Práticas recomendadas de segurança – Serviço de Migração de Banco de Dados do Azure

Este artigo contém as práticas recomendadas de segurança geral a seguir ao migrar bancos de dados do SQL Server para um produto SQL do Azure com o Azure DMS (Serviço de Migração de Banco de Dados do Azure). Neste artigo, você aprenderá a aproveitar as medidas de segurança no SQL Server e na infraestrutura do Azure para proteger sua migração, incluindo as práticas recomendadas para o SQL Server de origem, a rede, o Armazenamento de Blobs do Azure e as ofertas de SQL do Azure de destino.

Este artigo aborda os seguintes cenários de migração do SQL Server (local ou outras nuvens) para:

  • Instância Gerenciada de SQL do Azure
  • SQL Server em Máquinas Virtuais (VMs) do Azure
  • Banco de Dados SQL do Azure

Este guia destina-se a clientes com perguntas sobre como migrar com segurança para um produto SQL do Azure, como arquitetos de banco de dados e segurança, gerentes e administradores de banco de dados e equipes de TI que fazem parte de projetos de migração.

O trabalho neste artigo está em andamento. Você pode fornecer comentários ou correções usando a opção Comentários no final deste artigo.

SQL Server de origem

Considere as seguintes práticas recomendadas de segurança para o SQL Server de origem:

  • Criptografe dados em repouso com tde (transparent data encryption) para seus backups de banco de dados, para reduzir os riscos associados ao acesso a dados não autorizados, especialmente ao migrar pela Internet. Você também pode criptografar dados em repouso para outros recursos do Azure.

  • Use a Autenticação do Windows com o Active Directory para acessar compartilhamentos de arquivos de backup locais ou de origem. O Active Directory fornece gerenciamento central de logons que simplifica o gerenciamento de permissões.

  • Siga o princípio de privilégio mínimo para conceder aos usuários as permissões granulares mínimas e as funções de servidor necessárias para concluir as tarefas. Por exemplo:

    • Quando você migra para a Instância Gerenciada de SQL do Azure ou para o SQL Server em VMs do Azure, o logon que se conecta à instância do SQL Server de origem deve ter a permissão CONTROL SERVER.

    • Quando você migra para o Banco de Dados SQL do Azure, o login que se conecta à instância do SQL Server de origem deve ser membro da função db_datareader.

Rede

Considere as seguintes práticas recomendadas de segurança para sua rede:

  • Todos os dados em trânsito transmitidos pelo DMS do Azure são protegidos com criptografia TLS 1.2 por padrão.

  • Para a movimentação de dados entre a infraestrutura de origem e o Azure, considere as proteções apropriadas, como HTTPS ou VPN. Ao enviar tráfego entre uma rede virtual do Azure e uma localização local pela Internet pública, use o VPN site a site criptografado. A conexão VPN site a site é uma tecnologia confiável, confiável e estabelecida, mas a conexão ocorre pela Internet e a largura de banda é restrita a um máximo de cerca de 1,25 Gbps.

  • Use o ExpressRoute para migrar conjuntos de dados maiores. O ExpressRoute oferece maior confiabilidade, velocidades mais rápidas, latências consistentes e um nível de segurança mais alto para conexões, pois elas não passam pela internet pública.

    Observação

    Se o cenário de migração do DMS exigir um SHIR (integration runtime) auto-hospedado, o computador SHIR deverá ter acesso público à Internet para habilitar a migração.

  • Para migrações para o Banco de Dados SQL do Azure, use regras de firewall de IP para restringir o acesso somente a endereços IP autorizados.

Armazenamento de Blobs do Azure

Considere as seguintes práticas recomendadas de segurança para o Armazenamento de Blobs do Azure:

  • Todas as interações com o Armazenamento do Azure por meio do portal do Azure devem ocorrer por meio de HTTPS. Use Exigir transferência segura para impor conexões HTTPS para sua conta de armazenamento.

  • Configure o acesso do DMS do Azure ao armazenamento de blobs do Azure usando um token SAS (Assinatura de Acesso Compartilhado) com privilégios limitados, para ter controle granular sobre as permissões concedidas ao serviço DMS do Azure.

  • O DMS do Azure dá suporte ao ponto de extremidade privado para o Armazenamento de Blobs do Azure enquanto copia o backup do compartilhamento de arquivos local para o Armazenamento de Blobs do Azure. Se pontos de extremidade privados não estiverem disponíveis, os pontos de extremidade públicos serão usados para comunicação entre as camadas de serviço.

Para obter mais informações, consulte as recomendações de segurança para o Armazenamento de Blobs do Azure.

Produto SQL do Azure de destino

Considere as seguintes práticas recomendadas de segurança para seu produto SQL do Azure de destino:

Conteúdo relacionado

  • Última atualização em