azure - 从 ADF 使用 AAD 连接到 Azure SQL，并禁用允许 Azure 服务和资源访问

Question

我正在为 ETL/ELT 项目开发 ADF，目前我正在使用 Azure SQL 数据库加载源数据。要从 ADF 管道连接到 Azure SQL 数据库，我必须启用“允许 Azure 服务和资源访问此服务器”，而这存在安全威胁，任何人都可以在 Azure 环境中连接到此服务器。

因此，我想禁用此选项，而且我想从 ADF 管道连接到 Azure SQL 数据库。Azure AAD 用户在这种情况下可以提供帮助吗？我知道将一些 IP 列入白名单，但 ADF 的 IP 对于每次运行都是动态的，因此我很难将其中的几个列入白名单。

标签： azureazure-active-directoryazure-sql-databaseazure-data-factory-2

Answer 1

Azure 我们知道，如果我们不设置启用“允许 Azure 服务和资源访问此服务器”，那么访问 SQL 数据库的唯一方法就是我们必须将数据工厂客户端 IP 设置为数据库防火墙。

或者我们会得到如下错误：

正如您所说“ADF 的 IP 对于每次运行都是动态的，因此我很难将其中的几个列入白名单”，好消息是 Azure 数据工厂支持静态 IP 范围作为防火墙角色。

数据工厂产品团队为我们提供了解决方法：

好消息 - Azure 集成运行时的静态 IP 范围现已在所有 ADF 区域中可用！作为防火墙规则的一部分，您可以将 ADF 的特定 IP 范围列入白名单。IP 记录在这里：https ://docs.microsoft.com/en-us/azure/data-factory/azure-integration-runtime-ip-addresses#azure-integration-runtime-ip-addresses-specific-regions 。政务云和中国云的静态IP范围即将发布！

请参阅此博客文章，了解如何使用各种机制（包括受信任的 Azure 服务和静态 IP）来保护通过 ADF 进行的数据访问： https ://techcommunity.microsoft.com/t5/azure-data-factory/azure-data-factory -now-supports-static-ip-address-ranges/ba-p/1117508

服务标签支持将在接下来的几周内提供。敬请期待！

如果您的网络安全要求需要对 VNet 的 ADF 支持，并且无法使用 Trusted Azure 服务（2019 年 10 月发布）、静态 IP 范围（2020 年 1 月发布）或服务标签（即将推出）来满足，请在此处投票支持 VNet 功能：https://feedback.azure.com/forums/270578-data-factory/suggestions/37105363-data-factory-should-be-able-to-use-vnet-without-re

请参考此反馈：数据工厂的静态 IP 范围并将 ADF 添加到受信任的 Azure 服务列表

您可以获取数据工厂静态 IP 范围并将列表添加到 Azure SQL 数据库防火墙角色。

数据工厂静态 IP 列表示例：

{
      "name": "DataFactory",
      "id": "DataFactory",
      "properties": {
        "changeNumber": 6,
        "region": "",
        "platform": "Azure",
        "systemService": "DataFactory",
        "addressPrefixes": [
          "13.66.143.128/28",
          "13.67.10.208/28",        
          ...,
          ...
               
        ]
      }
    }

希望这可以帮助。