Zabezpečení služby Azure Database for MySQL

Azure Database for MySQL je plně spravovaná relační databázová služba, která poskytuje vysokou dostupnost, automatizované zálohování a škálovatelné hostování databází kompatibilní s MySQL. Zabezpečení nasazení flexibilního serveru pomáhá chránit citlivá data, snižovat ohrožení identity a sítě a podporovat požadavky na dodržování předpisů.

Tento článek obsahuje doporučení zabezpečení, která pomáhají chránit nasazení Azure Database for MySQL.

Doporučení zabezpečení v tomto článku implementují principy nulové důvěryhodnosti: "Ověřit explicitně", "Použít přístup s nejnižšími oprávněními" a "Předpokládat porušení zabezpečení". Pro podrobné pokyny k principu nulová důvěra (Zero Trust) navštivte Centrum pro pokyny k nulová důvěra (Zero Trust).

Zabezpečení sítě

Kontrolní mechanismy zabezpečení sítě pomáhají omezit, jak klienti dosáhnou Azure Database for MySQL instancí flexibilních serverů a snižují riziko ohrožení veřejného internetového provozu.

Správa identit a přístupu

Řízení identit a přístupu pomáhá centralizovat ověřování, omezit vystavení přihlašovacích údajů a vynutit nejnižší oprávnění pro operace správy Azure i přístup k databázi.

  • Pro přístup k databázi použijte ověřování Microsoft Entra: Nakonfigurujte ověřování Microsoft Entra pro Azure Database for MySQL flexibilní server, aby se uživatelé a aplikace mohly ověřovat pomocí Microsoft Entra identit, a nespoléhat se jenom na hesla MySQL. Další informace najdete v tématu ověřování Microsoft Entra pro Azure Database for MySQL – flexibilní server.
  • Pokud je to možné, používejte pouze ověřování Microsoft Entra: Po migraci uživatelů a aplikací na ověřování Microsoft Entra zakažte nativní ověřování MySQL, abyste omezili přístupové cesty k flexibilnímu serveru založené na heslech. Další informace najdete v tématu Microsoft Entra ověřování pro Azure Database for MySQL – flexibilní server.
  • Používejte spravované identity pro připojení aplikací: Používejte spravované identity nebo instanční objekty s ověřováním Microsoft Entra, aby se aplikace místo vložených hesel databáze připojují k Azure Database for MySQL s tokeny. Další informace najdete v tématu ověřování Microsoft Entra pro službu Azure Database for MySQL – Flexibilní server.
  • Přiřaďte oprávnění k databázi s nejnižšími oprávněními: Vytvořte vyhrazené uživatele databáze MySQL nebo uživatele databáze mapované Microsoft Entra pro každou aplikaci nebo funkci správy a udělte pouze oprávnění ke schématu, tabulce a operacím, která každá identita potřebuje. Další informace najdete v tématu Vytváření uživatelů ve službě Azure Database for MySQL.
  • Vynucení podmíněného přístupu pro správce Azure Database for MySQL: Použijte zásady podmíněného přístupu, které vyžadují vícefaktorové ověřování pro identity, které můžou spravovat flexibilní prostředky serveru prostřednictvím Azure Resource Manager nástrojů, jako je portál Azure, Azure CLI a Azure PowerShell. Pro více informací viz Vyžadovat MFA pro správu Azure.

Ochrana dat

Azure Database for MySQL ve výchozím nastavení šifruje neaktivní uložená data pomocí klíčů spravovaných službou. Následující ovládací prvky poskytují větší kontrolu nad šifrováním, správou klíčů a šifrovanými připojeními klientů.

  • Vyžadovat šifrovaná připojení klientů: Nechte require_secure_transport povoleno, aby klientská připojení k Azure Database for MySQL používala šifrování TLS a neodesílala přenosy databáze ve formátu prostého textu. Další informace najdete v tématu Tls (Transport Layer Security) v Azure Database for MySQL.
  • Vynucení protokolu TLS 1.3 pro servery MySQL 8.0: Po potvrzení, že klientské aplikace a ovladače podporují protokol TLS 1.3, nastavte tls_version na TLS 1.3 na flexibilních serverech Azure Database for MySQL 8.0. Další informace najdete v tématu Tls (Transport Layer Security) v Azure Database for MySQL.
  • Ověřte certifikáty serveru od klientů: Nakonfigurujte klientské aplikace tak, aby ověřily řetěz certifikátů serveru a důvěřovaly pouze kořenovým certifikačním autoritám, aby běžná zprostředkující certifikační autorita nebo obměny certifikátů serveru nepřerušily zabezpečená připojení. Další informace najdete v tématu Tls (Transport Layer Security) v Azure Database for MySQL.
  • Používejte klíče spravované zákazníkem pro řízení klíčů: Klíče spravované zákazníkem uložené v Azure Key Vault nebo Azure Key Vault Managed HSM použijte, pokud potřebujete oddělení povinností, správu životního cyklu klíčů řízeného zákazníkem nebo více kontrol dodržování předpisů pro šifrování neaktivních uložených dat. Další informace naleznete v tématu Šifrování dat pomocí klíčů spravovaných zákazníkem pro Azure Database for MySQL.
  • Chraňte závislosti klíčů spravovaných zákazníkem: Povolte obnovitelné odstranění a ochranu před trvalým odstraněním v Key Vaultu nebo spravovaném HSM, které ukládají klíč spravovaný zákazníkem, přiřaďte požadovaná oprávnění ke klíči uživatelem přiřazené spravované identitě serveru a monitorujte přístup ke klíči, protože ztráta přístupu ke klíči může způsobit, že flexibilní server bude nepřístupný. Další informace naleznete v tématu Šifrování dat pomocí klíčů spravovaných zákazníkem pro Azure Database for MySQL.

Protokolování a monitorování

Kontrolní mechanismy protokolování a monitorování pomáhají zjišťovat podezřelé databázové aktivity, zkoumat změny správy a uchovávat důkazy auditu pro dodržování předpisů.

  • Povolte protokolování auditu MySQL: Nastavte audit_log_enabled na ON, zvolte typy auditních událostí, které odpovídají vašim požadavkům na zabezpečení a soulad s předpisy, a zachytávejte události připojení, správy, DDL a DML pro účely šetření. Další informace najdete v tématu Kurz: Konfigurace protokolů auditu pomocí Azure Database for MySQL – flexibilní server.
  • Směrování protokolů auditu do Azure Monitor: Nakonfigurujte nastavení diagnostiky tak, aby odesílala MySqlAuditLogs kategorii protokolu prostředků do Log Analytics pracovního prostoru, centra událostí nebo účtu úložiště, abyste mohli dotazovat události auditu v AzureDiagnostics tabulce, zachovat důkazy a integrovat události auditu databáze s pracovními postupy operací zabezpečení. Další informace najdete v tématu Kurz: Konfigurace protokolů auditu pomocí Azure Database for MySQL – flexibilní server.
  • Použijte sešit auditování: Pomocí integrovaného sešitu auditování Azure Monitor pro Azure Database for MySQL zkontrolujte akce správy, souhrny auditu, události připojení, souhrny přístupu k tabulce a zjištěné chyby. Další informace najdete v tématu Kurz: Konfigurace protokolů auditu pomocí Azure Database for MySQL – flexibilní server.
  • Povolte Microsoft Defender pro open-source relační databáze: Povolte Microsoft Defender pro open-source relační databáze v Microsoft Defender for Cloud, aby instance služby Azure Database for MySQL – flexibilní server mohly generovat výstrahy na neobvyklou nebo potenciálně škodlivou aktivitu databáze. Další informace najdete v tématu Povolení Defender pro opensourcové relační databáze v Azure.

Dodržování předpisů a zásady správného řízení

Kontrolní mechanismy dodržování předpisů a zásad správného řízení pomáhají vynucovat konzistentní zabezpečenou konfiguraci napříč flexibilními serverovými flotilami Azure Database for MySQL a chránit produkční prostředky před náhodnými nebo neoprávněnými změnami.

  • Vynucení protokolování diagnostiky pomocí Azure Policy: Přiřaďte předdefinované definice Azure Policy pro microsoft.dbformysql/flexibleservers nastavení diagnostiky, jako jsou zásady, které směrují protokoly do Log Analytics, event hubs nebo úložiště, takže se konzistentně shromažďují flexibilní data auditu serveru. Další informace najdete v tématu Předdefinované definice zásad služby Azure Policy.
  • Použijte zámky proti odstranění u produkčních serverů: Přidejte k produkčním prostředkům Azure Database for MySQL – flexibilní server zámek CanNotDelete, abyste snížili riziko náhodného odstranění a zároveň zachovali možnost běžných provozních změn. Další informace najdete v tématu Uzamčení prostředků Azure za účelem ochrany infrastruktury.
  • Označte databázové prostředky pro správu a řízení: Použijte značky, například pracovní zátěž, prostředí, klasifikaci dat, vlastníka a nákladové středisko, u prostředků služby Azure Database for MySQL – flexibilní server, aby bylo možné při přiřazování zásad, dotazech na inventář a kontrolách nákladů rozlišovat produkční a citlivé databázové pracovní zátěže. Další informace najdete v tématu Použití značek k uspořádání prostředků Azure a hierarchii správy.

Zálohování a obnovování

Ovládací prvky zálohování a obnovení vám pomůžou zotavit se z náhodného odstranění, poškození dat, regionálních výpadků a rizikových operací změn.

Další kroky

  • Poslední aktualizace v