Reach Azure SQL and Microsoft Fabric without building a connection string

Einen JDBC-Client auf Azure SQL zu richten ist selten fünf Minuten schwer und dann eine Stunde lang schwer. Der Connection String will encrypt, hostNameInCertificate und einen authentication-Modus; der Benutzername braucht das Suffix @servername — oder auch nicht; und das Zugriffstoken, falls Sie diesen Weg gewählt haben, läuft ab, während Sie noch die Dokumentation lesen. Schlägt es fehl, sagt der Treiber Login failed for user '', was zutrifft und nichts nützt.

Version 4.01 ersetzt das Zusammenbauen des Strings durch einen Dialog. Ein neuer Reiter Azure stellt zwei Fragen — womit verbinden Sie sich, und wie wollen Sie sich anmelden — und baut den Rest selbst.

Womit Sie sich verbinden

Der Treibereintrag heißt Microsoft Azure SQL (Database, Managed Instance, VM), und das Ziel auf dem Azure-Reiter grenzt weiter ein. Diese Wahl ist nicht kosmetisch — sie ändert, was der Rest der Anwendung tut:

• Azure SQL Database verbindet sich mit genau einer Datenbank und kann nicht wechseln. Setzen Sie das Ziel, und der Server Navigator listet nur die Datenbank, mit der Sie tatsächlich verbunden sind, statt Ihnen ein Dutzend anzubieten, die Sie nicht öffnen können. Das Feld Database Name auf demselben Reiter wählt aus, welche; lassen Sie es leer, bekommen Sie die Standarddatenbank Ihrer Anmeldung, angezeigt als <default> — dieselbe Formulierung wie im SSMS.
• Managed Instance und SQL Server auf einer VM verhalten sich wie ein gewöhnlicher SQL Server, und der Navigator ebenso.
• Microsoft Fabric — Warehouse, der SQL-Analyseendpunkt eines Lakehouse oder eine Fabric SQL Database. Siehe unten.

Wenn Sie bereits einen Connection String haben, fügen Sie ihn ein. Die JDBC-, ADO.NET- und ODBC-Form werden alle verstanden, und Benutzername und Passwort werden herausgelöst und in ihre eigenen Felder gelegt, statt im String zu bleiben.

Anmelden

Die Anmeldeverfahren sind dieselben, die das SQL Server Management Studio anbietet — für Microsoft SQL Server, Azure SQL und Fabric gleichermaßen. Ihre Wahl wird mit der Verbindung gespeichert, und die Felder für Benutzer und Passwort schalten sich passend an und ab; der Dialog fragt also nie nach einem Passwort, das ein Verfahren gar nicht benutzt.

Das kurze: Microsoft Entra Default

Wer ohnehin mit der Azure CLI arbeitet, wählt dieses Verfahren. Einmal az login, dann verbinden: kein Browserfenster, nichts zu tippen, kein Token einzufügen und kein stündliches Token-Holen von Hand. Eine Anmeldung, die Sie schon über Azure PowerShell, die Azure Developer CLI oder Visual Studio Code haben, wird genauso akzeptiert. Gespeichert wird dafür nichts — kein Passwort, kein Token —, was es zugleich zum am leichtesten begründbaren Verfahren in einem Security-Review macht.

Ein Entra-ID-Zugriffstoken von Hand einzufügen bleibt möglich und ist weiterhin die Antwort für einen abgeschotteten Rechner ohne Azure-Werkzeuge. Bestehende Verbindungen mit Windows-Authentifizierung funktionieren weiter und zeigen das jetzt auch in der Liste an, statt es Sie erraten zu lassen.

Wenn Azure ablehnt, bekommen Sie Azures Grund

Das ist der Teil, der die Stunde spart. Wo Azure einen Grund für die Ablehnung nennt, lesen Sie diesen Grund:

• eine fehlende Firewall-Regel für Ihre aktuelle IP-Adresse;
• ein Benutzername, der das Suffix @servername braucht;
• ein abgelaufenes Zugriffstoken;
• der ausgehende Port 1433, im eigenen Netz gesperrt.

Der Dialog hält Sie außerdem an, bevor der Treiber es tut. Der Azure-Reiter öffnet sich nur für einen SQL-Server-, Azure-SQL- oder Fabric-Treiber — oder auf einer Verbindung, die bereits ein Ziel gesetzt hat —, und ein Warnsymbol auf dem Reiter zeigt an, wenn ein benötigtes Entra-ID-Token noch fehlt. Passen Treiber und Ziel nicht zusammen, oder steht Fabric auf SQL-Anmeldung statt Entra ID, werden Sie vor dem Speichern oder Testen gefragt oder auf den Azure-Reiter geführt.

Microsoft Fabric

Drei Fabric-Endpunkte sind erreichbar: ein Warehouse, der SQL-Analyseendpunkt eines Lakehouse und eine Fabric SQL Database. Wählen Sie das Ziel auf dem Azure-Reiter und melden Sie sich mit einem Entra-ID-Token an — das ist, was Fabric akzeptiert.

Der Analyseendpunkt liefert Daten, die über das Lakehouse geschrieben werden, nicht über SQL. Eine Verbindung dorthin wird deshalb als schreibgeschützt geführt, und schreibende Statements, Rasterbearbeitung und Data-Pumper-Schreibvorgänge werden von ihr ferngehalten — nicht als Richtlinienentscheidung, sondern weil der Endpunkt sie ohnehin ablehnen würde und es besser ist, das vor dem Tippen zu erfahren. Denselben Mechanismus können Sie auf jeder Verbindung selbst setzen; siehe Umgebungen und Schreibschutz.

Verschlüsselung und der Treiber darunter

SQL-Server- und Azure-SQL-Verbindungen verwenden jetzt die Verschlüsselungsvorgabe des Microsoft-Treibers — verschlüsselt, mit Prüfung des Serverzertifikats. Bis 4.00 wurde jede SQL-Server-Verbindung zwangsweise unverschlüsselt geführt, und eine Einstellung in der JDBC-URL wurde überschrieben, um das sicherzustellen; das ist vorbei. Der TLS-Reiter wählt Verschlüsselt vor, sobald ein Azure-Ziel gewählt ist, außer Sie haben es selbst schon gesetzt, und für einen Server mit selbstsigniertem Zertifikat steht der Schalter Serverzertifikat vertrauen daneben. Näheres unter sichere Verbindungen.

Darunter arbeitet der Microsoft SQL Server JDBC-Treiber 13.4.0, derselbe, der auch hinter dem gewöhnlichen SQL-Server-Eintrag steht, mit der passenden Hilfsbibliothek für die integrierte Windows-Authentifizierung. Zu installieren ist nichts: Er ist in der Anwendung enthalten wie der Rest. Was sonst noch aus demselben Fenster erreichbar ist, steht unter Über IRIS hinaus.

Der nächste Schritt

Wenn Sie eine Azure SQL Database und die Azure CLI auf Ihrem Rechner haben, ist das ein Zwei-Minuten-Test: SQL DATA LENS herunterladen, eine Verbindung mit dem Azure-SQL-Treiber anlegen, Microsoft Entra Default wählen — und sehen, ob sie sich verbindet, ohne dass Sie ein Passwort eintippen.