Konfigurera tjänstslutpunktsprinciper för Azure SQL Managed Instance

Applies to:Azure SQL Managed Instance

Genom att använda tjänstslutpunktsprinciper för Azure Storage tjänstslutpunkter i ett virtuellt nätverksundernät (VNet) kan du filtrera utgående trafik för virtuella nätverk för att Azure Storage och begränsa dataöverföringar till specifika lagringskonton.

Viktiga fördelar

Att konfigurera Virtual Network Azure Storage tjänstslutpunktsprinciper för din Azure SQL Managed Instance ger följande fördelar:

• Förbättrad säkerhet för din Azure SQL Managed Instance trafik till Azure Storage: Slutpunktsprinciper upprättar en säkerhetskontroll som förhindrar felaktig eller skadlig exfiltrering av affärskritiska data. Du kan begränsa trafiken till endast de lagringskonton som är kompatibla med dina datastyrningskrav.

• detaljerad kontroll över vilka lagringskonton som kan nås: Tjänstslutpunktsprinciper kan tillåta trafik till lagringskonton på prenumerations-, resursgrupps- och individuell lagringskontonivå. Administratörer kan använda tjänstslutpunktsprinciper för att framtvinga efterlevnad av organisationens datasäkerhetsarkitektur i Azure.

• Systemtrafik påverkas inte: Tjänstslutpunktsprinciper hindrar aldrig åtkomst till lagring som krävs för att Azure SQL Managed Instance ska fungera. Den här lagringen omfattar säkerhetskopior, datafiler, transaktionsloggfiler och andra tillgångar.

Tjänstslutpunktsprinciper styr endast trafik som kommer från SQL Managed Instance undernät och avslutas i Azure Storage. De påverkar inte andra metoder för utgående data. De påverkar till exempel inte export av databasen till en lokal BACPAC-fil, Azure Data Factory integrering, dataexfiltrering till andra molnleverantörer eller andra mekanismer för dataextrahering som inte direkt riktar sig mot Azure Storage. Du kan skydda dessa vägar med hjälp av andra trafikkontroller, till exempel användardefinierade vägar, nätverkssäkerhetsgrupper och Azure Firewall.

Begränsningar

Tjänstslutpunktsprinciper för Azure SQL Managed Instance har följande begränsningar:

• Tjänstslutpunktsprinciper för Azure Storage i hanterade instansundernät är tillgängliga i alla Azure regioner där SQL Managed Instance stöds förutom de som anges i Service endpoint policy regional tillgänglighet.
• Du kan bara använda den här funktionen med virtuella nätverk som distribueras via Azure Resource Manager distributionsmodellen.
• Du kan bara använda den här funktionen i undernät som har tjänstslutpunkter för Azure Storage aktiverat.
• När du tilldelar en tjänstslutpunktsprincip till en tjänstslutpunkt uppgraderas slutpunkten från att vara regional till att ha global omfattning. Med andra ord går all trafik till Azure Storage via tjänstslutpunkten oavsett i vilken region lagringskontot finns.
• Att tillåta ett lagringskonto ger dig automatiskt åtkomst till dess sekundära RA-GRS, om det finns.

Förbereda lagringslager

Innan du konfigurerar tjänstslutpunktsprinciper i ett undernät skapar du en lista över lagringskonton som den hanterade instansen behöver åtkomst till i undernätet.

Följande arbetsflöden kan kontakta Azure Storage:

• SQL Server Auditering i Azure SQL Managed Instance till Azure Storage.
• Utför en copy-only backup till Azure Storage.
• Restoring en databas från Azure Storage.
• Importera data genom att använda BULK INSERT eller OPENROWSET(BULK ...).
• Loggning nästa händelser till ett händelsefilmål på Azure Storage.
• Azure DMS offline-migrering till Azure SQL Managed Instance.
• Log Replay Service-migrering till Azure SQL Managed Instance.
• Synkronisera tabeller med hjälp av transaktionsreplikering.

Observera kontonamnet, resursgruppen och prenumerationen för alla lagringskonton som deltar i dessa eller andra arbetsflöden som har åtkomst till lagring.

Konfigurera principer

Skapa först din tjänstslutspunktsprincip och associera den sedan med SQL Managed Instance-subnätet. Ändra arbetsflödet i det här avsnittet så att det passar dina affärsbehov.

Skapa en tjänsteslutpunktspolicy

Följ dessa steg för att skapa en tjänstslutpunktsprincip:

1. Logga in på Azure-portalen.

2. Välj + Skapa en resurs.

3. I sökfönstret anger du tjänstslutpunktsprincip, väljer tjänstslutpunktsprincipoch väljer sedan Skapa.

   

4. Fyll i följande värden på sidan Grundläggande:

   • Prenumeration: Välj prenumerationen för policyn i listrutan.
   • Resursgrupp: Välj resursgruppen där den hanterade instansen finns eller välj Skapa ny och fyll i namnet på en ny resursgrupp.
   • Namn: Ange ett namn för din princip, till exempel mySEP-.
   • Plats: Välj region för det virtuella nätverk som är värd för den hanterade instansen.

   

5. I principdefinitionerväljer du Lägg till ett alias och anger följande information i fönstret Lägg till ett alias:

   • Tjänstalias: Välj /Services/Azure/ManagedInstance.
   • Välj Lägg till för att slutföra tillägg av tjänstaliaset.

   

6. I Principdefinitioner väljer du + Lägg till under Resurser och anger eller väljer följande information i fönstret Lägg till en resurs :

   • Tjänst: Välj Microsoft. Lagring.
   • Omfång: Välj Alla konton i prenumerationen.
   • Prenumeration: Välj en prenumeration som innehåller de lagringskonton som ska tillåtas. Konsultera din inventering av Azure-lagringskonton som skapades tidigare.
   • Välj Lägg till för att slutföra tillägg av resursen.
   • Upprepa det här steget om du vill lägga till ytterligare prenumerationer.

   

7. (Valfritt) Konfigurera taggar på tjänstslutpunktsprincipen under Taggar.

8. Välj Granska + Skapa. Verifiera informationen och välj Skapa. Om du vill göra ytterligare ändringar väljer du Föregående.

Associera princip med undernät

När du har skapat din tjänstslutpunktsprincip associerar du principen med ditt SQL Managed Instance undernät.

Följ dessa steg för att koppla din regel:

1. I rutan Alla tjänster i Azure-portalen söker du efter virtuella nätverk. Välj Virtuella nätverk.

2. Leta upp och välj det virtuella nätverk som är värd för din hanterade instans.

3. Välj undernät och välj det undernät som är dedikerat till din hanterade instans. Ange följande information i undernätsfönstret:

   • Tjänster: Välj Microsoft. Lagring. Om det här fältet är tomt måste du konfigurera tjänstslutpunkten för Azure Storage i det här undernätet.
   • Tjänstslutpunktsprinciper: Välj alla tjänstslutpunktsprinciper som du vill tillämpa på SQL Managed Instance undernätet.

   

4. Välj Spara för att slutföra konfigurationen av det virtuella nätverket.

Relaterat innehåll

• Sekera dina Azure Storage konton
• SQL Managed Instance säkerhetsfunktioner
• Anslutningsarkitektur för Azure SQL Managed Instance