Connecter Azure Database pour MySQL vers Excel, Google Sheets, l'IA et REST

Le protocole TLS est ici associé à la case à cocher, et non au nom d'hôte.

C’est le seul endroit où copier la page Azure PostgreSQL serait une erreur, il est donc important de le préciser clairement.

• L'utilisation du protocole SSL est activée par défaut et, lorsqu'elle est activée, la connexion est chiffrée. — l'agent demande à MySQL une session TLS requise.
• Désactivez cette option et l'agent tentera une connexion non chiffrée. Aucun paramètre du chemin MySQL ne remplace ce comportement en fonction du nom d'hôte ; c'est précisément en cela que cette carte diffère d'Azure PostgreSQL.
• La raison est structurelle et non due à un oubli : l’agent conserve une table des noms d’hôtes Postgres pour lesquels il impose le protocole TLS, et il n’existe pas d’équivalent pour MySQL. La case à cocher constitue l’intégralité du mécanisme.
• Le chiffrement ne constitue pas une vérification de certificat. L'agent requiert TLS mais ne valide pas la chaîne de certificats du serveur ; il faut donc le considérer comme une protection contre l'écoute clandestine du réseau plutôt que comme une preuve de la nature du contenu auquel vous avez accédé.

Serveur flexible et piège à noms d'utilisateur

Azure propose MySQL sous deux formes différentes, et les deux versions divergent quant à l'apparence du nom d'utilisateur. La carte prend parti.

• Cette carte est conçue pour les serveurs flexibles. Le port par défaut est le 3306 et le nom du serveur se termine par .mysql.database.azure.com.
• Le serveur flexible utilise des noms d'utilisateur simples. L'offre de serveur unique, désormais obsolète, utilisait le format utilisateur@nom_du_serveur. Si vous en collez un, la fiche vous indique de supprimer le suffixe afin d'éviter qu'Azure ne le rejette ultérieurement pour cause d'échec d'authentification.
• C'est un meilleur endroit pour détecter le problème. Une connexion via @servername échoue côté serveur avec une erreur d'authentification générique, ce qui incite les utilisateurs à réinitialiser des mots de passe qui n'ont jamais été erronés.
• Un mot de passe contenant des espaces en début ou en fin est également signalé. Il s'agit d'un artefact du presse-papiers, et cela provoque également une erreur d'authentification classique.

Les points de terminaison privés conviennent bien à l'agent

Étant donné que l'agent compose des numéros et n'écoute jamais, la raison habituelle d'exposer un serveur de base de données ne s'applique pas.

• Installez l'agent sur une machine virtuelle au sein du même réseau virtuel et configurez-le pour qu'il pointe vers le point de terminaison privé. L'accès public peut rester désactivé.
• Aucune règle de pare-feu entrante à ajouter, aucune liste blanche d'adresses IP à gérer et aucun VPN entre votre réseau et le nôtre. L'agent ouvre la connexion sortante.
• L'authentification requiert un nom d'utilisateur et un mot de passe. Microsoft Entra ID n'est pas intégré à ce connecteur ; utilisez donc une connexion MySQL limitée à la lecture des données que vous souhaitez exposer.
• Un utilisateur en lecture seule vaut bien ces deux minutes. Les flux de requêtes n'écrivent pas, mais le moyen le plus sûr de le garantir est au niveau de la base de données.

-- MySQL ordinaire, lecture seule, sur TLS SELECT c.name, COUNT(o.id) AS orders, SUM(o.amount) AS revenue FROM customers AS c JOIN orders AS o ON o.customer_id = c.id WHERE o.placed_at >= NOW() - INTERVAL 30 DAY GROUP BY c.name ORDER BY revenue DESC;