Az Azure Database for MySQL biztonságossá tétele

Azure Database for MySQL egy teljes mértékben felügyelt relációsadatbázis-szolgáltatás, amely magas rendelkezésre állást, automatizált biztonsági mentéseket és méretezhető MySQL-kompatibilis adatbázis-üzemeltetést biztosít. A rugalmas kiszolgálótelepítések biztonságossá tétele segít a bizalmas adatok védelmében, az identitás- és hálózati kitettség csökkentésében, valamint a megfelelőségi követelmények támogatásában.

Ez a cikk biztonsági javaslatokat tartalmaz a Azure Database for MySQL üzembe helyezésének védelméhez.

A cikkben szereplő biztonsági javaslatok Teljes felügyelet alapelveket valósítanak meg: "Explicit módon történő ellenőrzés", "A legkevésbé jogosultsági hozzáférés használata" és a "Jogsértés feltételezése". Az átfogó Teljes felügyelet útmutatásért tekintse meg a Teljes felügyelet útmutatót.

Hálózati biztonság

A hálózati biztonsági vezérlők segítenek korlátozni, hogy az ügyfelek hogyan érik el Azure Database for MySQL rugalmas kiszolgálópéldányokat, és csökkentik a nyilvános internetes forgalomnak való kitettséget.

Identitás- és hozzáférés-kezelés

Az identitás- és hozzáférés-vezérlők segítenek központosítani a hitelesítést, csökkenteni a hitelesítő adatok kitettségét, és minimális jogosultságot érvényesíteni mind Azure felügyeleti műveletek, mind az adatbázis-hozzáférés esetében.

  • Microsoft Entra hitelesítés használata az adatbázis-hozzáféréshez: Konfiguráljon Microsoft Entra hitelesítést Azure Database for MySQL rugalmas kiszolgálóhoz, hogy a felhasználók és alkalmazások Microsoft Entra identitásokkal hitelesíthessék magukat ahelyett, hogy csak MySQL-jelszavakra támaszkodnak. További információ: Microsoft Entra Azure Database for MySQL – rugalmas kiszolgáló hitelesítése.
  • Ha lehetséges, Microsoft Entra hitelesítés használata: A felhasználók és alkalmazások áttelepítése után tiltsa le a MySQL natív hitelesítését Microsoft Entra hitelesítésre a rugalmas kiszolgáló jelszóalapú hozzáférési útvonalainak csökkentése érdekében. További információ: Microsoft Entra Azure Database for MySQL – rugalmas kiszolgáló hitelesítése.
  • Felügyelt identitások használata alkalmazáskapcsolatokhoz: Használjon felügyelt identitásokat vagy szolgáltatásneveket Microsoft Entra-hitelesítéssel, hogy az alkalmazások a beágyazott adatbázis-jelszavak helyett tokenekkel csatlakozzanak az Azure Database for MySQL-hez. További információ: Microsoft Entra Azure Database for MySQL – rugalmas kiszolgáló hitelesítése.
  • Minimális jogosultságú adatbázis-engedélyek hozzárendelése: Dedikált MySQL-felhasználók vagy Microsoft Entra-megfeleltetett adatbázis-felhasználók létrehozása minden alkalmazáshoz vagy felügyeleti függvényhez, és csak az egyes identitásokra vonatkozó séma-, táblázat- és műveletengedélyek megadása. További információ: Felhasználók létrehozása az Azure Database for MySQL-ben.
  • Feltételes hozzáférés kényszerítése Azure Database for MySQL rendszergazdák számára: Olyan feltételes hozzáférési szabályzatok alkalmazása, amelyek többtényezős hitelesítést igényelnek olyan identitásokhoz, amelyek rugalmas kiszolgálói erőforrásokat kezelhetnek Azure Resource Manager eszközökkel, például a Azure portálon, Azure CLI és Azure PowerShell. További információkért lásd: Az MFA megkövetelése az Azure felügyeletéhez.

Adatvédelem

Azure Database for MySQL alapértelmezés szerint szolgáltatás által felügyelt kulcsokkal titkosítja az inaktív adatokat. Az alábbi vezérlők nagyobb mértékben szabályozják a titkosítást, a kulcskezelést és a titkosított ügyfélkapcsolatokat.

  • Titkosított ügyfélkapcsolatok megkövetelése: Hagyja require_secure_transport engedélyezve, hogy az ügyfélkapcsolatok Azure Database for MySQL TLS-titkosítást használjanak, és ne küldjenek tiszta szövegben adatbázis-forgalmat. További információt a következő témakörben talál: Transport Layer Security (TLS) az Azure Database for MySQL-ben.
  • TLS 1.3 kényszerítése a MySQL 8.0-kiszolgálókon: Állítsa a(z) tls_version értékét TLS 1.3 értékre az Azure Database for MySQL 8.0 rugalmas kiszolgálókon, miután meggyőződött arról, hogy az ügyfélalkalmazások és az illesztőprogramok támogatják a TLS 1.3-at. További információt a következő témakörben talál: Transport Layer Security (TLS) az Azure Database for MySQL-ben.
  • Kiszolgálótanúsítványok ellenőrzése az ügyfelektől: Konfigurálja az ügyfélalkalmazásokat a kiszolgálótanúsítvány-lánc ellenőrzésére, és csak a főtanúsítvány-hitelesítésszolgáltatókra bízza, hogy a rendszeres köztes hitelesítésszolgáltatói vagy kiszolgálótanúsítvány-rotációk ne szakíthassák meg a biztonságos kapcsolatokat. További információt a következő témakörben talál: Transport Layer Security (TLS) az Azure Database for MySQL-ben.
  • Ügyfél által felügyelt kulcsok használata a kulcsvezérléshez: A Azure Key Vault vagy Azure Key Vault felügyelt HSM-ben tárolt ügyfél által kezelt kulcsokat akkor használja, ha a feladatok elkülönítésére, az ügyfél által vezérelt kulcs életciklus-kezelésre vagy több megfelelőségi vezérlőre van szüksége a inaktív adatok titkosításához. További információ: Adattitkosítás ügyfél által felügyelt kulcsokkal az Azure Database for MySQL-hez.
  • Ügyfél által felügyelt kulcsfüggőségek védelme: Az ügyfél által felügyelt kulcsot tároló Key Vault vagy felügyelt HSM helyreállítható törlési és törlési védelmének engedélyezése, a szükséges kulcsengedélyek hozzárendelése a kiszolgáló felhasználó által hozzárendelt felügyelt identitásához, valamint a kulcshozzáférés figyelése, mert a kulcshozzáférés elvesztése miatt a rugalmas kiszolgáló elérhetetlenné válik. További információ: Adattitkosítás ügyfél által felügyelt kulcsokkal az Azure Database for MySQL-hez.

Naplózás és figyelés

A naplózási és figyelési vezérlők segítenek észlelni a gyanús adatbázis-tevékenységeket, kivizsgálni a rendszergazdai módosításokat, és megőrizni a megfelelőségi naplózási bizonyítékokat.

Megfelelőség és irányítás

A megfelelőségi és szabályozási vezérlők segítségével konzisztens biztonságos konfigurációt kényszeríthet ki Azure Database for MySQL rugalmas kiszolgálóflottákban, és megvédheti az éles erőforrásokat a véletlen vagy jogosulatlan módosításoktól.

  • Diagnosztikai naplózás kényszerítése Azure Policy: Rendeljen hozzá beépített Azure Policy-definíciókat a diagnosztikai beállításokhozmicrosoft.dbformysql/flexibleservers, például a naplókat a Log Analytics, az Event Hubshoz vagy a Storage-hoz átirányító szabályzatokhoz, így a rugalmas kiszolgálónaplózási adatok gyűjtése folyamatosan történik. További információ: Azure Policy beépített szabályzatdefiníciók.
  • Törlési zárolások alkalmazása éles kiszolgálókon: Adjon hozzá egy CanNotDelete zárolást az éles Azure Database for MySQL rugalmas kiszolgáló-erőforrásaihoz, hogy csökkentse a véletlen törlés kockázatát, miközben a szokásos működési módosítások továbbra is elvégezhetők. További információ: Az Azure-erőforrások zárolása az infrastruktúra védelme érdekében.
  • Adatbázis-erőforrások címkézése az irányításhoz: Olyan címkék alkalmazása, mint a számítási feladat, a környezet, az adatbesorolás, a tulajdonos és a költséghely rugalmas kiszolgálói erőforrások Azure Database for MySQL, így a szabályzat-hozzárendelések, a leltárlekérdezések és a költségellenőrzések megkülönböztethetik az éles és a bizalmas adatbázis-számítási feladatokat. További információ: Címkék használata a Azure-erőforrások és a felügyeleti hierarchia rendszerezéséhez.

Biztonsági mentés és helyreállítás

A biztonsági mentési és helyreállítási vezérlők segítenek helyreállítani a véletlen törlést, az adatsérülést, a regionális kimaradásokat és a kockázatos módosítási műveleteket.

  • Biztonsági másolatok megőrzésének konfigurálása helyreállítási célokhoz: Állítsa be a Azure Database for MySQL rugalmas kiszolgálói biztonsági mentés megőrzési időtartamát 1 és 35 nap között a számítási feladat helyreállítási pontjának követelményei és a megfelelőségi igények alapján. További információt a Biztonsági mentés és visszaállítás az Azure Database for MySQL-ben című cikkben talál.
  • Georedundáns biztonsági mentés használata a regionális helyreállításhoz: Engedélyezze a georedundáns biztonsági mentési tárolót, ha biztonsági mentési replikációra van szüksége egy párosított régióba, és lehetővé teszi a georedundáns visszaállítást egy regionális kimaradás után. További információ: A Azure Database for MySQL – Rugalmas kiszolgáló üzletmenet-folytonosságának áttekintése.
  • Igény szerinti biztonsági mentések aktiválása a magas kockázatú módosítások előtt: Hozzon létre igény szerinti biztonsági másolatot a séma áttelepítése, a fő konfigurációmódosítások vagy a karbantartási műveletek előtt, hogy a legutóbbi visszaállítási pont igazodjon a kiszolgáló biztonsági mentési megőrzési szabályzatához. További információ: Azure Database for MySQL – Rugalmas kiszolgálópéldány igény szerinti biztonsági mentése a Azure portál használatával.
  • Visszaállítási eljárások tesztelése: Ellenőrizze az időponthoz kötött visszaállítási és georedukciós eljárásokat a reprezentatív számítási feladatokhoz, hogy megismerje a helyreállítás során szükséges kiszolgálóbeállításokat, címkéket, hálózati szabályokat és visszaállítás utáni műveleteket. További információt a Biztonsági mentés és visszaállítás az Azure Database for MySQL-ben című cikkben talál.

Következő lépések

  • Utolsó frissítés időpontja: