Tata kelola dan keamanan untuk SQL Managed Instance dengan dukungan Azure Arc
Artikel ini menyediakan pertimbangan desain utama dan praktik terbaik untuk tata kelola, keamanan, dan kepatuhan untuk membantu Anda merencanakan dan menerapkan penyebaran SQL Managed Instance dengan dukungan Azure Arc. Meskipun dokumentasi zona pendaratan skala perusahaan mencakup tata kelola dan keamanan sebagai topik terpisah, area desain penting ini dikonsolidasikan ke dalam satu topik untuk SQL Managed Instance dengan dukungan Arc.
Arsitektur
Diagram berikut menunjukkan arsitektur referensi konseptual yang menggambarkan area desain keamanan, kepatuhan, dan tata kelola untuk SQL Managed Instance dengan dukungan Arc:
Pertimbangan Desain
Bagian ini berisi pertimbangan desain yang harus Anda ingat saat merencanakan keamanan dan tata kelola SQL Managed Instance berkemampuan Arc Anda.
Tinjau area desain keamanan dan tata kelola zona pendaratan Azure untuk menilai efek SQL Managed Instance berkemampuan Arc pada model tata kelola dan keamanan Anda secara keseluruhan.
Disiplin tata kelola
- Tinjau area desain penting organisasi sumber daya untuk praktik terbaik dalam menegakkan tata kelola di zona pendaratan Anda.
- Tinjau dan terpaksa konvensi penamaan organisasi Anda untuk sumber daya hibrid Anda seperti SQL Managed Instance yang didukung Arc, Pengontrol Data, dan Lokasi Kustom.
- Tinjau profil konfigurasi bawaan untuk Mode Koneksi tidak langsung dan putuskan apakah ada profil kustom yang diperlukan sesuai dengan infrastruktur Kubernetes Anda.
Privasi dan residensi data
- Pertimbangkan wilayah Azure mana yang Anda rencanakan untuk menyebarkan SQL Managed Instance dan Pengontrol Data dengan dukungan Arc berdasarkan persyaratan keamanan dan kepatuhan Anda, dengan mempertimbangkan persyaratan kedaulatan data apa pun. Pahami data apa yang dikumpulkan dari sumber daya Anda dalam mode Langsung dan Tidak Langsung Koneksi, dan rencanakan berdasarkan persyaratan residensi data organisasi Anda.
Catatan
Tidak ada data database yang dikirim ke Microsoft, hanya data operasional, data penagihan dan inventarisasi, diagnostik, dan data Program Peningkatan Pengalaman Pelanggan (CEIP).
Keamanan klaster
- SQL Managed Instance dengan dukungan Arc Anda dapat berada di kluster Kubernetes hibrid atau multicloud. Tinjau pertimbangan keamanan dan tata kelola untuk penyedia cloud dan distribusi Kubernetes pilihan Anda.
- Tinjau pertimbangan desain di area desain tata kelola dan disiplin keamanan Kubernetes dengan dukungan Azure Arc.
Keamanan jaringan
- Tinjau area desain penting konektivitas jaringan untuk praktik dan panduan terbaik.
- Tentukan mode konektivitas yang akan digunakan untuk SQL Managed Instance dengan dukungan Arc bergantung pada persyaratan keamanan dan kepatuhan organisasi Anda.
- Bergantung pada tempat kluster Anda disebarkan, pertimbangkan port jaringan dan titik akhir yang diperlukan untuk memantau SQL Managed Instance dengan dukungan Arc menggunakan Grafana dan Kibana.
- Saat membuat Pengontrol Data, putuskan jenis layanan mana yang akan Anda gunakan antara Kubernetes LoadBalancer atau NodePort.
Pengelolaan identitas dan akses
- Tinjau manajemen identitas dan akses untuk SQL Managed Instance dengan dukungan Arc untuk praktik dan panduan terbaik.
- Meskipun mempertimbangkan pemisahan tugas organisasi Anda dan persyaratan akses paling tidak istimewa, tentukan administrasi kluster, operasi, administrasi database, dan peran pengembang dalam organisasi Anda. Memetakan setiap tim ke tindakan dan tanggung jawab menentukan peran kontrol akses berbasis peran (RBAC) Azure atau Kubernetes ClusterRoleBinding dan RoleBinding tergantung pada mode konektivitas yang digunakan.
- Pertimbangkan untuk menggunakan matriks pihak yang bertanggung jawab, bertanggung jawab, berkonsultasi, dan terinformasi (RACI) untuk mendukung upaya ini. Bangun kontrol ke dalam hierarki cakupan manajemen yang Anda tentukan berdasarkan konsistensi sumber daya dan panduan manajemen inventori.
- Menyebarkan Pengontrol Data Azure Arc memerlukan beberapa izin yang dapat dianggap sebagai hak istimewa tinggi, seperti membuat namespace Layanan Kubernetes atau membuat peran kluster. Pahami izin yang diperlukan untuk mencegah hak istimewa yang berlebihan.
- Tentukan model autentikasi yang akan digunakan dalam SQL Managed Instance berkemampuan Arc Anda, baik autentikasi Microsoft Entra atau autentikasi SQL. Tinjau area desain manajemen identitas dan akses untuk pertimbangan desain dan rekomendasi untuk memilih mode autentikasi yang tepat.
- Pertimbangkan perbedaan antara keytab yang dikelola sistem dan keytab yang dikelola pelanggan untuk menyebarkan konektor Azure Arc AD untuk mendukung autentikasi Microsoft Entra di SQL Managed Instance dengan dukungan Arc. Kedua metode memiliki manfaat operasi yang disederhanakan dibandingkan dengan kontrol pelanggan penuh dalam mengelola akun layanan dan keytab untuk dukungan autentikasi Microsoft Entra.
Keamanan SQL Managed Instance dengan dukungan Azure Arc
- Tentukan mode konektivitas, pertimbangkan trade-off antara memiliki dan tidak memiliki koneksi langsung ke Azure, dan bagaimana hal itu dapat memengaruhi instans hibrid dan multicloud Anda dari menggunakan kemampuan keamanan saat ini dan di masa mendatang yang diaktifkan oleh Azure.
- Tinjau kemampuan keamanan yang tersedia di SQL Managed Instance dengan dukungan Arc untuk beban kerja data Anda.
- Tentukan platform penyimpanan yang akan digunakan untuk volume persisten dalam kluster Kubernetes Anda dan pahami kemampuan keamanan yang tersedia untuk mengamankan data yang berada di volume persisten. Tinjau area desain penting disiplin penyimpanan saat Anda merancang untuk zona pendaratan Anda.
- Tinjau persyaratan dan arsitektur Enkripsi Data Transparan sebelum mengaktifkannya di SQL Managed Instance dengan dukungan Arc Anda.
- Pertimbangkan lokasi yang berbeda tempat Anda dapat menyimpan kredensial Enkripsi Data Transparan berdasarkan kebijakan dan prosedur manajemen kunci kriptografi organisasi Anda.
- Saat menyebarkan SQL Managed Instance dengan dukungan Arc dalam mode tidak langsung Koneksi, putuskan otoritas sertifikat yang akan digunakan untuk memberikan sertifikat yang dikelola pengguna sesuai dengan persyaratan keamanan dan kepatuhan organisasi Anda.
- Menyebarkan SQL Managed Instance dengan dukungan Arc dalam mode Koneksi ed langsung menyediakan sertifikat yang dikelola sistem dengan kemampuan rotasi otomatis. Dalam mode tidak langsung Koneksi, intervensi manual diperlukan untuk memutar sertifikat yang dikelola pengguna. Pertimbangkan operasi manual dan persyaratan keamanan saat memilih mode konektivitas untuk disebarkan.
- Pertimbangkan kebutuhan untuk menjaga SQL Managed Instance dengan dukungan Arc Anda tetap terbarui dengan versi terbaru, baik yang disebarkan dalam mode Langsung atau Tidak Langsung Koneksi. Tinjau area desain penting disiplin peningkatan untuk panduan lebih lanjut.
Strategi pemantauan
- Tinjau disiplin manajemen desain desain penting dan rencanakan untuk mengumpulkan metrik dan log dari sumber daya hibrid Anda ke ruang kerja Analitik Log untuk analisis, audit, dan peringatan lebih lanjut
- Pahami izin hak istimewa paling sedikit yang diperlukan bagi perwakilan layanan untuk mengunggah log dan metrik ke Azure Monitor.
Rekomendasi desain
Keamanan jaringan
- Amankan dasbor pemantauan Grafana dan Kibana Anda dengan sertifikat SSL/TLS untuk keamanan lapisan transportasi.
- Gunakan Kubernetes LoadBalancer sebagai jenis layanan Anda saat menyebarkan SQL Managed Instance dengan dukungan Arc untuk ketersediaan yang lebih baik.
Pengelolaan identitas dan akses
- Lebih suka penggunaan autentikasi Microsoft Entra untuk membongkar manajemen siklus hidup pengguna ke layanan direktori, dan menggunakan grup keamanan di ID Microsoft Entra untuk mengelola izin pengguna untuk mengakses database SQL.
- Gunakan mode keytab yang dikelola sistem untuk dukungan autentikasi Microsoft Entra untuk membongkar akun domain dan overhead manajemen keytab untuk menyederhanakan operasi.
- Jika autentikasi SQL digunakan, adopsi kebijakan kata sandi yang kuat dan aktifkan audit untuk memantau identitas dan izin pengguna SQL yang diberikan untuk mengakses server dan database database.
- Dedikasikan namespace Layanan Kubernetes untuk penyebaran Azure Arc Data Controller dan tetapkan izin hak istimewa paling sedikit untuk menyebarkan dan mengelola.
- Buat kata sandi yang kuat untuk dasbor Grafana dan Kibana dan pastikan untuk mengaudit dan memutar secara teratur.
- Pantau log aktivitas SQL Managed Instance dan Pengontrol Data dengan dukungan Arc Anda untuk mengaudit berbagai operasi yang terjadi pada sumber daya hibrid Anda. Buat pemberitahuan untuk peristiwa yang relevan dan integrasikan dengan alat informasi keamanan dan manajemen peristiwa (SIEM) seperti Microsoft Sentinel untuk pemantauan keamanan dan respons insiden.
Keamanan SQL Managed Instance dengan dukungan Azure Arc
- Jika memungkinkan, pilih Mode Koneksi langsung melalui penyebaran mode tidak langsung Koneksi dari layanan data berkemampuan Azure Arc dan SQL Managed Instance dengan dukungan Arc untuk memastikan Anda mendapatkan semua manfaat fitur keamanan saat ini dan di masa mendatang yang terkait dengan mode Langsung Koneksi.
- Aktifkan Enkripsi Data Transparan jika memungkinkan untuk mengenkripsi data Anda saat tidak aktif.
- Simpan kredensial Enkripsi Data Transparan Anda pada volume persisten untuk ketahanan yang lebih baik.
- Gunakan kemampuan platform penyimpanan Anda untuk mengenkripsi volume persisten sesuai dengan persyaratan keamanan dan kepatuhan organisasi Anda.
- Pastikan untuk menerapkan kebijakan pencadangan sesuai dengan kebutuhan Anda untuk pulih dari kehilangan data. Tinjau kelangsungan bisnis dan area desain penting pemulihan bencana untuk panduan lebih lanjut.
- Saat menyebarkan dalam mode Tidak langsung Koneksi, buat proses untuk memutar sertifikat yang dikelola pengguna.
- Pastikan untuk memiliki proses untuk menjaga SQL Managed Instance berkemampuan Arc Anda diperbarui ke versi terbaru, secara independen dari mode konektivitas.
Strategi pemantauan
- Pantau kedaluwarsa kredensial atau perubahan perwakilan layanan yang digunakan untuk mengunggah metrik dan log ke Azure.
- Buat proses untuk memutar kredensial perwakilan layanan sesuai dengan persyaratan keamanan dan kepatuhan organisasi Anda.
Langkah berikutnya
Untuk informasi selengkapnya tentang perjalanan cloud hibrid dan multicloud Anda, lihat artikel berikut ini:
- Tinjau kemampuan Data Services dengan dukungan Azure Arc.
- Tinjau distribusi Kubernetes yang divalidasi untuk layanan data dengan dukungan Azure Arc.
- Tinjau Mengelola lingkungan hibrid dan multicloud.
- Pelajari selengkapnya tentang mengoperasikan SQL Managed Instance dengan dukungan Arc dengan hak istimewa paling sedikit.
- Rasakan skenario otomatis SQL Managed Instance dengan dukungan Arc dengan Azure Arc Jumpstart.
- Untuk mempelajari selengkapnya tentang Azure Arc, tinjau jalur pembelajaran Azure Arc di Microsoft Learn.