Azure SQL Managed Instance
Azure Key Vault
솔루션 아이디어
이 문서는 솔루션 아이디어 설명입니다. 클라우드 설계자는 이 지침을 사용하여 이 아키텍처의 일반적인 구현을 위한 주요 구성 요소를 시각화할 수 있습니다. 이 문서를 시작점으로 사용하여 워크로드의 특정 요구 사항에 맞는 잘 설계된 솔루션을 디자인할 수 있습니다.
이 솔루션은 Azure SQL Managed Instance에 대한 안전하고 복원력 있는 배포 패턴을 설명합니다. Azure Key Vault 관리형 HSM을 사용하여 고객 관리형 TDE(투명한 데이터 암호화) 보호기 키를 저장하는 방법을 강조 표시합니다.
건축학
이 아키텍처의 Visio 파일을 다운로드합니다.
워크플로
다음 워크플로는 이전 다이어그램에 해당합니다.
SQL Managed Instance는 재해 복구를 위해 데이터를 복제하기 위해 보조 비계층 지역의 가용성 그룹으로 구성됩니다.
관리형 HSM은 지역 간 풀로 구성됩니다. 이 풀은 보조 비페어링 지역의 보관소에 키 재료와 권한을 자동으로 복제합니다.
SQL Managed Instance의 데이터 평면 트래픽은 관리형 HSM의 프라이빗 엔드포인트를 통해 흐릅니다.
관리형 HSM은 Azure 트래픽 관리자를 사용하여 트래픽을 가장 가까운 운영 보관소로 라우팅합니다.
관리되는 인스턴스가 키에 대한 권한을 확인해야 하는 경우 Azure 백본 네트워크를 통해 관리 평면 요청을 보냅니다.
구성 요소
SQL Managed Instance 는 최신 SQL Server Enterprise Edition 데이터베이스 엔진과 거의 완전히 호환되는 PaaS(Platform-as-a-Service) 제품입니다. 보안을 개선하고 기존 SQL Server 고객에게 유익한 비즈니스 모델을 제공하는 네이티브 가상 네트워크 구현을 제공합니다. SQL Managed Instance를 사용하여 애플리케이션 및 데이터베이스를 최소한으로 수정하여 온-프레미스 애플리케이션을 클라우드로 마이그레이션할 수 있습니다.
SQL Managed Instance는 자동 패치 및 버전 업데이트, 자동화된 백업 및 고가용성을 비롯한 포괄적인 PaaS 기능도 제공합니다. 이러한 기능은 관리 오버헤드 및 총 소유 비용을 크게 줄입니다. 이 아키텍처에서 SQL Managed Instance는 TDE 보호기 키를 사용하는 데이터베이스입니다.
관리형 HSM 은 고가용성, 단일 테넌트 및 업계 표준 준수를 제공하는 완전 관리형 클라우드 서비스입니다. 관리형 HSM은 클라우드 애플리케이션에 대한 암호화 키를 보호하도록 설계되었습니다. 연방 정보 처리 표준 140-2 수준 3 검증 HSM을 사용합니다. 관리형 HSM은 Azure의 여러 주요 관리 솔루션 중 하나입니다. 이 아키텍처에서 관리형 HSM은 TDE 보호기 키를 안전하게 저장하고 지역 간 복원력을 제공합니다.
Azure 프라이빗 엔드포인트는 Azure Storage, Azure SQL Database 및 Azure Key Vault와 같은 PaaS 서비스를 개인 IP 주소를 통해 가상 네트워크에 안전하게 연결하는 네트워크 인터페이스 역할을 합니다. 이 기능을 사용하면 공용 인터넷 노출이 필요하지 않아 Azure 백본 네트워크 내에서 트래픽을 유지하여 보안을 강화합니다. 또한 추가 보호를 위해 고객 가상 네트워크를 사용합니다. 이 아키텍처에서 Azure 프라이빗 엔드포인트는 서비스 간의 트래픽이 프라이빗 가상 네트워크를 통해 흐르도록 합니다.
Azure 프라이빗 DNS 는 프라이빗 엔드포인트에 대한 원활한 이름 확인을 제공하므로 가상 네트워크 내의 리소스가 Azure 서비스에 비공개로 액세스할 수 있습니다. 이를 통해 공용 IP 주소 대신 정규화된 도메인 이름을 사용할 수 있으므로 보안 및 접근성이 향상됩니다. 프라이빗 엔드포인트를 만들면 해당 DNS(Domain Name System) 레코드가 연결된 프라이빗 DNS 영역에 자동으로 등록됩니다. 프라이빗 DNS 영역은 서비스에 대한 트래픽이 Azure 백본 네트워크 내에 유지되도록 합니다. 이 방법은 공용 인터넷에 노출되는 것을 방지하여 보안, 성능 및 규정 준수를 향상시킵니다. 지역 서비스 중단이 발생하면 Azure Private DNS는 관리형 HSM에 대한 네이티브 지역 간 이름 확인 복원력을 제공합니다. 이 아키텍처에서 서비스는 Azure 프라이빗 DNS를 사용하여 프라이빗 네트워크 주소를 통해 서로 통신합니다.
시나리오 세부 정보
이 솔루션에서 고객은 나열된 서비스의 전체 기능을 보장하면서 중요 업무용 시스템에 대한 엄격한 SLO(서비스 수준 목표) 임계값을 충족하는 것을 목표로 합니다. 이 목표를 달성하기 위해 고객 관리형 TDE 보호기 키와 함께 SQL Managed Instance를 사용합니다. 키는 선택한 지역을 지원하고 모든 규정 준수 및 보안 요구 사항을 충족하는 금고에 저장됩니다. 보호 강화를 위해 프라이빗 엔드포인트 액세스도 적용됩니다.
잠재적인 사용 사례
고객은 쌍을 이루는 지역 또는 비쌍의 지역을 사용합니다. 기본 SQL Managed Instance는 한 지역에 있으며 장애 조치(failover) 그룹은 보조 지역의 SQL Managed Instance와 연결하도록 구성됩니다.
고객은 주 지역의 관리형 HSM 인스턴스를 사용하며, 보조 지역에 있는 지역 간 복제본도 함께 사용합니다. 지역 간 복제본을 사용하도록 설정하면 Traffic Manager 인스턴스가 만들어집니다. Traffic Manager 인스턴스는 두 볼트가 모두 작동 중인 경우 로컬 볼트로 트래픽을 라우팅하며, 하나의 볼트를 사용할 수 없는 경우에는 작동 중인 볼트로 라우팅합니다.
고객은 두 개의 사용자 지정 DNS 영역을 사용하여 각 지역의 관리형 HSM 인스턴스에 대한 프라이빗 엔드포인트를 지원합니다.
사용자 데이터베이스에서 고객 지원 TDE는 고객 관리형 키 모델을 사용하고 보호기 키를 관리형 HSM에 저장합니다.
고객은 이 디자인을 사용하여 가능한 최대 복원력을 제공합니다.
기여자
Microsoft는 이 문서를 유지 관리합니다. 다음 기여자는 이 문서를 작성했습니다.
주요 작성자:
- Laura Grob | 주요 클라우드 솔루션 설계자
- Armen Kaleshian | 주요 클라우드 솔루션 설계자
- Michael Piskorski | 선임 클라우드 솔루션 설계자
LinkedIn 비공개 프로필을 보려면, LinkedIn에 로그인하세요.