Práticas recomendadas de segurança - Serviço de Migração de Banco de Dados do Azure

Este artigo contém práticas recomendadas de segurança gerais a serem seguidas ao migrar bancos de dados do SQL Server para um produto SQL do Azure com o Serviço de Migração de Banco de Dados do Azure (Azure DMS). Neste artigo, você aprenderá a aproveitar as medidas de segurança no SQL Server e na infraestrutura do Azure para proteger sua migração, incluindo práticas recomendadas para o SQL Server de origem, rede, armazenamento de Blob do Azure e ofertas SQL do Azure de destino.

Este artigo aborda os seguintes cenários de migração do SQL Server (local ou outras nuvens) para:

  • Azure SQL Managed Instance
  • SQL Server em Máquinas Virtuais (VMs) do Azure
  • Base de Dados SQL do Azure

Este guia destina-se a clientes com dúvidas sobre a migração segura para um produto SQL do Azure, como arquitetos de banco de dados e segurança, gerentes e administradores de banco de dados e equipes de TI que fazem parte de projetos de migração.

O trabalho neste artigo está em curso. Você pode fornecer comentários ou correções usando a opção Comentários no final deste artigo.

SQL Server de origem

Considere as seguintes práticas recomendadas de segurança para o SQL Server de origem:

  • Criptografe dados em repouso com criptografia de dados transparente (TDE) para seus backups de banco de dados, para reduzir os riscos associados ao acesso não autorizado a dados, especialmente ao migrar pela Internet. Você também pode criptografar dados em repouso para outros recursos do Azure.

  • Use a Autenticação do Windows com o Ative Directory para acessar compartilhamentos de arquivos de backup locais ou de origem. O Ative Directory fornece gerenciamento central de logons que simplifica o gerenciamento de permissões.

  • Siga o princípio do menor privilégio para conceder aos usuários as permissões granulares mínimas e as funções de servidor necessárias para concluir as tarefas. Por exemplo:

    • Quando você migra para a Instância Gerenciada SQL do Azure ou para o SQL Server em VMs do Azure, o logon que se conecta à instância do SQL Server de origem deve ter CONTROL SERVER permissão.

    • Quando você migra para o Banco de Dados SQL do Azure, o logon que se conecta à instância do SQL Server de origem deve ser um membro da função db_datareader .

Rede

Considere as seguintes práticas recomendadas de segurança para sua rede:

  • Todos os dados em trânsito transmitidos pelo Azure DMS são protegidos com criptografia TLS 1.2 por padrão.

  • Para a movimentação de dados entre sua infraestrutura de origem e o Azure, considere proteções apropriadas, como HTTPS ou VPN. Ao enviar tráfego entre uma rede virtual do Azure e um local no local pela Internet pública, utilize a VPN site a site criptografada. A conexão VPN site a site é uma tecnologia confiável, confiável e estabelecida, mas a conexão ocorre pela internet e a largura de banda é limitada a um máximo de cerca de 1,25 Gbps.

  • Use o ExpressRoute para migrar conjuntos de dados maiores. O ExpressRoute oferece maior confiabilidade, velocidades mais rápidas, latências consistentes e uma pegada de segurança maior para as conexões, uma vez que elas não passam pela Internet pública.

    Observação

    Se o seu cenário de migração DMS exigir um runtime de integração auto-hospedado (SHIR), a máquina SHIR deve ter acesso público à internet para permitir a migração.

  • Para migrações para o Banco de Dados SQL do Azure, use regras de firewall IP para restringir o acesso apenas a endereços IP autorizados.

Armazenamento de Blobs do Azure

Considere as seguintes práticas recomendadas de segurança para o armazenamento de Blob do Azure:

  • Todas as interações com o Armazenamento do Azure por meio do portal do Azure devem ocorrer via HTTPS. Use Exigir transferência segura para impor conexões HTTPS para sua conta de armazenamento.

  • Configure o acesso do Azure DMS ao armazenamento de blob do Azure usando um token SAS (Assinatura de Acesso Compartilhado) com privilégios limitados, para ter controle granular sobre as permissões concedidas ao serviço DMS do Azure.

  • O Azure DMS dá suporte ao ponto de extremidade privado para o armazenamento de blobs do Azure enquanto copia o backup do compartilhamento de arquivos local local para o armazenamento de blobs do Azure. Se os pontos de extremidade privados não forem uma opção, os pontos de extremidade públicos serão usados para comunicação entre as camadas de serviço.

Para obter mais informações, consulte Recomendações de segurança para o armazenamento de Blob do Azure.

Produto SQL do Azure de destino

Considere as seguintes práticas recomendadas de segurança para seu produto SQL do Azure de destino:

Conteúdo relacionado

  • Última atualização a