Az Azure Synapse Analytics esetében tekintse meg a következő példákat:

Az alábbi példa a parancssori felület használatával állít be egy kiszolgálószintű IP-tűzfalszabályt az Azure Synapse-ban:

az synapse workspace firewall-rule create --name AllowAllWindowsAzureIps --workspace-name $workspacename --resource-group $resourcegroupname --start-ip-address 0.0.0.0 --end-ip-address 0.0.0.0

Kiszolgálószintű IP-tűzfalszabályok kezelése REST API használatával

Az adatbázis tűzfalának hibaelhárítása

Vegye figyelembe az alábbi szempontokat, ha az Azure SQL Database-hez való hozzáférés nem a várt módon működik.

• helyi tűzfal konfigurációja:

  Ahhoz, hogy a számítógép hozzáférhessen az Azure SQL Database-hez, előfordulhat, hogy tűzfalkivételt kell létrehoznia a számítógépen az 1433-at futtató TCP-porthoz. Ha az Azure-felhő határain belül szeretne kapcsolatokat létesíteni, előfordulhat, hogy további portokat kell megnyitnia. További információkért tekintse meg a „SQL Database: Kívül vs belül” szakaszát a 1433 portot meghaladó portokról, valamint az ADO.NET 4.5 és az Azure SQL Database vonatkozásában.

• hálózati címfordítás:

  A hálózati címfordítás (NAT) miatt a számítógép által az Azure SQL Database-hez való csatlakozáshoz használt IP-cím eltérhet a számítógép IP-konfigurációs beállításaiban megadott IP-címétől. A számítógép által az Azure-hoz való csatlakozáshoz használt IP-cím megtekintése:

  1. Jelentkezzen be a portálra.
  2. Lépjen a konfigurálása lapra az adatbázist üzemeltető kiszolgálón.
  3. Az aktuális ügyfél IP-cím az Engedélyezett IP-címek szakaszban jelenik meg. Válassza Engedélyezett IP-címek hozzáadása lehetőséget, hogy a számítógép hozzáférhessen a kiszolgálóhoz.

• Az engedélyezési lista módosításai még nem lépnek érvénybe:

  Az Azure SQL Database tűzfalkonfigurációjának módosítása akár öt perces késéssel is járhat.

• A bejelentkezés nincs engedélyezve, vagy helytelen jelszót használtak:

  Ha egy bejelentkezés nem rendelkezik engedélyekkel a kiszolgálón, vagy a jelszó helytelen, a rendszer megtagadja a kapcsolatot a kiszolgálóval. Egy tűzfalbeállítás létrehozása csak lehetőséget ad az ügyfeleknek, hogy megpróbáljanak csatlakozni a kiszolgálóhoz. Az ügyfélnek továbbra is meg kell adnia a szükséges biztonsági hitelesítő adatokat. További információ a bejelentkezések előkészítéséről: Adatbázis-hozzáférés szabályozása és biztosítása.

• dinamikus IP-cím:

  Ha dinamikus IP-címzést használó internetkapcsolattal rendelkezik, és nem tud átjutni a tűzfalon, próbálkozzon az alábbi megoldások egyikével:

  • Kérje meg az internetszolgáltatótól a kiszolgálót elérő ügyfélszámítógépekhez rendelt IP-címtartományt. Adja hozzá az IP-címtartományt IP-tűzfalszabályként.
  • Ehelyett statikus IP-címzést kérhet le az ügyfélszámítógépekhez. Adja hozzá az IP-címeket IP-tűzfalszabályokként.

Következő lépések

• Győződjön meg arról, hogy a vállalati hálózati környezet engedélyezi a bejövő kommunikációt az Azure-adatközpontok által használt számítási IP-címtartományokból (beleértve az SQL-tartományokat is). Előfordulhat, hogy ezeket az IP-címeket hozzá kell adnia az engedélyezési listához. Lásd Microsoft Azure-adatközpont IP-tartományait.
• Tekintse meg a egyetlen adatbázis Azure SQL Database-ben való létrehozásárólcímű rövid útmutatót.
• Ha segítségre van szüksége az Azure SQL Database-ben lévő adatbázishoz való csatlakozáshoz nyílt forráskódú vagy külső alkalmazásokból, tekintse meg az Azure SQL Database gyorsútmutató kódmintáit.
• Az esetlegesen megnyitandó további portokról az "SQL Database: Kívül vs belül" részben talál információt a Portok, amelyek meghaladják a 1433-at, az ADO.NET 4.5 és SQL Database számára szakaszban.
• Az Azure SQL Database biztonságának áttekintéséért tekintse meg az adatbázis-biztonságossá tételét ismertető témakört.