将 Power BI Desktop 连接到 Azure SQL 的最安全方式

Question

MS 建议使用这些方法来允许 Power BI Desktop 访问 Azure DB

a) 打开所有 Azure IP 范围到 Azure SQL 的入站连接

b) 打开到某些 IP 的入站连接

c) 使用企业网关，即使您在 Azure 中而不是在本地。 问题：这是否与真正的 VPN 一样安全？ 意思是没有数据可以发送到DB Server端口？

d) 是否没有现成的 Azure-box-service 可以像带有 mfa 的反向代理或应用程序防火墙一样工作？

e) Azure 应用程序代理是一种解决方案吗？

什么是最好的安全实践？ a) 和 b) 让我担心，因为不需要访问权限的庞大 Azure 未知用户组。 并且因为数据库不会受到 IP 欺骗的保护。

对于 c)、d)、e)，我没有找到 MS 关于安全风险的明确引用。

感谢您澄清和评论我的担忧。

Answer 1

从 Power BI Desktop 中，选项b) opening inbound connections to certain IPs是典型的方法。 您的组织通常会使用一组固定的小型公共 IP 来处理出站流量，这些可以添加到 Azure SQL Server 的防火墙中。

IP 欺骗不是问题，因为 Azure 永远不会将返回数据包路由到欺骗者，即使它们以某种方式一路到达 SQL Server。

c) use an Enterprise Gateway问题：这与真正的 VPN 一样安全吗？ 意思是没有数据可以发送到DB Server端口？

是的。 Power BI 网关服务器在私有 Azure VNet 上运行，并且 SQL Server 的防火墙配置为允许来自此 VNet 的连接。 但是 Power BI Desktop 无法使用网关直接连接。 它只是从 Power BI 服务连接到数据源的解决方案。 因此，如果您发布共享数据集，则可以使用 Power BI 桌面连接到该数据集。 但是不能通过网关直接从 Power BI Desktop 连接到 Azure SQL 数据库。 因此，您仍然需要为在 Power BI Desktop 中设计 Power BI 数据集（模型）的用户制定防火墙规则。

是否没有现成的 Azure-box-service 可以像带有 mfa 的反向代理或应用程序防火墙一样工作？

不。这不是 HTTP 连接，因此没有反向代理。 虽然您可以配置您的 Azure SQL 数据库以允许 Azure Active Directory 帐户，然后使用您的条件访问策略来强制 MFA。 这些内置于 Azure SQL 数据库和 Azure Active Directory，是防火墙之后的一个安全层。

2021 编辑

Azure SQL 数据库现在支持专用链接，它使 Azure SQL 数据库能够侦听 Azure 中专用网络上的 IP 地址。 可以使用站点到站点 VPN 或 ExpressRoute 将此网络路由到您的 Power BI Desktop 用户，或者开发人员可以部署点到站点 VPN 以使单个桌面能够直接与目标专用网络进行通信。