이 문서에는 Azure DMS(Azure Database Migration Service)를 사용하여 SQL Server 데이터베이스를 Azure SQL 제품으로 마이그레이션할 때 따라야 할 일반적인 보안 모범 사례가 포함되어 있습니다. 이 문서에서는 원본 SQL Server, 네트워크, Azure Blob Storage 및 대상 Azure SQL 제품에 대한 모범 사례를 포함하여 SQL Server 및 Azure 인프라의 보안 조치를 활용하여 마이그레이션을 보호하는 방법을 알아봅니다.
이 문서에서는 SQL Server(온-프레미스 또는 기타 클라우드)에서 다음 마이그레이션 시나리오를 다룹니다.
- Azure SQL 관리형 인스턴스
- Azure VM(Virtual Machines)의 SQL Server
- Azure SQL 데이터베이스
이 가이드는 데이터베이스 및 보안 설계자, 데이터베이스 관리자 및 관리자, 마이그레이션 프로젝트의 IT 팀 부분과 같은 Azure SQL 제품으로 안전하게 마이그레이션하는 방법에 대한 질문이 있는 고객을 위한 것입니다.
이 문서의 작업은 진행 중입니다. 이 문서의 끝부분에 있는 피드백 옵션을 사용하여 피드백 또는 수정 사항을 제공할 수 있습니다.
원본 SQL Server
원본 SQL Server에 대한 다음 보안 모범 사례를 고려합니다.
데이터베이스 백업에 TDE(투명한 데이터 암호화)로 미사용 데이터를 암호화하여 특히 인터넷을 통해 마이그레이션할 때 승인되지 않은 데이터 액세스와 관련된 위험을 완화하세요. 다른 Azure 리소스에 대한 미사용 데이터를 암호화할 수도 있습니다.
Active Directory에서 Windows 인증 을 사용하여 원본 또는 로컬 백업 파일 공유에 액세스합니다. Active Directory는 권한 관리를 간소화하는 로그인의 중앙 관리를 제공합니다.
최소 권한 원칙에 따라 사용자에게 작업을 완료하는 데 필요한 최소 세분화된 권한 및 서버 역할을 부여합니다. 다음은 그 예입니다.
Azure VM에서 Azure SQL Managed Instance 또는 SQL Server로 마이그레이션하는 경우 원본 SQL Server 인스턴스에 연결하는 로그인에
CONTROL SERVER권한이 있어야 합니다.Azure SQL Database로 마이그레이션할 때 원본 SQL Server 인스턴스에 연결하는 로그인은 db_datareader 역할의 멤버여야 합니다.
네트워크
네트워크에 대한 다음 보안 모범 사례를 고려합니다.
Azure DMS에서 전송되는 모든 전송 중인 데이터는 기본적으로 TLS 1.2 암호화로 보호됩니다.
원본 인프라와 Azure 간에 이동하는 데이터의 경우 HTTPS 또는 VPN과 같은 적절한 보호 조치를 고려합니다. 공용 인터넷을 통해 Azure 가상 네트워크와 온-프레미스 위치 간에 트래픽을 보내는 경우 암호화된 사이트 간 VPN을 사용합니다. 사이트 간 VPN 연결은 신뢰할 수 있고 안정적이며 설정된 기술이지만 인터넷을 통해 연결이 이루어지며 대역폭은 최대 약 1.25Gbps로 제한됩니다.
ExpressRoute를 사용하여 더 큰 데이터 집합을 마이그레이션합니다. ExpressRoute는 공용 인터넷을 통해 이동하지 않으므로 연결에 대한 안정성, 더 빠른 속도, 일관된 대기 시간 및 더 높은 보안 공간을 제공합니다.
비고
DMS 마이그레이션 시나리오에 SHIR(자체 호스팅 통합 런타임)이 필요한 경우 마이그레이션을 사용하도록 설정하려면 SHIR 머신에 공용 인터넷 액세스 권한이 있어야 합니다.
Azure SQL Database로 마이그레이션하는 경우 IP 방화벽 규칙을 사용하여 권한 있는 IP 주소에만 액세스를 제한합니다.
Azure Blob 저장소
Azure Blob Storage에 대한 다음 보안 모범 사례를 고려합니다.
Azure Portal을 통한 Azure Storage와의 모든 상호 작용은 HTTPS를 통해 수행되어야 합니다. 스토리지 계정에 HTTPS 연결을 적용하려면 보안 전송 필요 를 사용합니다.
제한된 권한으로 SAS(공유 액세스 서명) 토큰 을 사용하여 Azure DMS 스토리지에 대한 Azure DMS 액세스를 구성하여 Azure DMS 서비스에 부여된 권한을 세부적으로 제어합니다.
Azure DMS는 온-프레미스 로컬 파일 공유에서 Azure Blob Storage로 백업을 복사하는 동안 Azure Blob Storage에 대한 프라이빗 엔드포인트를 지원합니다. 프라이빗 엔드포인트가 옵션이 아닌 경우 공용 엔드포인트는 서비스 계층 간의 통신에 사용됩니다.
자세한 내용은 Azure Blob Storage에 대한 보안 권장 사항을 참조하세요.
Azure SQL 대상 제품
대상 Azure SQL 제품에 대한 다음 보안 모범 사례를 고려합니다.
최소 권한 원칙에 따라 최소 세분화된 권한을 부여합니다. Azure Database Migration Service를 사용하는 경우 Azure Database Migration Service 서비스에 부여된 권한을 제한하도록 사용자 지정 역할을 구성할 수 있습니다.
다음은 그 예입니다.
다음 보안 가이드를 검토하여 Azure SQL 제품을 보호하는 방법을 알아봅니다.