Azure SQL Database- und Azure Synapse IP-Firewallregeln

Gilt für:Azure SQL DatabaseAzure Synapse Analytics

Wenn Sie einen neuen Server in Azure SQL Database oder Azure Synapse Analytics namens mysqlserver erstellen, blockiert beispielsweise eine Firewall auf Serverebene den gesamten Zugriff auf den öffentlichen Endpunkt für den Server (auf mysqlserver.database.windows.net zugegriffen werden kann). Der Einfachheit halber wird SQL-Datenbank verwendet, um sowohl auf DIE SQL-Datenbank als auch auf Azure Synapse Analytics zu verweisen. Dieser Artikel gilt nicht für Azure SQL Managed Instance. Informationen zur Netzwerkkonfiguration finden Sie unter Connect your application to Azure SQL Managed Instance.

Funktionsweise der Firewall

Verbindungsversuche aus dem Internet und Azure müssen die Firewall durchlaufen, bevor sie den Server oder die Datenbank erreichen, wie im folgenden Diagramm dargestellt.

IP-Firewallregeln auf Serverebene

Diese Regeln erlauben es Clients, auf Ihren gesamten Server zuzugreifen, d. h. auf alle vom Server verwalteten Datenbanken. Die Regeln werden in der master Datenbank gespeichert. Die maximale Anzahl von IP-Firewallregeln auf Serverebene für einen Server ist 256. Wenn die Einstellung Allow Azure Services und Ressourcen für den Zugriff auf diesen Server aktiviert ist, zählt dies als eine einzelne Firewallregel für den Server.

Sie können IP-Firewallregeln auf Serverebene mithilfe der Azure Portal-, PowerShell- oder Transact-SQL-Anweisungen konfigurieren.

• Wenn Sie das Portal oder PowerShell verwenden möchten, müssen Sie der Besitzer oder ein Mitwirkender des Abonnements sein.
• Um Transact-SQL zu verwenden, müssen Sie eine Verbindung mit der master-Datenbank als Prinzipalanmeldung auf Serverebene oder als Microsoft Entra Administrator herstellen. (Eine IP-Firewallregel auf Serverebene muss zuerst von einem Benutzer erstellt werden, der über berechtigungen auf Azure Ebene verfügt.)

Firewallregeln auf Datenbankebene

IP-Firewallregeln auf Datenbankebene gestatten Clients den Zugriff auf bestimmte (sichere) Datenbanken. Sie erstellen die Regeln für jede Datenbank (einschließlich der master Datenbank), und sie werden in der einzelnen Datenbank gespeichert.

• Sie können IP-Firewall-Regeln auf Datenbankebene nur für master und Benutzerdatenbanken erstellen und verwalten, indem Sie Transact-SQL-Anweisungen verwenden, und zwar erst, nachdem die erste Firewall auf Serverebene konfiguriert wurde.
• Wenn Sie in der IP-Firewallregel auf Datenbankebene einen IP-Adressbereich angeben, der außerhalb des Bereichs der IP-Firewallregel auf Serverebene liegt, können nur die Clients auf die Datenbank zugreifen, die über IP-Adressen in dem auf Datenbankebene angegebenen Bereich verfügen.
• Der Standardwert für die maximale Anzahl von IP-Firewallregeln auf Datenbankebene für eine Datenbank ist „256“. Weitere Informationen zum Konfigurieren von IP-Firewallregeln auf Datenbankebene finden Sie weiter unten in diesem Artikel unter sp_set_database_firewall_rule (Azure SQL Database).

Empfehlungen zum Festlegen von Firewallregeln

Verwenden Sie nach Möglichkeit IP-Firewallregeln auf Datenbankebene. Diese Vorgehensweise erhöht die Sicherheit und macht Ihre Datenbank portabler. Verwenden Sie IP-Firewallregeln auf Serverebene für Administratoren. Darüber hinaus können Sie diese Regeln verwenden, wenn Sie über viele Datenbanken mit identischen Zugriffsanforderungen verfügen und die Datenbanken nicht einzeln konfigurieren möchten.

IP-Firewallregeln auf Serverebene im Vergleich zu Regeln auf Datenbankebene

Sollen Benutzende einer Datenbank vollständig von anderen Datenbanken isoliert werden?

Falls ja, verwenden Sie IP-Firewallregeln auf Datenbankebene, um Zugriff zu gewähren. Dadurch vermeiden Sie die Verwendung von IP-Firewallregeln auf Serverebene, die durch die Firewall den Zugriff auf alle Datenbanken ermöglichen. Dies würde die Sicherheit beeinträchtigen.

Benötigen Benutzende an den IP-Adressen Zugriff auf alle Datenbanken?

Falls ja, verwenden Sie IP-Firewallregeln auf Serverebene, um weniger IP-Firewallregeln konfigurieren zu müssen.

Hat die Person oder das Team, die die IP-Firewall-Regeln konfiguriert, nur über das Azure-Portal, PowerShell oder die REST-API Zugriff?

Falls ja, müssen IP-Firewallregeln auf Serverebene verwendet werden. IP-Firewallregeln auf Datenbankebene können nur über Transact-SQL konfiguriert werden.

Werden der Person oder dem Team, die bzw. das die IP-Firewallregeln konfiguriert, übergeordnete Berechtigungen auf Datenbankebene verweigert?

Falls ja, verwenden Sie IP-Firewallregeln auf Serverebene. Sie benötigen mindestens CONTROL DATABASE Berechtigung auf Datenbankebene, um IP-Firewallregeln auf Datenbankebene über Transact-SQL zu konfigurieren.

Verwaltet die Person oder das Team, die bzw. das die IP-Firewallregeln konfiguriert oder überwacht, die IP-Firewallregeln für viele (vielleicht sogar hunderte) Datenbanken zentral?

In diesem Fall hängen die Best Practices von Ihren Anforderungen und Ihrer Umgebung ab. IP-Firewallregeln auf Serverebene sind möglicherweise einfacher zu konfigurieren, doch durch Skripterstellung können Sie Regeln auf Datenbankebene konfigurieren. Selbst wenn Sie IP-Firewallregeln auf Serverebene verwenden, müssen Sie möglicherweise IP-Firewallregeln auf Datenbankebene überprüfen, um zu ermitteln, ob Benutzer*innen mit der CONTROL-Berechtigung für die Datenbank IP-Firewallregeln auf Datenbankebene erstellen.

Kann ich eine Kombination aus IP-Firewallregeln auf Serverebene und IP-Firewallregeln auf Datenbankebene verwenden?

Ja. Bestimmte Benutzer (z. B. Administratoren) benötigen möglicherweise IP-Firewallregeln auf Serverebene. Andere Benutzer, z. B. Benutzer einer Datenbankanwendung, benötigen möglicherweise IP-Firewallregeln auf Datenbankebene.

Verbindungen über das Internet

Wenn ein Computer versucht, über das Internet eine Verbindung mit dem Server herzustellen, prüft die Firewall zunächst die Ursprungs-IP-Adresse der Anforderung anhand von IP-Firewallregeln auf Serverebene für die Datenbank, die von der Verbindung angefordert wird.

• Liegt die Adresse innerhalb eines Bereichs, der in den IP-Firewallregeln auf Datenbankebene angegeben ist, wird die Verbindung mit der Datenbank gewährt, die die Regel enthält.
• Liegt die Adresse nicht innerhalb eines Bereichs in den IP-Firewallregeln auf Datenbankebene, überprüft die Firewall die IP-Firewallregeln auf Serverebene. Wenn die Adresse innerhalb eines Bereichs in den IP-Firewallregeln auf Serverebene liegt, wird die Verbindung gewährt. IP-Firewallregeln auf Serverebene gelten für alle vom Server verwalteten Datenbanken.
• Liegt die Adresse nicht innerhalb eines Bereichs in einer der IP-Firewallregeln auf Datenbank- oder Serverebene, ist die Verbindungsanforderung nicht erfolgreich.

Verbindungen von innerhalb von Azure

Damit Anwendungen, die in Azure gehostet werden, eine Verbindung mit Ihrem SQL Server herstellen können, müssen Sie Azure Verbindungen aktivieren. Erstellen Sie hierzu eine Firewallregel mit start- und endenden IP-Adressen, die auf 0.0.0.0 festgelegt sind. Diese Regel gilt nur für Azure SQL Database.

Wenn eine Anwendung von Azure versucht, eine Verbindung mit dem Server herzustellen, überprüft die Firewall, ob Azure Verbindungen zulässig sind, indem überprüft wird, ob diese Firewallregel vorhanden ist. Dies kann direkt über das Azure-Portal aktiviert werden, indem Sie in den Firewall- und virtuellen Netzwerk-Einstellungen die Option Azure-Diensten und -Ressourcen erlauben, auf diesen Server zuzugreifen auf EIN schalten. Durch das Wechseln der Einstellung auf ON wird eine eingehende Firewallregel für IP 0.0.0.0 - 0.0.0.0 namens AllowAllWindowsAzureIps erstellt. Die Regel kann in Ihrer master Datenbank sys.firewall_rules Ansicht angezeigt werden. Verwenden Sie PowerShell oder die Azure CLI, um eine Firewallregel mit Start- und End-IP-Adressen zu erstellen, die auf 0.0.0.0 festgelegt sind, wenn Sie das Portal nicht verwenden.

Die folgenden Azure Dienste verwenden diese Regel häufig, um eine Verbindung mit Azure SQL Database herzustellen:

• Azure App Service und Azure Functions
• Azure Data Factory
• Azure Stream Analytics
• Azure Logic Apps
• Azure Power BI
• Azure AI services

Um die Sicherheit zu erhöhen, sollten Sie anstelle der AllowAllWindowsAzureIps-Regel virtuelle Netzwerkdienstendpunkte oder private Endpunkte verwenden. Diese Alternativen beschränken die Konnektivität mit bestimmten Subnetzen oder privaten Netzwerken, anstatt alle Azure IP-Adressen zuzulassen.

Berechtigungen

Um IP-Firewallregeln für azure SQL Server zu erstellen und zu verwalten, müssen Sie über eine der folgenden Rollen verfügen:

• in der Rolle SQL Server Mitwirkender
• Rolle SQL-Sicherheits-Manager
• der Besitzer der Ressource, die den Azure SQL Server enthält

Erstellen und Verwalten von IP-Firewallregeln

Sie erstellen die Firewalleinstellung auf Serverebene mithilfe des portals Azure oder programmgesteuert mithilfe von Azure PowerShell, Azure CLI oder einer Azure REST-API. Sie erstellen und verwalten zusätzliche IP-Firewallregeln auf Serverebene mithilfe dieser Methoden oder Transact-SQL.

Um die Leistung zu verbessern, werden IP-Firewallregeln auf Serverebene vorübergehend auf Datenbankebene zwischengespeichert. Informationen zum Aktualisieren des Caches finden Sie unter DBCC FLUSHAUTHCACHE.

Verwenden des Azure Portals zum Verwalten von IP-Firewallregeln auf Serverebene

Um eine IP-Firewallregel auf Serverebene im Azure Portal festzulegen, wechseln Sie zur Übersichtsseite für Ihre Datenbank oder Ihren Server.

Vorgehensweise auf der Datenbankübersichtsseite

1. Wenn Sie eine IP-Firewallregel auf Serverebene auf der Datenbankübersichtsseite festlegen möchten, wählen Sie " Serverfirewall auf der Symbolleiste festlegen" aus, wie in der folgenden Abbildung dargestellt.

   

   Die Netzwerkseite für den Server wird geöffnet.

2. Fügen Sie eine Regel im Abschnitt "Firewallregeln " hinzu, um die IP-Adresse des verwendeten Computers hinzuzufügen, und wählen Sie dann "Speichern" aus. Eine IP-Firewallregel auf Serverebene wird für Ihre aktuelle IP-Adresse erstellt.

   

Vorgehensweise auf der Serverübersichtsseite

Die Übersichtsseite für Ihren Server wird geöffnet. Sie enthält den vollqualifizierten Servernamen (z. B. mynewserver20170403.database.windows.net) sowie Optionen für die weitere Konfiguration.

1. Um eine Regel auf Serverebene auf dieser Seite festzulegen, wählen Sie "Netzwerk " im Menü "Einstellungen " auf der linken Seite aus.

2. Fügen Sie eine Regel im Abschnitt "Firewallregeln " hinzu, um die IP-Adresse des verwendeten Computers hinzuzufügen, und wählen Sie dann "Speichern" aus. Eine IP-Firewallregel auf Serverebene wird für Ihre aktuelle IP-Adresse erstellt.

Verwenden von Transact-SQL zum Verwalten von IP-Firewallregeln

Im folgenden Beispiel werden die vorhandenen Regeln überprüft. Darüber hinaus wird ein IP-Adressbereich auf dem Server contoso aktiviert und eine IP-Firewallregel gelöscht:

SELECT * FROM sys.firewall_rules ORDER BY name;

Fügen Sie anschließend eine IP-Firewallregel auf Serverebene hinzu.

EXECUTE sp_set_firewall_rule @name = N'ContosoFirewallRule',
   @start_ip_address = '192.168.1.1', @end_ip_address = '192.168.1.10'

Führen Sie zum Löschen einer IP-Firewallregel auf Serverebene die gespeicherte Prozedur sp_delete_firewall_rule aus. Im folgenden Beispiel wird die Regel ContosoFirewallRule gelöscht:

EXECUTE sp_delete_firewall_rule @name = N'ContosoFirewallRule'

Verwalten von IP-Firewallregeln auf Serverebene mithilfe von PowerShell

Im folgenden Beispiel wird eine IP-Firewallregel auf Serverebene mithilfe von PowerShell festgelegt:

New-AzSqlServerFirewallRule -ResourceGroupName "myResourceGroup" `
    -ServerName $servername `
    -FirewallRuleName "ContosoIPRange" -StartIpAddress "192.168.1.0" -EndIpAddress "192.168.1.255"

Verwalten von IP-Firewallregeln auf Serverebene mithilfe der CLI

Im folgenden Beispiel wird eine IP-Firewallregel auf Serverebene mithilfe der CLI festgelegt:

az sql server firewall-rule create --resource-group myResourceGroup --server $servername \
-n ContosoIPRange --start-ip-address 192.168.1.0 --end-ip-address 192.168.1.255

Informationen zu Azure Synapse Analytics finden Sie in den folgenden Beispielen:

Im folgenden Beispiel wird CLI verwendet, um eine IP-Firewallregel auf Serverebene in Azure Synapse festzulegen:

az synapse workspace firewall-rule create --name AllowAllWindowsAzureIps --workspace-name $workspacename --resource-group $resourcegroupname --start-ip-address 0.0.0.0 --end-ip-address 0.0.0.0

Verwalten von IP-Firewallregeln auf Serverebene mithilfe einer REST-API

Grundlegendes zur Latenz von Firewallupdates

Das Serverauthentifizierungsmodell hat eine Latenz von 5 Minuten für alle Änderungen an Sicherheitseinstellungen, es sei denn, die Datenbank ist enthalten und ohne Failoverpartner. Änderungen, die an enthaltenen Datenbanken ohne Failoverpartner vorgenommen wurden, sind sofort möglich. Für enthaltene Datenbanken mit einem Failoverpartner ist jedes Sicherheitsupdate in der primären Datenbank sofort wirksam, die sekundäre Datenbank kann jedoch bis zu 5 Minuten dauern, bis Änderungen berücksichtigt werden.

In der folgenden Tabelle werden die Latenz von Änderungen an Sicherheitseinstellungen basierend auf Datenbanktyp und Failoverkonfiguration beschrieben:

Manuelles Aktualisieren von Firewallregeln

Wenn Firewallregeln schneller aktualisiert werden müssen als die Latenz von 5 Minuten, können Sie die Firewallregeln manuell aktualisieren. Melden Sie sich bei der Datenbankinstanz an, für die die Regeln aktualisiert werden müssen, und führen Sie DBCC FLUSHAUTHCACHE aus. Dies führt dazu, dass die Datenbankinstanz den lokalen Cache leeren und Firewallregeln aktualisieren kann.

DBCC FLUSHAUTHCACHE[;]

Behandeln von Problemen mit der Datenbankfirewall

Berücksichtigen Sie die folgenden Punkte, wenn sich der Zugriff auf Azure SQL Database nicht wie erwartet verhält.

• Konfiguration der lokalen Firewall:

  Bevor Ihr Computer auf Azure SQL Database zugreifen kann, müssen Sie möglicherweise eine Firewall-Ausnahme auf Ihrem Computer für TCP-Port 1433 erstellen. Um Verbindungen innerhalb der Azure Cloudgrenze herzustellen, müssen Sie möglicherweise zusätzliche Ports öffnen. Weitere Informationen finden Sie im Abschnitt "SQL Database: Outside vs inside" von Ports beyond 1433 for ADO.NET 4.5.

• Netzwerkadressenübersetzung:

  Aufgrund der Netzwerkadressenübersetzung (NETWORK Address Translation, NAT) unterscheidet sich die IP-Adresse, die von Ihrem Computer zum Herstellen einer Verbindung mit Azure SQL Database verwendet wird, möglicherweise von der IP-Adresse in den IP-Konfigurationseinstellungen Ihres Computers. So zeigen Sie die IP-Adresse an, die Ihr Computer zum Herstellen einer Verbindung mit Azure verwendet:

  1. Melden Sie sich beim Portal an.
  2. Navigieren Sie auf dem Server, der Ihre Datenbank hostet, zur Registerkarte Konfigurieren.
  3. Die aktuelle Client-IP-Adresse wird im Abschnitt "Zulässige IP-Adressen " angezeigt. Wählen Sie "Hinzufügen" bei "Zulässige IP-Adressen" aus, um diesem Computer den Zugriff auf den Server zu erlauben.

• Änderungen an der Zulassungsliste sind noch nicht wirksam geworden:

  Es kann bis zu einer verzögerung von fünf Minuten dauern, bis Änderungen an der Azure SQL Database Firewallkonfiguration wirksam werden.

• Die Anmeldung ist nicht autorisiert oder ein falsches Kennwort wurde verwendet:

  Wenn eine Anmeldung nicht über Berechtigungen für den Server verfügt oder das Kennwort falsch ist, wird die Verbindung mit dem Server verweigert. Durch Erstellen einer Firewalleinstellung wird Clients lediglich die Möglichkeit gegeben, eine Verbindung mit dem Server herzustellen. Der Client muss weiterhin die erforderlichen Sicherheitsanmeldeinformationen bereitstellen. Weitere Informationen zur Vorbereitung von Anmeldungen finden Sie unter Authorize database access to SQL Database, SQL Managed Instance, and Azure Synapse Analytics.

• Dynamische IP-Adresse:

  Wenn Sie über eine Internetverbindung mit dynamischer IP-Adresszuweisung verfügen und Probleme beim Passieren der Firewall haben, versuchen Sie Folgendes:

  • Erkundigen Sie sich bei Ihrem Internetdienstanbieter nach dem IP-Adressbereich, der den Clientcomputern zugewiesen ist, die auf den Server zugreifen. Fügen Sie diesen IP-Adressbereich als IP-Firewallregel hinzu.
  • Verwenden Sie für Ihre Clientcomputer stattdessen eine statische IP-Adressierung. Fügen Sie die IP-Adressen als IP-Firewallregeln hinzu.

Verwandte Inhalte

• Microsoft Azure Rechenzentrum-IP-Bereiche
• Erstellen einer einzelnen Datenbank in Azure SQL-Datenbank
• Client-Schnellstartcodebeispiele für die Azure SQL-Datenbank
• Ports jenseits von 1433 für ADO.NET 4.5
• An overview of Azure SQL Database and SQL Managed Instance security capabilities