Configurer des points de terminaison publics dans Azure SQL Managed Instance

S’applique à : Azure SQL Managed Instance

Un point de terminaison public pour Azure SQL Managed Instance permet l’accès aux données de votre instance gérée depuis un emplacement extérieur au réseau virtuel. Vous pouvez accéder à votre instance gérée à partir de services Azure multi-locataire, tels que Power BI et Azure App Service, ou d’un réseau local. Comme vous utilisez le point de terminaison public sur une instance gérée, vous n’avez pas besoin de recourir à un VPN, ce qui peut aider à éviter les problèmes de débit VPN.

Dans cet article, vous apprendrez comment :

• Activer ou désactiver le point de terminaison public pour votre instance gérée
• Configurer votre groupe de sécurité réseau d’instance gérée pour autoriser le trafic vers le point de terminaison public de l’instance gérée
• Obtenir la chaîne de connexion du point de terminaison public de l’instance gérée

Autorisations

En raison de la sensibilité des données qui se trouvent sur une instance gérée, la configuration permettant d’activer le point de terminaison public de ce type d’instance repose sur un processus en deux étapes. Cette mesure de sécurité est conforme à la séparation des tâches :

• L’administrateur de l’instance gérée doit activer le point de terminaison public sur l’instance gérée. Cet administrateur est indiqué sur la page Vue d’ensemble de votre ressource d’instance gérée.
• Un administrateur réseau doit autoriser le trafic vers l’instance gérée à l’aide d’un groupe de sécurité réseau (NSG). Pour en savoir plus, consultez la liste des permissions du groupe de sécurité réseau.

Activer un point de terminaison public

Vous pouvez activer le point de terminaison public pour SQL Managed Instance à l’aide du Portail Azure, d’Azure PowerShell ou d’Azure CLI.

Azure portal

Pour activer le point de terminaison public pour SQL Managed Instance dans le Portail Azure, procédez comme suit :

1. Accédez au portail Azure.
2. Ouvrez le groupe de ressources avec l’instance gérée, puis sélectionnez l’instance gérée SQL sur laquelle vous souhaitez configurer le point de terminaison.
3. Dans les paramètres de Sécurité, sélectionnez l’onglet Mise en réseau.
4. Dans la page de configuration du réseau virtuel, sélectionnez Activer, puis cliquez sur l’icône Enregistrer afin de mettre à jour la configuration.

Azure PowerShell

Pour activer le point de terminaison public avec PowerShell ; définissez -PublicDataEndpointEnabled sur vrai lorsque vous mettez à jour les propriétés de l'instance avec Set-AzSqlInstance.

Utilisez l’exemple de script PowerShell pour activer le point de terminaison public pour SQL Managed Instance. Remplacez les valeurs suivantes :

• subscription_id par votre ID d’abonnement
• rg-name par le groupe de ressources de votre instance gérée
• mi-name par le nom de votre instance managée

Pour activer le point de terminaison public à l’aide de PowerShell, exécutez le script suivant :

Install-Module -Name Az

Import-Module Az.Accounts
Import-Module Az.Sql

Connect-AzAccount

# Use your subscription ID in place of subscription-id below

Select-AzSubscription -SubscriptionId {subscription-id}

# Replace rg-name with the resource group for your managed instance, and replace mi-name with the name of your managed instance

$mi = Get-AzSqlInstance -ResourceGroupName {rg-name} -Name {mi-name}

$mi = $mi | Set-AzSqlInstance -PublicDataEndpointEnabled $true -force

Azure CLI

Pour activer le point de terminaison public avec Azure CLI, définissez --public-data-endpoint-enabled sur vrai lorsque vous mettez à jour les propriétés de l'instance avec az sql mi update.

Utilisez l’exemple de commande Azure CLI pour activer le point de terminaison public pour SQL Managed Instance. Remplacez les valeurs suivantes :

• subscription par votre ID abonnement
• rg-name par le groupe de ressources de votre instance gérée
• mi-name par le nom de votre instance managée

Pour activer le point de terminaison public à l’aide d’Azure CLI, exécutez la commande suivante :

az sql mi update --subscription {subscription-id} --resource-group {rg-name} --name {mi-name} --public-data-endpoint-enabled true

Désactiver un point de terminaison public

Vous pouvez désactiver le point de terminaison public pour SQL Managed Instance à l’aide du Portail Azure, d’Azure PowerShell ou d’Azure CLI.

Azure portal

Pour désactiver le point de terminaison public à l’aide du Portail Azure, procédez comme suit :

1. Accédez au portail Azure.
2. Ouvrez le groupe de ressources avec l’instance gérée, puis sélectionnez l’instance gérée SQL sur laquelle vous souhaitez configurer le point de terminaison.
3. Dans les paramètres de Sécurité, sélectionnez l’onglet Mise en réseau.
4. Dans la page de configuration du réseau virtuel, sélectionnez Activer, puis l’icône Enregistrer afin de mettre à jour la configuration.

Azure PowerShell

Pour désactiver le point de terminaison public avec PowerShell, définissez -PublicDataEndpointEnabled sur faux lorsque vous mettez à jour les propriétés de l'instance avec Set-AzSqlInstance.

Utilisez Azure PowerShell pour désactiver le point de terminaison public de SQL Managed Instance. N’oubliez pas de fermer également la règle de sécurité entrante pour le port 3342 dans votre groupe de sécurité réseau (NSG), si vous l’avez configurée.

Pour désactiver le point de terminaison public, utilisez la commande suivante :

Set-AzSqlInstance -PublicDataEndpointEnabled $false -force

Azure CLI

Pour désactiver le point de terminaison public avec Azure CLI, définissez la valeur --public-data-endpoint-enabled sur faux lorsque vous mettez à jour les propriétés de l’instance avec az sql mi update.

Utilisez Azure CLI pour désactiver le point de terminaison public de SQL Managed Instance. Remplacez les valeurs suivantes :

• subscription par votre ID abonnement
• rg-name par le groupe de ressources de votre instance gérée
• mi-name par le nom de votre instance managée.

N’oubliez pas de fermer également la règle de sécurité entrante pour le port 3342 dans votre groupe de sécurité réseau (NSG), si vous l’avez configurée.

Pour désactiver le point de terminaison public, utilisez la commande suivante :

az sql mi update --subscription {subscription-id} --resource-group {rg-name} --name {mi-name} --public-data-endpoint-enabled false

Autoriser le trafic du point de terminaison public sur le groupe de sécurité réseau

Utilisez le Portail Azure pour autoriser le trafic public au sein du groupe de sécurité réseau. Procédez comme suit :

1. Accédez à la page Vue d’ensemble de votre instance SQL Managed Instance dans le portail Azure.

2. Sélectionnez le lien Réseau/sous-réseau virtuel, qui vous permet d’accéder à la page Configuration du réseau virtuel.

   

3. Sélectionnez l’onglet Sous-réseaux figurant dans le volet de configuration du réseau virtuel, sur la gauche, et notez le GROUPE DE SÉCURITÉ de votre instance gérée.

   

4. Revenez au groupe de ressources contenant votre instance gérée. Vous devez voir le nom du groupe de sécurité réseau indiqué précédemment, que vous avez noté. Sélectionnez le nom du Groupe de sécurité réseau pour ouvrir la page de configuration Groupe de sécurité réseau.

5. Sélectionnez l’onglet Règles de sécurité de trafic entrant, et ajoutez une règle ayant une priorité plus élevée que la règle deny_all_inbound avec les paramètres suivants :
   
   

   Paramètre	Valeur suggérée	Description
   Source	N’importe quelle adresse IP ou balise de service	Pour les services Azure tels que Power BI, sélectionnez la balise de service Azure Cloud Pour votre ordinateur ou machine virtuelle Azure, utilisez l’adresse IP NAT.
   Plages de ports source	*	Laissez la valeur * (tout) pour cette option, car les ports sources sont généralement alloués de manière dynamique et, de ce fait, imprévisibles
   Destination	Quelconque	En conservant la valeur Tout pour le paramètre Destination, vous autorisez le trafic au sein du sous-réseau de l’instance gérée
   Plages de ports de destination	3342	Définissez la portée du port de destination sur 3342, qui est le point de terminaison TDS public de l’instance gérée
   Protocole	TCP	SQL Managed Instance utilise le protocole TCP pour TDS
   Action	Allow	Autorisez le trafic entrant vers une instance gérée par le biais du point de terminaison public
   Priorité	1 300	Assurez-vous que cette règle présente une priorité plus élevée que la règle deny_all_inbound

   

   Notes

   Le port 3342 est utilisé pour les connexions du point de terminaison public à l’instance gérée ; il ne peut pas être changé actuellement.

Confirmer que le routage est configuré correctement

Un itinéraire avec le préfixe d’adresse 0.0.0.0/0 indique à Azure la façon d’acheminer le trafic destiné à une adresse IP qui n’est pas dans le préfixe d’adresse de n’importe quel autre itinéraire de la table de routage d’un sous-réseau. Lors de la création d’un sous-réseau, Azure crée un itinéraire par défaut vers le préfixe d’adresse 0.0.0.0/0, avec Internet comme type de tronçon suivant.

La substitution de cet itinéraire par défaut sans ajouter la ou les itinéraires nécessaires pour garantir l’acheminement direct du trafic du point de terminaison public vers Internet peut entraîner des problèmes de routage asymétriques, car le trafic entrant ne transite pas par l’appliance virtuelle/la passerelle de réseau virtuel. Assurez-vous que tout le trafic atteignant l’instance gérée par l’Internet public revienne également sur l’Internet public en ajoutant des itinéraires spécifiques pour chaque source ou en définissant l’itinéraire par défaut sur le préfixe d’adresse 0.0.0.0/0 vers Internet comme type de tronçon suivant.

Pour plus d’informations sur l’impact des modifications sur cet itinéraire par défaut, consultez Préfixe d’adresse 0.0.0.0/0.

Obtenir la chaîne de connexion du point de terminaison public

1. Accédez à la page de configuration de l’instance gérée qui a été activée pour le point de terminaison public. Sélectionnez l’onglet Chaînes de connexion sous la configuration Paramètres.

2. Le nom d’hôte du point de terminaison public présente le format <mi_name>.public.<dns_zone>.database.windows.net et le port utilisé pour la connexion est 3342. Voici un exemple de valeur serveur de la chaîne de connexion qui dénote le port de point de terminaison public utilisable dans des connexions SQL Server Management Studio ou Azure Data Studio : <mi_name>.public.<dns_zone>.database.windows.net,3342

   

Étapes suivantes

Découvrez comment Azure SQL Managed Instance en toute sécurité avec un point de terminaison public.