將 Power BI Desktop 連接到 Azure SQL 的最安全方式

Question

MS 建議使用這些方法來允許 Power BI Desktop 訪問 Azure DB

a) 打開所有 Azure IP 范圍到 Azure SQL 的入站連接

b) 打開到某些 IP 的入站連接

c) 使用企業網關，即使您在 Azure 中而不是在本地。 問題：這是否與真正的 VPN 一樣安全？ 意思是沒有數據可以發送到DB Server端口？

d) 是否沒有現成的 Azure-box-service 可以像帶有 mfa 的反向代理或應用程序防火牆一樣工作？

e) Azure 應用程序代理是一種解決方案嗎？

什么是最好的安全實踐？ a) 和 b) 讓我擔心，因為不需要訪問權限的龐大 Azure 未知用戶組。 並且因為數據庫不會受到 IP 欺騙的保護。

對於 c)、d)、e)，我沒有找到 MS 關於安全風險的明確引用。

感謝您澄清和評論我的擔憂。

Answer 1

從 Power BI Desktop 中，選項b) opening inbound connections to certain IPs是典型的方法。 您的組織通常會使用一組固定的小型公共 IP 來處理出站流量，這些可以添加到 Azure SQL Server 的防火牆中。

IP 欺騙不是問題，因為 Azure 永遠不會將返回數據包路由到欺騙者，即使它們以某種方式一路到達 SQL Server。

c) use an Enterprise Gateway問題：這與真正的 VPN 一樣安全嗎？ 意思是沒有數據可以發送到DB Server端口？

是的。 Power BI 網關服務器在私有 Azure VNet 上運行，並且 SQL Server 的防火牆配置為允許來自此 VNet 的連接。 但是 Power BI Desktop 無法使用網關直接連接。 它只是從 Power BI 服務連接到數據源的解決方案。 因此，如果您發布共享數據集，則可以使用 Power BI 桌面連接到該數據集。 但是不能通過網關直接從 Power BI Desktop 連接到 Azure SQL 數據庫。 因此，您仍然需要為在 Power BI Desktop 中設計 Power BI 數據集（模型）的用戶制定防火牆規則。

是否沒有現成的 Azure-box-service 可以像帶有 mfa 的反向代理或應用程序防火牆一樣工作？

不。這不是 HTTP 連接，因此沒有反向代理。 雖然您可以配置您的 Azure SQL 數據庫以允許 Azure Active Directory 帳戶，然后使用您的條件訪問策略來強制 MFA。 這些內置於 Azure SQL 數據庫和 Azure Active Directory，是防火牆之后的一個安全層。

2021 編輯

Azure SQL 數據庫現在支持專用鏈接，它使 Azure SQL 數據庫能夠偵聽 Azure 中專用網絡上的 IP 地址。 可以使用站點到站點 VPN 或 ExpressRoute 將此網絡路由到您的 Power BI Desktop 用戶，或者開發人員可以部署點到站點 VPN 以使單個桌面能夠直接與目標專用網絡進行通信。