Najlepsze rozwiązania w zakresie zabezpieczeń — Azure Database Migration Service

Ten artykuł zawiera ogólne najlepsze rozwiązania w zakresie zabezpieczeń, które należy stosować podczas migracji baz danych programu SQL Server do produktu Azure SQL przy użyciu usługi Azure Database Migration Service (Azure DMS). Z tego artykułu dowiesz się, jak korzystać ze środków zabezpieczeń w programie SQL Server i infrastrukturze platformy Azure w celu zabezpieczenia migracji, w tym najlepszych rozwiązań dotyczących źródłowego programu SQL Server, sieci, usługi Azure Blob Storage i docelowych ofert usługi Azure SQL.

W tym artykule opisano następujące scenariusze migracji z programu SQL Server (lokalnie lub w innych chmurach) do:

  • Azure SQL Managed Instance
  • Program SQL Server na maszynach wirtualnych platformy Azure
  • Azure SQL Database

Ten przewodnik jest przeznaczony dla klientów z pytaniami dotyczącymi bezpiecznej migracji do produktów Azure SQL. Odbiorcy obejmują architektów baz danych i zabezpieczeń, menedżerów i administratorów baz danych, a także zespoły IT zaangażowane w projekty migracyjne.

Prace w tym artykule trwają. Możesz przekazać opinię lub poprawki, korzystając z opcji Opinie na końcu tego artykułu.

Źródłowy program SQL Server

Rozważ następujące najlepsze rozwiązania w zakresie zabezpieczeń dla źródłowego programu SQL Server:

  • Szyfruj dane magazynowane za pomocą funkcji Transparent Data Encryption (TDE) dla kopii zapasowych bazy danych, aby ograniczyć ryzyko związane z nieautoryzowanym dostępem do danych, zwłaszcza w przypadku migracji przez Internet. Możesz również szyfrować dane spoczywające dla innych zasobów Azure.

  • Użyj uwierzytelniania systemu Windows z usługą Active Directory, aby uzyskać dostęp do źródłowych lub lokalnych zasobów udostępnianych plików kopii zapasowej. Usługa Active Directory zapewnia centralne zarządzanie identyfikatorami logowania, które upraszcza zarządzanie uprawnieniami.

  • Postępuj zgodnie z zasadą najniższych uprawnień , aby przyznać użytkownikom minimalne szczegółowe uprawnienia i role serwera niezbędne do wykonania zadań. Na przykład:

    • Podczas migracji do usługi Azure SQL Managed Instance lub do SQL Servera na maszynach wirtualnych Azure, login, który nawiązuje połączenie ze źródłowym wystąpieniem SQL Servera, powinien mieć CONTROL SERVER uprawnienie.

    • Podczas migracji do usługi Azure SQL Database, login, który łączy się ze źródłowym serwerem SQL, powinien być członkiem roli db_datareader.

Network

Rozważ następujące najlepsze rozwiązania w zakresie zabezpieczeń dla sieci:

  • Wszystkie dane przesyłane przez usługę Azure DMS są domyślnie chronione za pomocą szyfrowania TLS 1.2.

  • W przypadku przenoszenia danych między infrastrukturą źródłową a platformą Azure należy wziąć pod uwagę odpowiednie zabezpieczenia, takie jak HTTPS lub VPN. Podczas wysyłania ruchu między siecią wirtualną platformy Azure a lokalizacją lokalną za pośrednictwem publicznego Internetu należy użyć zaszyfrowanej sieci VPN typu lokacja-lokacja. Połączenie sieci VPN typu lokacja-lokacja jest zaufaną, niezawodną i ustanowioną technologią, ale połączenie odbywa się przez Internet, a przepustowość jest ograniczona do maksymalnie około 1,25 Gb/s.

  • Użyj usługi ExpressRoute , aby przeprowadzić migrację większych zestawów danych. Usługa ExpressRoute oferuje większą niezawodność, szybsze szybkości, spójne opóźnienia i większe bezpieczeństwo połączeń, ponieważ nie przechodzą przez publiczny Internet.

    Uwaga / Notatka

    Jeśli scenariusz migracji usługi DMS wymaga własnego środowiska Integration Runtime (SHIR), maszyna SHIR musi mieć publiczny dostęp do Internetu, aby umożliwić migrację.

  • W przypadku migracji do usługi Azure SQL Database użyj reguł zapory ip , aby ograniczyć dostęp tylko do autoryzowanych adresów IP.

Azure Blob magazynowanie

Rozważ następujące najlepsze rozwiązania w zakresie zabezpieczeń dla usługi Azure Blob Storage:

  • Wszystkie interakcje z usługą Azure Storage za pośrednictwem witryny Azure Portal powinny odbywać się za pośrednictwem protokołu HTTPS. Użyj opcji Wymagaj bezpiecznego transferu aby wymusić połączenia HTTPS dla konta magazynowego.

  • Skonfiguruj dostęp usługi Azure DMS do usługi Azure Blob Storage przy użyciu tokenu sygnatury dostępu współdzielonego (SAS) z ograniczonymi uprawnieniami, aby mieć szczegółową kontrolę nad uprawnieniami przyznanymi usłudze Azure DMS.

  • Usługa Azure DMS obsługuje prywatny punkt końcowy dla usługi Azure Blob Storage podczas kopiowania kopii zapasowej z lokalnego udziału plików do usługi Azure Blob Storage. Jeśli prywatne punkty końcowe nie są opcją, publiczne punkty końcowe są używane do komunikacji między warstwami usług.

Aby uzyskać więcej informacji, zobacz Zalecenia dotyczące zabezpieczeń usługi Azure Blob Storage.

Docelowy produkt Azure SQL

Rozważ następujące najlepsze rozwiązania w zakresie zabezpieczeń dla docelowego produktu Azure SQL:

Powiązana zawartość

  • Ostatnia aktualizacja o