Perímetro de segurança de rede para o Banco de Dados SQL do Azure (versão prévia)

Aplica-se a:Banco de Dados SQL do Azure

O perímetro de segurança de rede (prévia) protege tanto o tráfego de entrada quanto de saída entre o Banco de Dados SQL do Azure e outros recursos de plataforma como serviço (PaaS), como Armazenamento do Azure e Azure Key Vault. Ele bloqueia tentativas de comunicação com recursos do Azure fora do perímetro.

Note

Como uma versão prévia do recurso, a tecnologia apresentada neste artigo está sujeita aos Termos de uso complementares para versões prévias do Microsoft Azure.

Introdução

  1. No portal do Azure, pesquise o Perímetro de Segurança de Rede na lista de recursos e selecione Criar.

    Captura de tela da criação de um perímetro de segurança de rede no portal do Azure.

  2. Forneça um Nome e Região e escolha a assinatura.

  3. Na seção Recursos , selecione o botão Adicionar e navegue até o Banco de Dados SQL que você deseja associar ao perímetro.

  4. Adicione uma regra de acesso de entrada. O tipo de origem pode ser um endereço IP, uma assinatura ou outros perímetros de segurança de rede.

  5. Adicione uma regra de acesso de saída para permitir que recursos dentro do perímetro se conectem a recursos fora dele.

Se você já tem um Banco de Dados SQL do Azure e deseja adicionar um perímetro de segurança de rede, use os seguintes passos:

  1. No portal do Azure, pesquise o Perímetro de Segurança de Rede existente.

  2. Selecione Recursos Associados no menu Configurações .

  3. Selecione o botão Adicionar e selecione Associar recursos a um perfil existente.

    Captura de tela dos recursos associados para o perímetro de segurança de rede no portal do Azure.

  4. Selecione seu Perfil na lista suspensa e selecione Adicionar.

    Captura de tela da adição de um recurso associado ao perímetro de segurança de rede no portal do Azure.

  5. Procure pelo seu recurso do Banco de Dados SQL, selecione o recurso necessário e então selecione Associado.

Use o Banco de Dados SQL com um perímetro de segurança de rede

Por padrão, um perímetro de segurança de rede utiliza o modo de transição, anteriormente chamado de modo de aprendizado, que você pode usar para registrar todo o tráfego de e para o Banco de Dados SQL. Você pode registrar o tráfego de rede em um espaço de trabalho do Log Analytics ou em uma conta do Armazenamento do Azure usando o registro de diagnóstico para o Azure Network Security Perimeter. Quando estiver tudo pronto, mude o perímetro para o modo Imposto. No modo Forçado , o acesso negado retorna o seguinte erro:

Error 42118
Login failed because the network security perimeter denied inbound access.

Suporte de funcionalidades

Nem todo recurso do Banco de Dados SQL do Azure interage com um perímetro de segurança de rede da mesma forma. Algumas funcionalidades movem dados entre servidores lógicos, algumas estabelecem conexões de saída com outros serviços do Azure, e algumas simplesmente não funcionam em um perímetro. A tabela a seguir cobre as características documentadas até agora. Essa lista cresce à medida que mais recursos completam a validação do perímetro. Selecione um recurso para saber mais sobre como ele funciona com um perímetro de segurança de rede, incluindo etapas de configuração e quaisquer limitações.

Característica Suporte do perímetro O que você precisa saber
Replicação geográfica ativa Supported No modo forçado, cada servidor lógico em um perímetro precisa de uma regra de entrada e outra de saída para todos os outros servidores do conjunto de geo-replicação que não estejam no seu perímetro. As regras rodam em ambas as direções porque um geo-failover inverte a direção do movimento dos dados. A replicação em um link estabelecido continua rodando mesmo que você depois mude as regras para não permitir isso.
Alterar o streaming de eventos Supported O banco de dados estabelece conexão de saída com o Hubs de Eventos do Azure ou o Fabric Eventstream. No modo forçado, adicione uma regra de saída que especifique o FQDN de destino. Sem essa regra, você não pode criar um grupo de streams, e um stream existente para de publicar e mantém o log de transações aberto.
Cópia do banco de dados Supported No modo forçado, um servidor de origem em um perímetro precisa de uma regra de saída, e um servidor alvo em um perímetro precisa de uma regra de entrada. Nenhum dos dois precisa de uma regra se ambos os servidores estiverem no mesmo perímetro ou se a cópia permanecer em um único servidor. Quando um servidor lógico pertence a um perímetro, Transact-SQL não é uma forma suportada de copiar para outro servidor lógico.
Trabalhos elásticos Supported O servidor lógico do agente de trabalho precisa de uma regra de saída para cada servidor alvo. O perímetro é verificado em tempo de execução, então um trabalho pode ser criado com sucesso e depois falhar durante a execução.
Consulta elástica Suportado dentro de um único perímetro O banco de dados que executa a consulta e o banco de dados remoto devem estar no mesmo perímetro. Consulta elástica não precisa de configuração perimetral própria.
Eventos estendidos Supported O event_file destino e as funções que leem dados de eventos se conectam de saída ao Armazenamento do Azure. No modo forçado, use uma identidade gerenciada ou adicione uma regra FQDN de saída para a conta de armazenamento ao usar um token SAS.
Restaurar retenção de longo prazo Supported No modo forçado, um servidor de origem em um perímetro precisa de uma regra de saída, e um servidor alvo em um perímetro precisa de uma regra de entrada. Nenhum dos dois precisa de regra se ambos estiverem no mesmo perímetro. Após o servidor de origem ser excluído, apenas o lado alvo pode ser validado.
Sincronização de Dados SQL Não suportado por definição O Sincronização de Dados é executado como um serviço de proxy, em vez de um recurso do Azure, portanto não possui FQDN nem endereço IP para definir regras de perímetro para ele. Um perímetro bloqueia os caminhos de rede que o Sincronização de Dados exige tanto no modo transição quanto no modo forçado.

Limitações

  • Um servidor lógico no Banco de Dados SQL do Azure não poderá ser associado a um perímetro de segurança de rede se ele contiver um ou mais pools de SQL dedicados (anteriormente SQL DW).
  • O suporte ao perímetro de segurança de rede para o Banco de Dados SQL do Azure está disponível nas regiões de nuvem pública do Azure. Não está disponível no Azure Governamental. Para obter a lista atual de serviços incorporados, consulte Recursos de link privado incorporados.

Conteúdo relacionado

  • Última atualização em