Aracılığıyla paylaş

Öğretici: Azure SQL Database için yönetilen kimlik doğrulamasıyla veritabanını içeri veya dışarı aktarma (önizleme)

Applies to:Azure SQL Database

Bu öğreticide, yönetilen kimlik kimlik doğrulamasıyla Azure SQL Database BACPAC dosyalarını içeri ve dışarı aktarma işlemi gösterilmektedir.

Yönetilen kimlik kimlik doğrulaması, içeri ve dışarı aktarma isteklerinde SQL yöneticisi kimlik bilgileri ve depolama hesabı anahtarları sağlama gereksinimini ortadan kaldırır.

Uyarı

Yönetilen kimlik kimlik doğrulaması ile BACPAC dosyalarını içeri ve dışarı aktarma işlemi şu anda önizleme aşamasındadır.

Genel bakış

Yönetilen kimlik doğrulaması ile Azure SQL Database içe ve dışa aktarma işlemleri aşağıdakileri gerçekleştirmenize yardımcı olur:

  • SQL yönetici parolalarını ve depolama hesabı anahtarlarını kaldırın.
  • Yalnızca Microsoft Entra kimlik doğrulamayı zorunlu kılma.
  • Kimlik bilgileri yönetimi ve değiştirme ek yükünü azaltın.

Önemli

İthalat ve ihracat yüksek yetki gerektiren işlemlerdir. Yalnızca güvenilen sorumlulara izin verin.

Architecture

İçeri ve dışarı aktarma için yönetilen kimlik kimlik doğrulaması aşağıdaki mimariyi kullanır:

  • İçeri ve dışarı aktarma hizmeti Microsoft tarafından yönetilen altyapıda çalışır.
  • Kimlik doğrulaması için mantıksal sunucuya atanan kullanıcı atamalı yönetilen kimlik kullanılır.
  • Azure RBAC, Azure Storage erişimi denetler.

Desteklenen senaryolar

Yönetilen kimlik kimlik doğrulaması ile aşağıdaki senaryolar desteklenir:

  • Yeni bir veritabanına aktar.
  • Var olan boş bir veritabanına aktar.
  • Var olan bir veritabanından dışarı aktarın.

Yönetilen kimlik kimlik doğrulaması ile aşağıdaki senaryolar desteklenmez:

  • Kiracılar arası içe aktarma işlemleri.
  • Yönetilen kimlik yalnızca veritabanı düzeyinde atanır.

Önkoşullar

  • Azure aboneliği.
  • Azure SQL Database için mantıksal sunucu.
  • Blob kapsayıcısı olan bir Azure depolama hesabı.

Kullanıcının atadığı yönetilen kimliği oluşturun

Bir veya daha fazla yönetilen kimlik oluşturun.

Aşağıdaki kimlik doğrulama modellerinden birini seçin:

  • Hem SQL hem de Azure Storage erişimi için bir kimlik.
  • SQL ve depolama erişimi için ayrı kimlikler.

En az ayrıcalıklı izin yönetimini basitleştirmek için ayrı kimlikler kullanın.

Yönetilen kimlik oluşturmak için Azure portal, Azure CLI, Azure PowerShell, ARM şablonu veya REST API.

Dışarı veya içeri aktarma işlemleri ve depolama hesabı erişimi için kullanıcı tarafından atanan yönetilen kimlik kaynak kimliğine ihtiyacınız vardır. Kaynak kimliği şu biçimdedir:

/subscriptions/<subscriptionId>/resourceGroups/<resourceGroup>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identityName>

Azure portalında kullanıcı tarafından atanan mevcut bir yönetilen kimliğin kaynak kimliğini belirlemek için şu adımları izleyin:

  1. Azure portalında kullanıcı tarafından atanan yönetilen kimliklerinize gidin.
  2. Ayarlar bölümünde Özellikler’i seçin.
  3. Temel Bileşenler'in altında, sonraki adımlarda kullanılacak kimlik değerini kopyalayın.

Depolama izinleri verme

İçeri ve dışarı aktarma işlemleri için yönetilen kimlik kimlik doğrulamasını kullanmak için, depolama hesabına erişen kullanıcı tarafından atanan yönetilen kimliğin hedef hesap için uygun Azure RBAC izinlerine sahip olması gerekir.

Depolama hesabı erişimi için kullanmayı planladığınız kullanıcı tarafından atanan yönetilen kimlik için izinler verin. Bu, mantıksal sunucuya atanan kimlikten farklı bir yönetilen kimlik veya hem SQL hem de depolama erişimi için tek bir kimlik kullanmak istiyorsanız aynı kimlik olabilir.

Uyarı

Rol atamaları eklemek veya ortak yöneticiler eklemek için kullanıcının aboneliğin yöneticisi veya Kullanıcı Erişimi Yöneticisi olması gerekir.

Yönetilen kimliğe depolama hesabı için Azure RBAC izinleri vermek için şu adımları izleyin:

  1. Azure portalında kullanıcı tarafından atanan yönetilen kimliğiniz için Azure rol atamaları seçin.
  2. Azure rol atamaları bölmesinde + Rol ataması ekle (Önizleme)'i seçerek Rol ataması ekle (Önizleme) bölmesini açın.
  3. Kapsam açılır listesinden Depolama'yı seçin.
  4. Abonelik'in altında doğru aboneliğin seçili olduğundan emin olun.
  5. Kaynak'ın altında, dışarı veya içeri aktarma işleminiz için kullanmayı planladığınız depolama hesabını seçin.
  6. Rol altında, işleminiz için ilgili Depolama Blobu rolünü arayın:
    • Dışarı aktarma işlemleri için Depolama Blob Verileri Katkıda Bulunanı rolünü atayın.
    • İçeri aktarma işlemleri için Depolama Blobu Veri Okuyucusu rolünü atayın .
  7. Rol atamasını kaydetmek için Kaydet'i seçin.

Yönetilen kimliği mantıksal sunucuya atayın

Mantıksal sunucu için oluşturduğunuz kullanıcı tarafından atanan yönetilen kimliği mantıksal sunucuya atayın.

Yönetilen kimliği mantıksal sunucuya atamak için şu adımları izleyin:

  1. Azure portalında Azure SQL Database için mantıksal sunucunuzu açın.
  2. Güvenlik'in altında Kimlik'i seçin.
  3. Kullanıcı tarafından atanan yönetilen kimlik bölümünde + Ekle'yi kullanarak Kullanıcı tarafından atanan yönetilen kimliği seçin bölmesini açın.
  4. Önceki adımda oluşturduğunuz yönetilen kimliği arayın, seçin ve ardından Ekle'yi seçerek sunucuya atayın.
  5. Kullanıcı tarafından atanan yönetilen kimliği birincil kimlik olarak atayın.
  6. Değişiklikleri kaydetmek için gezinti çubuğundaki Kaydet simgesini kullanın.

Microsoft Entra yöneticisini yapılandırma

Microsoft Entra yöneticisini yapılandırmak için şu adımları izleyin:

  1. Azure SQL Database için mantıksal sunucunun Ayarlar bölümü altında, Microsoft Entra yöneticisini seçin.
  2. Microsoft Entra ID bölmesini açmak için Set admin öğesini seçin.
  3. Oluşturduğunuz kullanıcı tarafından atanan yönetilen kimliği arayın, seçin ve Microsoft Entra yöneticisi olarak ayarlamak için Select kullanın.
  4. (İsteğe bağlı) Bu sunucu için yalnızca Microsoft Entra kimlik doğrulamasını destekleme mantıksal sunucu için yalnızca Microsoft Entra kimlik doğrulamasını zorunlu kılmak üzere onay kutusunu kullanın. Bu ayar tüm SQL kimlik doğrulamasını engeller, bu nedenle sunucuya yalnızca yönetilen kimlikler ve diğer Microsoft Entra sorumluları erişebilir.
  5. Değişiklikleri kaydetmek için gezinti çubuğundaki Kaydet simgesini kullanın.

Uyarı

Mantıksal sunucuya birden çok kaynak yöneticisi erişimi vermeniz gerekiyorsa, bir Microsoft Entra grubu oluşturmayı, bu grubu yönetici olarak atamayı ve ardından kullanıcı tarafından atanan yönetilen kimliği bu grubun üyesi olarak atamayı göz önünde bulundurun.

Veritabanını dışarı aktarma

Azure portalını, Azure CLI, Azure PowerShell veya REST API'yi kullanarak yönetilen kimlik doğrulamasıyla veritabanını dışarı aktarabilirsiniz.

yönetilen kimlik doğrulamasına sahip bir veritabanını Azure portalından dışarı aktarmak için şu adımları izleyin:

  1. Azure portalında Azure SQL Database hedefinize gidin.
  2. Genel Bakış bölmesinde Dışarı Aktar'ı seçerek Veritabanını dışarı aktar bölmesini açın.
  3. Yönetilen kimlikle depolama hesabına erişmek için Depolama kimlik doğrulaması için yönetilen kimlik kullan kutusunu işaretleyin ve ardından depolama hesabı erişimi verilen yönetilen kimliğin Kaynak Kimliğini belirtin.
  4. Kimlik doğrulama türü içinYönetilen Kimlik'i seçin.
  5. SQL Yönetilen Kimlik Kaynak Kimliği alanı, mantıksal sunucuya atanan kullanıcı tarafından atanan yönetilen kimliğin Kaynak Kimliği ile otomatik olarak doldurulmalıdır. Aksi takdirde, yönetilen kimliği oluştururken kaydettiğiniz kullanıcı atamalı yönetilen kimliğin Kaynak Kimliğini belirtin.

Veritabanını içeri aktarma

Azure portalını, Azure CLI, Azure PowerShell veya REST API'yi kullanarak yönetilen kimlik doğrulamasıyla veritabanını içeri aktarabilirsiniz.

Veritabanını yeni bir veritabanı olarak veya mevcut boş bir veritabanına aktarabilirsiniz.

yönetilen kimlik doğrulamasına sahip bir veritabanını Azure portalından içeri aktarmak için şu adımları izleyin:

  1. Azure portalında Azure SQL Database için mantıksal sunucunuza gidin.
  2. Genel Bakış bölmesinde İçeri Aktar'ı seçerek Veritabanını içeri aktar bölmesini açın.
  3. Yönetilen kimlikle depolama hesabına erişmek için Depolama kimlik doğrulaması için yönetilen kimlik kullan kutusunu işaretleyin ve ardından depolama hesabı erişimi verilen yönetilen kimliğin Kaynak Kimliğini belirtin.
  4. Veritabanı adı'nın altında hedef veritabanının adını belirtin.
  5. Kimlik doğrulama türü içinYönetilen Kimlik'i seçin.
  6. SQL Yönetilen Kimlik Kaynak Kimliği alanı, mantıksal sunucuya atanan kullanıcı tarafından atanan yönetilen kimliğin Kaynak Kimliği ile otomatik olarak doldurulmalıdır. Eğer öyle değilse, yönetilen kimliği oluştururken kaydettiğiniz kullanıcı tarafından atanan yönetilen kimliğin kaynak kimliğini belirtin.

Yaygın sorunları giderme

İçeri ve dışarı aktarma için yönetilen kimlik kimlik doğrulaması kullandığınızda aşağıdaki yaygın sorunlar oluşabilir. Her sorun için sorun giderme adımlarını deneyin:

  • Tenant uyuşmazlığı: Mantıksal sunucunun, kullanıcı tarafından atanan yönetilen kimliğin ve depolama hesabının aynı Microsoft Entra kiracısında olduğunu doğrulayın.
  • Yönetilen kimlik Microsoft Entra yöneticisi olarak yapılandırılmadı: Kullanıcı tarafından atanan yönetilen kimliği mantıksal sunucuda sunucu düzeyinde Microsoft Entra yöneticisi olarak ayarlayın.
  • Depolama yetkilendirme hataları: Depolama Blobu Veri Okuyucusu'na (içeri aktarma) veya Depolama Blob Verileri Katkıda Bulunanı'na (dışarı aktarma) doğru Depolama kapsamında verildiğini onaylayın.
  • Operation yetkilendirme hataları: Kullanıcının hedef SQL kapsamında içeri aktarma veya dışa aktarma işlemleri göndermek için Azure RBAC izni olduğunu onaylayın.
  • Paylaşılan anahtarla kimlik doğrulaması devre dışı bırakıldı: İçeri veya dışarı aktarma işlemleri sırasında Azure portalında bir depolama hesabı seçildiğinde portal oturum açmış kullanıcının kimlik bilgilerini kullanır ve paylaşılan anahtar tabanlı yetkilendirmeye dayanır. Depolama hesabı için paylaşılan anahtar yetkilendirmesi devre dışı bırakıldığında, Azure portalından içeri ve dışarı aktarma kullanılamaz. Paylaşılan anahtar erişimi devre dışı bırakıldığında içeri ve dışarı aktarma işlemleri için Azure CLI, PowerShell veya REST API'sini kullanın.
  • Storage hesabı hesap seçimi açılan listesinde kullanılamaz: İçeri veya dışarı aktarma işlemleri için Azure portalını kullanırken, depolama hesabı seçimi açılan listesinde yalnızca oturum açmış kullanıcının erişimi olan depolama hesapları gösterilir. Açılan listede depolama hesabınızı görmüyorsanız, oturum açmış kullanıcının depolama hesabına en az Okuyucu rolü erişimi olduğundan emin olun.

Permissions

İçeri veya dışarı aktarma isteğini gönderen kullanıcının, içeri veya dışarı aktarma işlemlerini hedef kapsamda (veritabanı, sunucu, kaynak grubu veya abonelik) çalıştırmak için gerekli Azure RBAC izinlerine sahip olması gerekir.

Aşağıdaki yaygın yerleşik roller gerekli izinlere sahiptir:

  • SQL DB Katkıda Bulunanı
  • Contributor
  • Sahip

İçeri ve dışarı aktarma eylemleri için Microsoft.Sql gereken aşağıdaki izinleri içeren özel bir rol de kullanabilirsiniz:

  • Microsoft.Sql/servers/databases/export/action (POST)
  • Microsoft.Sql/servers/databases/import/action (POST)
  • Microsoft.Sql/servers/import/action (POST)
  • Microsoft.Sql/servers/databases/extensions/write (PUT)

Sınırlamalar

İçeri ve dışarı aktarma işlemleri için yönetilen kimlik kimlik doğrulamasını kullanırken aşağıdaki sınırlamaları göz önünde bulundurun:

  • Kiracılar arası işlemler desteklenmez.
  • İçeri ve dışarı aktarma işlemleri için veritabanı düzeyinde yönetilen kimlikler desteklenmez.
  • Önizleme sırasında bazı Azure portalı deneyimleri sınırlandırılabilir.
  • Sistem tarafından atanan yönetilen kimlikler desteklenmez.
  • Azure portalı kullanılırken paylaşılan anahtar erişimini devre dışı bırakmış bir depolama hesabına içeri ve dışarı aktarma işlemi desteklenmez. Paylaşılan anahtar erişimi devre dışı bırakılmış bir depolama hesabına içeri veya dışarı aktarmak için Azure CLI, PowerShell veya REST API'sini kullanın.

İlgili içerik

  • Last updated on