Łączyć Baza danych Azure dla MySQL do Excela, Arkuszy Google, AI i REST

W tym przypadku protokół TLS jest zgodny z polem wyboru, a nie nazwą hosta

To jest jedyne miejsce, w którym skopiowanie strony Azure PostgreSQL byłoby błędem, więc warto to wyraźnie powiedzieć.

• Opcja Użyj protokołu SSL jest domyślnie włączona, a gdy jest włączona, połączenie jest szyfrowane — agent prosi MySQL o wymaganą sesję TLS.
• Wyłącz tę opcję, a agent spróbuje nawiązać niezaszyfrowane połączenie. Żadna wartość w ścieżce MySQL nie zastępuje tej wartości na podstawie nazwy hosta, co właśnie odróżnia tę kartę od Azure PostgreSQL.
• Powód jest raczej strukturalny niż niedopatrzenie: agent przechowuje tabelę hostowanych nazw hostów Postgres, dla których wymusza TLS, i nie ma odpowiednika w MySQL. Pole wyboru stanowi cały mechanizm.
• Szyfrowanie nie jest weryfikacją certyfikatu. Agent wymaga protokołu TLS, ale nie weryfikuje łańcucha certyfikatów serwera, więc traktuj to jako zabezpieczenie przed podsłuchiwaniem połączeń, a nie jako dowód na to, do czego udało Ci się dotrzeć.

Elastyczny serwer i pułapka na nazwę użytkownika

Azure oferuje MySQL w dwóch formach i nie zgadzają się co do wyglądu nazwy użytkownika. Karta zajmuje jedną ze stron.

• Ta karta została zaprojektowana z myślą o elastycznym serwerze. Domyślny port to 3306, a nazwa serwera kończy się na .mysql.database.azure.com.
• Elastyczny serwer używa prostych nazw użytkowników. Wycofana z oferty pojedynczo-serwerowej wersja korzystała z formatu użytkownik@nazwa-serwera, a po wklejeniu takiego sufiksu karta informuje o jego usunięciu, zamiast pozwolić platformie Azure odrzucić go później jako błąd uwierzytelnienia.
• To lepsze miejsce na wykrycie. Logowanie @servername kończy się niepowodzeniem po drugiej stronie jako ogólny błąd uwierzytelniania, co zmusza użytkowników do resetowania haseł, które nigdy nie były błędne.
• Hasło ze spacją na początku lub na końcu również jest oznaczane. Jest to artefakt schowka i jest traktowane jako zwykły błąd uwierzytelniania.

Prywatne punkty końcowe są odpowiednie dla agenta

Ponieważ agent wybiera numer i nigdy nie podsłuchuje, typowy powód udostępniania serwera bazy danych nie ma tu zastosowania.

• Umieść agenta na maszynie wirtualnej w tej samej sieci wirtualnej i skieruj go na prywatny punkt końcowy. Dostęp publiczny może pozostać wyłączony.
• Nie ma konieczności dodawania żadnej reguły zapory przychodzącej, utrzymywania żadnej listy dozwolonych adresów IP ani połączenia VPN między Twoją siecią a naszą. Agent otwiera połączenie wychodzące.
• Uwierzytelnianie to nazwa użytkownika i hasło. Identyfikator Microsoft Entra ID nie jest powiązany z tym złączem, dlatego należy użyć zakresu logowania MySQL, aby odczytać dane, które chcesz udostępnić.
• Użytkownik z uprawnieniami tylko do odczytu jest wart tych dwóch minut. Strumienie zapytań nie będą zapisywać, ale najbezpieczniejszym sposobem, aby to zagwarantować, jest dostęp do bazy danych.

-- Zwykły MySQL, tylko do odczytu, przez TLS SELECT c.name, COUNT(o.id) AS orders, SUM(o.amount) AS income FROM customers AS c JOIN orders AS o ON o.customer_id = c.id WHERE o.placed_at >= NOW() - INTERVAL 30 DAY GROUP BY c.name ORDER BY income DESC;