Mengaktifkan konfigurasi subnet yang dibantu layanan untuk Azure SQL Managed Instance

Berlaku untuk:Azure SQL Managed Instance

Artikel ini menyediakan gambaran umum konfigurasi subnet yang dibantu layanan dan bagaimana ia berinteraksi dengan subnet yang didelegasikan ke Azure SQL Managed Instance. Konfigurasi subnet yang dibantu layanan mengotomatiskan manajemen konfigurasi jaringan untuk subnet instans terkelola SQL. Mekanisme ini membuat pengguna sepenuhnya mengontrol akses ke data sementara instans terkelola SQL bertanggung jawab atas arus lalu lintas manajemen yang tidak terganggu.

Gambaran Umum

Untuk meningkatkan keamanan, pengelolaan, dan ketersediaan layanan, SQL Managed Instance mengotomatiskan manajemen jalur jaringan penting tertentu di dalam subnet pengguna. Layanan mengonfigurasi subnet, grup keamanan jaringan terkait, dan tabel rute untuk berisi sekumpulan entri yang diperlukan.

Mekanisme di balik perilaku ini disebut kebijakan niat jaringan. Kebijakan niat jaringan secara otomatis diterapkan ke subnet saat subnet pertama kali didelegasikan ke penyedia sumber daya Azure SQL Managed Instance Microsoft.Sql/managedInstances. Pada saat itu, konfigurasi otomatis berlaku. Ketika Anda menghapus instans SQL terkelola terakhir dari suatu subnet, kebijakan yang berkaitan dengan niat jaringan juga dihapus dari subnet tersebut.

Efek kebijakan niat jaringan pada subnet yang didelegasikan

Kebijakan intensi jaringan memperluas tabel rute dan grup keamanan jaringan yang terkait dengan subnet dengan menambahkan aturan dan rute wajib dan opsional.

Kebijakan niat jaringan tidak mencegah Anda memperbarui sebagian besar konfigurasi subnet. Saat Anda mengubah tabel rute subnet atau memperbarui aturan grup keamanan jaringannya, kebijakan niat jaringan terkait memeriksa apakah rute dan aturan keamanan yang efektif mematuhi persyaratan untuk Azure SQL Managed Instance. Jika tidak, kebijakan tujuan jaringan menghasilkan kesalahan, yang mencegah perubahan konfigurasi.

Perilaku ini berhenti saat Anda menghapus instans terkelola SQL terakhir dari subnet dan kebijakan niat jaringan dilepaskan. Ini tidak dapat dinonaktifkan saat instans terkelola SQL ada di subnet.

Pertimbangkan poin-poin berikut:

  • Kami menyarankan Anda mempertahankan tabel rute terpisah dan NSG untuk setiap subnet yang didelegasikan. Aturan dan rute yang dikonfigurasi otomatis mereferensikan rentang subnet tertentu yang mungkin tumpang tindih dengan yang ada di subnet lain. Saat Anda menggunakan kembali RT dan NSG di beberapa subnet yang didelegasikan ke Azure SQL Managed Instance, tumpukan aturan yang dikonfigurasi otomatis dan mungkin mengganggu aturan yang mengatur lalu lintas yang tidak terkait.
  • Kami menyarankan untuk tidak mengambil dependensi pada salah satu aturan dan rute yang dikelola layanan. Sebagai aturan, selalu buat rute eksplisit dan aturan NSG untuk tujuan khusus Anda. Aturan wajib dan opsional dapat berubah.
  • Demikian pula, kami menyarankan untuk tidak memperbarui aturan yang dikelola layanan. Karena kebijakan niat jaringan hanya memeriksa aturan dan rute yang efektif , dimungkinkan untuk memperluas salah satu aturan yang dikonfigurasi otomatis. Misalnya, untuk membuka lebih banyak port untuk lalu lintas masuk atau memperluas perutean ke awalan yang lebih luas. Namun, aturan dan rute yang dikonfigurasi layanan mungkin berubah. Yang terbaik adalah membuat rute dan aturan keamanan Anda sendiri untuk mencapai hasil yang diinginkan.

Aturan dan rute keamanan wajib

Untuk memastikan konektivitas manajemen yang tidak terganggu untuk SQL Managed Instance, beberapa aturan dan rute keamanan bersifat wajib dan tidak dapat dihapus atau dimodifikasi.

Nama aturan dan rute wajib selalu dimulai dengan Microsoft.Sql-managedInstances_UseOnly_mi-. Awalan ini dicadangkan untuk penggunaan Azure SQL Managed Instance. Jangan gunakan awalan ini saat memperbarui tabel rute dan NSG Anda. Pembaruan layanan dapat menghapus semua aturan dan rute dengan awalan tersebut, setelah itu hanya yang wajib yang akan dibuat ulang.

Tabel berikut mencantumkan aturan dan rute wajib yang secara otomatis disebarkan dan diberlakukan pada subnet pengguna:

Kind Nama Deskripsi
NSG masuk Microsoft.Sql-managedInstances_UseOnly_mi-healthprobe-in Memungkinkan pemeriksaan kesehatan masuk dari load balancer terkait untuk mencapai simpul instans. Mekanisme ini memungkinkan load balancer melacak replika database aktif setelah failover.
NSG masuk Microsoft.Sql-managedInstances_UseOnly_mi-internal-in Memastikan konektivitas simpul internal yang diperlukan untuk operasi manajemen.
Keluar NSG Microsoft.Sql-managedInstances_UseOnly_mi-internal-out Memastikan konektivitas simpul internal yang diperlukan untuk operasi manajemen.
Rute Microsoft.Sql-managedInstances_UseOnly_mi-subnet-range-to-vnetlocal<> Memastikan selalu ada rute bagi simpul internal untuk menjangkau satu sama lain.

Catatan

Beberapa subnet mungkin berisi aturan dan rute keamanan jaringan tambahan yang menggunakan awalan Microsoft.Sql-managedInstances_UseOnly_mi- . Aturan dan rute ini juga wajib saat ada, tetapi mungkin dihapus dalam pembaruan layanan di masa mendatang.

Aturan dan rute keamanan opsional

Beberapa aturan dan rute bersifat opsional dan dapat dihapus dengan aman tanpa menghambat konektivitas manajemen internal instans SQLmanaged.

Penting

Aturan dan rute opsional akan dihentikan dalam pembaruan layanan di masa mendatang. Kami menyarankan Anda untuk memperbarui prosedur penyebaran dan konfigurasi jaringan sedemikian rupa sehingga setiap penyebaran Azure SQL Managed Instance di subnet baru diikuti dengan penghapusan eksplisit dan/atau penggantian aturan dan rute opsional.

Untuk membantu membedakan opsional dari aturan dan rute wajib, nama aturan dan rute opsional selalu dimulai dengan Microsoft.Sql-managedInstances_UseOnly_mi-optional-.

Tabel berikut mencantumkan aturan dan rute opsional yang dapat dimodifikasi atau dihapus:

Kind Nama Deskripsi
Keluar NSG Microsoft.Sql-managedInstances_UseOnly_mi-optional-azure-out Aturan keamanan opsional untuk mempertahankan konektivitas HTTPS keluar ke Azure.
Rute Microsoft.Sql-managedInstances_UseOnly_mi-opsional-AzureCloud.<wilayah> Rute opsional ke layanan AzureCloud di wilayah utama.
Rute Microsoft.Sql-managedInstances_UseOnly_mi-opsional-AzureCloud.<berpasangan geografis> Rute opsional ke layanan AzureCloud di wilayah sekunder.

Menghapus kebijakan niat jaringan

Efek kebijakan inti jaringan pada subnet berhenti ketika tidak ada lagi kluster virtual di dalamnya dan pendelegasian dihapus. Untuk detail siklus hidup kluster virtual, lihat cara menghapus subnet setelah menghapus SQL Managed Instance.

Konten terkait

  • Last updated on