Поделиться через

Аутентификация с помощью идентификатора Microsoft Entra в sqlcmd

  • Статья

Применяется к:SQL ServerБаза данных Azure SQLУправляемый экземпляр Azure SQLАналитика Azure SynapseСистема аналитической платформы (PDW)SQL-база данных в Microsoft Fabric

sqlcmd поддерживает различные модели проверки подлинности Microsoft Entra в зависимости от установленной версии.

Примечание.

Хотя Microsoft Entra ID — это новое имя для Azure Active Directory (Azure AD), чтобы предотвратить нарушение существующих сред, Azure AD по-прежнему остается в некоторых жестко закодированных элементах, таких как поля пользовательского интерфейса, поставщики подключений, коды ошибок и командлеты. В этой статье два имени являются взаимозаменяемыми.

Для получения дополнительной информации о различиях между версиями sqlcmd смотрите утилиту sqlcmd.

sqlcmd (Go) поддерживает больше моделей проверки подлинности Microsoft Entra на основе пакета azidentity. Реализация использует соединитель Microsoft Entra в драйвере go-sqlcmd.

Аргументы командной строки

Чтобы использовать проверку подлинности Microsoft Entra, можно использовать один из двух коммутаторов командной строки.

-G (в основном) совместим с его использованием в sqlcmd (ODBC). Если указано имя пользователя и пароль, он проходит проверку подлинности с помощью проверки подлинности паролей Microsoft Entra. Если указано имя пользователя, система использует интерактивную проверку подлинности Microsoft Entra, при которой может открыться веб-браузер. Если имя пользователя или пароль не указаны, то используется DefaultAzureCredential метод, который пытается пройти проверку подлинности с помощью различных механизмов.

Для указания одного из следующих типов проверки подлинности можно использовать --authentication-method=.

ActiveDirectoryDefault

  • Общие сведения о типах проверки подлинности, используемых в этом режиме, см. в разделе "Учетные данные Azure по умолчанию".
  • Выберите этот метод, если скрипты автоматизации базы данных предназначены для выполнения как в локальных средах разработки, так и в рабочем развертывании в Azure. В среде разработки можно использовать секрет клиента или имя входа Azure CLI. Без изменения скрипта из среды разработки можно использовать управляемое удостоверение или секрет клиента в рабочем развертывании.
  • Установка переменных среды AZURE_TENANT_ID и AZURE_CLIENT_ID необходима для DefaultAzureCredential того, чтобы начать проверку конфигурации среды и искать одну из следующих дополнительных переменных среды для аутентификации:
    • Установка переменной AZURE_CLIENT_SECRET среды настраивает DefaultAzureCredential для выбора ClientSecretCredential.
    • Настройка переменной AZURE_CLIENT_CERTIFICATE_PATH среды настраивает DefaultAzureCredential на выбор ClientCertificateCredential, если AZURE_CLIENT_SECRET не задан.
  • Настройка переменной среды AZURE_USERNAME приводит DefaultAzureCredential к выбору UsernamePasswordCredential, если AZURE_CLIENT_SECRET и AZURE_CLIENT_CERTIFICATE_PATH не заданы.

ActiveDirectoryIntegrated

Этот метод в настоящее время не реализуется и возвращается в ActiveDirectoryDefault.

пароль Active Directory

  • Этот метод проходит проверку подлинности с помощью имени пользователя и пароля. Он не работает, если требуется многофакторная проверка подлинности.

  • Вы предоставляете имя пользователя и пароль с помощью обычных коммутаторов командной строки или SQLCMD переменных среды.

  • Задайте для переменной среды AZURE_TENANT_ID идентификатор арендатора сервера, если не используется арендатор пользователя по умолчанию.

ActiveDirectoryInteractive

Этот метод запускает веб-браузер для проверки подлинности пользователя.

ActiveDirectoryManagedIdentity

Используйте этот метод при запуске sqlcmd (Go) на виртуальной машине Azure, которая имеет управляемое удостоверение, назначаемое системой или назначаемое пользователем. При использовании управляемого удостоверения, назначаемого пользователем, задайте имя пользователя как идентификатор клиента управляемого удостоверения. Если используется идентичность, назначаемая системой, оставьте поле имени пользователя пустым.

В этом примере показано, как подключиться с помощью удостоверения с назначением службы (SAMI):

-S testsrv.database.windows.net -d Target_DB_or_DW --authentication-method ActiveDirectoryManagedIdentity

В этом примере показано, как подключиться к управляемому удостоверению, назначенному пользователем (UAMI), добавив идентификатор клиента назначаемого пользователем управляемого удостоверения:

-S testsrv.database.windows.net -d Target_DB_or_DW --authentication-method ActiveDirectoryManagedIdentity -U <user-assigned-managed-identity-client-id>

ActiveDirectoryServicePrincipal

Этот метод проверяет подлинность указанного имени пользователя в качестве идентификатора субъекта-службы и пароль в качестве секрета клиента для субъекта-службы. Укажите имя пользователя в формате <service principal id>@<tenant id>. Задайте для переменной SQLCMDPASSWORD секрет клиента. При использовании сертификата вместо секрета клиента задайте для переменной среды AZURE_CLIENT_CERTIFICATE_PATH путь к файлу сертификата.

Переменные среды для аутентификации Microsoft Entra

Некоторые параметры проверки подлинности Microsoft Entra не поддерживают команды на командной строке, а некоторые переменные среды напрямую обрабатываются пакетом azidentity, используемым командой sqlcmd (Go).

Эти переменные среды можно задать для настройки некоторых аспектов проверки подлинности Microsoft Entra и обхода поведения по умолчанию. Помимо перечисленных ранее переменных, следующие относятся к sqlcmd (Go) и применяются к нескольким методам.

SQLCMDCLIENTID

Задайте для этой переменной среды идентификатор приложения, зарегистрированного в Microsoft Entra, который авторизован для аутентификации в базе данных SQL Azure. Применяется к методам ActiveDirectoryInteractive и ActiveDirectoryPassword.

Связанный контент