Azure Synapse Analytics 연결 설정

공용 네트워크 액세스

공용 네트워크 액세스 기능을 사용하여 Azure Synapse 작업 영역에 대해 들어오는 공용 네트워크 연결을 허용할 수 있습니다.

• 공용 네트워크 액세스가 사용 안 함인 경우 프라이빗 엔드포인트를 통해서만 작업 영역에 연결할 수 있습니다.
• 공용 네트워크 액세스가 사용인 경우 공용 네트워크에서도 작업 영역에 연결할 수 있습니다. 작업 영역을 만드는 동안과 그 이후에 이 기능을 관리할 수 있습니다.

사용 안 함 옵션을 선택하면 구성할 수 있는 방화벽 규칙이 적용되지 않습니다. 또한 Synapse 포털의 네트워크 설정에 방화벽 규칙이 회색으로 표시됩니다. 공용 네트워크 액세스를 다시 사용하도록 설정하면 방화벽 구성이 다시 적용됩니다.

작업 영역을 만들 때 공용 네트워크 액세스 구성

1. Azure Portal에서 작업 영역을 만들 때 네트워킹 탭을 선택합니다.

2. 관리형 가상 네트워크에서 사용을 선택하여 작업 영역을 관리형 가상 네트워크에 연결하고 공용 네트워크 액세스를 허용합니다.

3. 공용 네트워크 액세스에서 사용 안 함을 선택하여 작업 영역에 대한 공용 액세스를 거부합니다. 작업 영역에 대한 공용 액세스를 허용하려면 사용을 선택합니다.

   

4. 작업 영역 만들기 흐름의 나머지 단계를 완료합니다.

작업 영역을 만든 뒤 공용 네트워크 액세스 구성

1. Azure Portal에서 Synapse 작업 영역을 선택합니다.

2. 왼쪽 탐색에서 네트워킹을 선택합니다.

3. 작업 영역에 대한 공용 액세스를 거부하려면 사용 안 함을 선택합니다. 작업 영역에 대한 공용 액세스를 허용하려면 사용을 선택합니다.

   

4. 사용하지 않도록 설정된 경우 방화벽 규칙이 회색으로 표시되어 방화벽 규칙이 적용되지 않습니다. 방화벽 규칙 구성은 그대로 유지됩니다.

5. 저장을 선택하여 변경 내용을 저장합니다. 네트워크 설정이 저장된 것을 확인하는 알림이 나타납니다.

최소 TLS 버전

서버리스 SQL 엔드포인트 및 개발 엔드포인트는 TLS 1.2 이상만 허용합니다.

2021년 12월부터 새 Synapse 작업 영역의 작업 영역 관리 전용 SQL 풀에는 최소 수준의 TLS 1.2가 필요합니다. 새 Synapse 작업 영역 또는 기존 작업 영역 모두에 대해 최소 TLS REST API를 사용하여 이 요구 사항을 높이거나 낮출 수 있으므로 작업 영역에서 더 높은 TLS 클라이언트 버전을 사용할 수 없는 사용자는 연결할 수 있습니다. 고객은 보안 요구 사항을 충족하기 위해 최소 TLS 버전을 올릴 수도 있습니다.

Azure Policy

Synapse 작업 영역의 네트워킹 설정 수정을 방지하기 위한 Azure 정책은 현재 사용할 수 없습니다.

네트워킹 및 연결

논리 서버의 이런 설정을 변경할 수 있습니다. A 논리 SQL Server는 Azure Synapse Analytics 작업 영역에 없는 Azure SQL 데이터베이스와 독립 실행형 Dedicated SQL 풀을 모두 호스트할 수 있습니다.

공용 네트워크 액세스 변경

Azure Portal, Azure PowerShell 및 Azure CLI를 통해 독립 실행형 전용 SQL 풀에 대한 공용 네트워크 액세스를 변경할 수 있습니다.

Azure Portal에서 공용 액세스 구성

독립 실행형 전용 SQL 풀을 호스팅하는 논리 서버에 대한 공용 네트워크 액세스를 사용하도록 설정하려면 다음을 수행합니다.

1. Azure Portal로 이동하여 Azure의 논리 서버로 이동합니다.
2. 보안에서 네트워킹 페이지를 선택합니다.
3. 퍼블릭 액세스 탭을 선택한 다음 공용 네트워크 액세스에서 네트워크 선택을 설정합니다.

이 페이지에서 가상 네트워크 규칙을 추가하고 퍼블릭 엔드포인트에 대한 방화벽 규칙을 구성할 수 있습니다.

프라이빗 액세스 탭을 선택하여 프라이빗 엔드포인트를 구성합니다.

PowerShell에서 공용 액세스 구성

Azure PowerShell 사용하여 공용 네트워크 액세스를 변경할 수 있습니다.

서버 수준에서 Get 속성을 설정하고 Set 및 방법을 보여주는 다음 PowerShell 스크립트입니다. 다음 PowerShell 샘플 스크립트에서 바꿀 <strong password> 강력한 암호를 제공합니다.

# Get the Public Network Access property
(Get-AzSqlServer -ServerName sql-server-name -ResourceGroupName sql-server-group).PublicNetworkAccess

# Update Public Network Access to Disabled
$SecureString = ConvertTo-SecureString "<strong password>" -AsPlainText -Force

Set-AzSqlServer -ServerName sql-server-name -ResourceGroupName sql-server-group -SqlAdministratorPassword $SecureString -PublicNetworkAccess "Disabled"

Azure CLI에서 공용 액세스 구성

Azure CLI를 사용하여 공용 네트워크 설정을 변경할 수 있습니다.

다음 CLI 스크립트는 Bash 셸에서 공용 네트워크 액세스 설정을 변경하는 방법을 보여 줍니다.

# Get current setting for Public Network Access
az sql server show -n sql-server-name -g sql-server-group --query "publicNetworkAccess"

# Update setting for Public Network Access
az sql server update -n sql-server-name -g sql-server-group --set publicNetworkAccess="Disabled"

퍼블릭 네트워크 액세스 거부

공용 네트워크 액세스 설정의 기본값은 사용 안 함입니다. 고객은 네트워크 액세스 개요에 설명된 대로 퍼블릭 엔드포인트(IP 기반 서버 수준 방화벽 규칙 또는 가상 네트워크 기반 방화벽 규칙 사용) 또는 프라이빗 엔드포인트(Azure Private Link 사용)를 사용하여 데이터베이스에 연결할 수 있습니다.

공용 네트워크 액세스가 사용 안 함으로 설정되면 프라이빗 엔드포인트에서의 연결만 허용됩니다. 퍼블릭 엔드포인트에서의 모든 연결은 거부되며 다음과 비슷한 오류 메시지가 표시됩니다.

Error 47073
An instance-specific error occurred while establishing a connection to SQL Server. 
The public network interface on this server is not accessible. 
To connect to this server, use the Private Endpoint from inside your virtual network.

공용 네트워크 액세스를 사용 안 함으로 설정하면 방화벽 규칙에 대한 모든 추가, 제거 또는 편집 시도가 거부되며 다음과 비슷한 오류 메시지가 표시됩니다.

Error 42101
Unable to create or modify firewall rules when public network interface for the server is disabled. 
To manage server or database level firewall rules, please enable the public network interface.

Azure Synapse Analytics에 대한 방화벽 규칙을 추가, 제거 또는 편집할 수 있도록 공용 네트워크 액세스 가 선택한 네트워크 로 설정되어 있는지 확인합니다.

최소 TLS 버전

최소 TLS(전송 계층 보안) 버전 설정을 통해 고객은 사용 중인 TLS 버전을 선택할 수 있습니다. Azure Portal, Azure PowerShell, Azure CLI를 사용하여 최소 TLS 버전을 변경할 수 있습니다.

애플리케이션에서 지원하는지 테스트한 후에는 최소 TLS 버전을 1.3으로 설정하는 것이 좋습니다. 이 버전에는 이전 버전의 취약성에 대한 수정 사항이 포함되어 있으며 독립 실행형 전용 SQL 풀에 대해 지원되는 가장 높은 버전의 TLS입니다.

사용 중지 변경 예정

Azure는 이전 TLS 버전(TLS 1.0 및 1.1)에 대한 지원이 2025년 8월 31일에 종료한다고 발표했습니다. 자세한 내용은 TLS 1.0 및 1.1 사용 중지를 참조하세요.

2024년 11월부터는 더 이상 TLS 1.2 미만의 Azure Synapse Analytics 클라이언트 연결에 대한 최소 TLS 버전을 설정할 수 없습니다.

최소 TLS 버전 구성

Azure Portal, Azure PowerShell 또는 Azure CLI를 사용하여 클라이언트 연결을 허용하는 최소 TLS 버전을 구성할 수 있습니다.

이전 버전의 TLS가 사용되는 애플리케이션을 사용하는 고객의 경우 애플리케이션의 요구 사항에 따라 최소 TLS 버전을 설정하는 것이 좋습니다. 애플리케이션 요구 사항을 알 수 없거나 워크로드가 더 이상 기본 없는 이전 드라이버를 사용하는 경우 최소 TLS 버전을 설정하지 않는 것이 좋습니다.

자세한 내용은 데이터베이스 연결에 대한 TLS 고려 사항을 참조하세요.

최소 TLS 버전을 설정한 후에는 최소 TLS 버전의 서버보다 낮은 TLS 버전을 사용하는 고객의 로그인 시도가 실패하며 다음 오류가 표시됩니다.

Error 47072
Login failed with invalid TLS version

Azure Portal에서 최소 TLS 버전 구성

1. Azure Portal로 이동하여 Azure의 논리 서버로 이동합니다.
2. 보안에서 네트워킹 페이지를 선택합니다.
3. 연결 탭을 선택합니다. 서버와 연결된 모든 데이터베이스에 대해 원하는 최소 TLS 버전을 선택하고 저장을 선택합니다.

PowerShell에서 최소 TLS 버전 구성

Azure PowerShell 사용하여 최소 TLS 버전을 변경할 수 있습니다.

다음 PowerShell 스크립트는 논리 서버 수준에서 Get 속성을 하는 방법을 보여 줍니다.

$serverParams = @{
    ServerName = "sql-server-name"
    ResourceGroupName = "sql-server-group"
}

(Get-AzSqlServer @serverParams).MinimalTlsVersion

논리 서버 수준의 Set 속성으로 하려면 Sql 관리자 비밀번호호를 <strong_password_here_password>(으)로 대체하고 다음을 실행합니다.

$serverParams = @{
    ServerName = "sql-server-name"
    ResourceGroupName = "sql-server-group"
    SqlAdministratorPassword = (ConvertTo-SecureString "<strong_password_here_password>" -AsPlainText -Force)
    MinimalTlsVersion = "1.2"
}
Set-AzSqlServer @serverParams

Azure CLI에서 최소 TLS 버전 구성

Azure CLI를 사용하여 최소 TLS 설정을 변경할 수 있습니다.

다음 CLI 스크립트는 bash 셸에서 최소 TLS 버전 설정을 변경하는 방법을 보여 줍니다.

# Get current setting for Minimal TLS Version
az sql server show -n sql-server-name -g sql-server-group --query "minimalTlsVersion"

# Update setting for Minimal TLS Version
az sql server update -n sql-server-name -g sql-server-group --set minimalTlsVersion="1.2"

클라이언트 연결 식별

Azure Portal 및 SQL 감사 로그를 통해 TLS 1.0 및 1.0을 사용하여 연결하는 클라이언트를 식별할 수 있습니다.

Azure Portal에서 데이터베이스 리소스에 대한 모니터링 아래의 메트릭으로 이동한 다음 성공적인 연결, TLS 버전 = 1.0 및 1.1로 필터링합니다.

데이터베이스 내에서 직접 sys.fn_get_audit_file 쿼리하여 감사 파일에서 client_tls_version_name 볼 수도 있습니다.