Azure SQL Yönetilen Örneği için hizmet uç noktası ilkelerini yapılandırma (Önizleme)

Makale
07/31/2023

Şunlar için geçerlidir:Azure SQL Yönetilen Örneği

Sanal Ağ (VNet) Azure Depolama hizmeti uç noktası ilkeleri , çıkış sanal ağ trafiğini Azure Depolama'ya filtreleyerek belirli depolama hesaplarına veri aktarımlarını kısıtlamanıza olanak tanır.

Uç nokta ilkelerinizi yapılandırma ve bunları SQL Yönetilen Örneği ile ilişkilendirme özelliği şu anda önizleme aşamasındadır.

Önemli avantajlar

Azure SQL Yönetilen Örneğiniz için Sanal ağ Azure Depolama hizmet uç noktası ilkelerini yapılandırmak aşağıdaki avantajları sağlar:

Azure SQL Yönetilen Örneği'nin Azure Depolama'ya trafiği için geliştirilmiş güvenlik: Uç nokta ilkeleri, iş açısından kritik verilerin hatalı veya kötü amaçlı olarak sızmasını önleyen bir güvenlik denetimi oluşturur. Trafik yalnızca veri idaresi gereksinimlerinizle uyumlu depolama hesaplarıyla sınırlı olabilir.
Hangi depolama hesaplarına erişilebileceği üzerinde ayrıntılı denetim: Hizmet uç noktası ilkeleri abonelik, kaynak grubu ve tek tek depolama hesabı düzeyinde depolama hesaplarına gelen trafiğe izin verebilir. Yöneticiler, Azure'da kuruluşun veri güvenliği mimarisine bağlılığı zorunlu kılmak için hizmet uç noktası ilkelerini kullanabilir.
Sistem trafiği etkilenmeden kalır: Hizmet uç noktası ilkeleri, Azure SQL Yönetilen Örneği'nin çalışması için gereken depolamaya erişimi hiçbir zaman engellemez. Buna yedeklemelerin, veri dosyalarının, işlem günlüğü dosyalarının ve diğer varlıkların depolanması dahildir.

Önemli

Hizmet uç noktası ilkeleri yalnızca SQL Yönetilen Örneği alt ağından gelen ve Azure depolamada sonlandıran trafiği denetler. İlkeler, örneğin veritabanını şirket içi BACPAC dosyasına dışarı aktarma, Azure Data Factory tümleştirmesi, Azure Tanılama Ayarları aracılığıyla tanılama bilgilerinin toplanması veya Doğrudan Azure Depolama'yı hedeflemeyen diğer veri ayıklama mekanizmalarını etkilemez.

Sınırlamalar

Azure SQL Yönetilen Örneğiniz için hizmet uç noktası ilkelerini etkinleştirmenin sınırlamaları şunlardır:

Önizleme aşamasındayken, bir alt ağa hizmet uç noktası ilkesi yerleştirmek, bu alt bilgisayarınızda bulunan örneklerin başka bir alt ağdaki bir örnekten belirli bir noktaya geri yükleme (PITR) gerçekleştirmesini engeller. Ancak hizmet uç noktası ilkesi, diğer alt ağlardaki örneklerin bu alt ağdan yedekleri geri yüklemesini engellemez.
Önizleme aşamasındayken bu özellik Çin Doğu 2, Çin Kuzey 2, Orta ABD EUAP, Doğu ABD 2 EUAP, US Gov Arizona, US Gov Texas, US Gov Virginia ve Orta Batı ABD dışında SQL Yönetilen Örneğinin desteklendiği tüm Azure bölgelerinde kullanılabilir.
Bu özellik yalnızca Azure Resource Manager dağıtım modeli üzerinden dağıtılmış olan sanal ağlarda kullanılabilir.
Bu özellik yalnızca Azure Depolama için hizmet uç noktalarının etkinleştirildiği alt ağlarda kullanılabilir.
Hizmet uç noktası ilkesi atanarak uç nokta bölgesel kapsamdan genel kapsama yükseltildi. Başka bir deyişle Azure Depolama'ya giden tüm trafik, depolama hesabının bulunduğu bölgeden bağımsız olarak hizmet uç noktasından geçer.
Depolama hesabına izin vermek, RA-GRS ikincil hesabına otomatik olarak erişime izin verir.

Depolama envanteri hazırlama

Bir alt ağda hizmet uç noktası ilkelerini yapılandırmaya başlamadan önce, yönetilen örneğin bu alt ağda erişmesi gereken depolama hesaplarının listesini oluşturun.

Azure Depolama ile iletişim kurabilecek iş akışlarının listesi aşağıdadır:

Azure Depolama'ya denetim .
Azure Depolama'ya yalnızca kopya yedeklemesi gerçekleştirme.
Azure Depolama'dan veritabanını geri yükleme .
BULK INSERT veya OPENROWSET(BULK ...) ile veri içeri aktarılıyor.
Genişletilmiş olayları Azure Depolama'daki bir Olay Dosyası hedefine günlüğe kaydetme.
Azure DMS çevrimdışı Azure SQL Yönetilen Örneği'ne geçiş .
Azure SQL Yönetilen Örneği'ne Günlük Yeniden Yürütme Hizmeti geçişi .
İşlem çoğaltması kullanarak tabloları eşitleme.

Bunlara katılan herhangi bir depolama hesabının veya depolamaya erişen diğer iş akışlarının hesap adını, kaynak grubunu ve aboneliğini not edin.

İlkeleri yapılandırma

Önce hizmet uç noktası ilkenizi oluşturmanız ve ardından ilkeyi SQL Yönetilen Örneği alt ağıyla ilişkilendirmeniz gerekir. Bu bölümdeki iş akışını iş gereksinimlerinize uyacak şekilde değiştirin.

Not

SQL Yönetilen Örneği alt ağlarında ilkelerin /Services/Azure/ManagedInstance hizmet diğer adını içermesi gerekir (Bkz. 5. adım).
Zaten hizmet uç noktası ilkeleri içeren bir alt ağa dağıtılan yönetilen örnekler otomatik olarak /Services/Azure/ManagedInstance hizmet diğer adı yükseltilir.

Hizmet uç noktası ilkesi oluşturma

Hizmet uç noktası ilkesi oluşturmak için şu adımları izleyin:

Azure portal oturum açın.
+ Kaynak oluştur’u seçin.
Arama bölmesine hizmet uç noktası ilkesi girin, Hizmet uç noktası ilkesi'ni ve ardından Oluştur'u seçin.
Temel Bilgiler sayfasında aşağıdaki değerleri doldurun:
- Abonelik: Açılan listeden ilkenizin aboneliğini seçin.
- Kaynak grubu: Yönetilen örneğinizin bulunduğu kaynak grubunu seçin veya Yeni oluştur'u seçin ve yeni bir kaynak grubunun adını doldurun.
- Ad: İlkeniz için mySEP gibi bir ad belirtin.
- Konum: Yönetilen örneği barındıran sanal ağın bölgesini seçin.
İlke tanımları bölümünde Diğer ad ekle'yi seçin ve Diğer ad ekle bölmesine aşağıdaki bilgileri girin:
- Hizmet Diğer Adı: /Services/Azure/ManagedInstance öğesini seçin.
- Hizmet diğer adını eklemeyi tamamlamak için Ekle'yi seçin.
İlke tanımları'nda Kaynaklar'ın altında + Ekle'yi seçin ve Kaynak ekle bölmesine aşağıdaki bilgileri girin veya seçin:
- Hizmet: Microsoft.Storage'ı seçin.
- Kapsam: Abonelikteki tüm hesaplar'ı seçin.
- Abonelik: İzin vermek için depolama hesaplarını içeren bir abonelik seçin. Daha önce oluşturulan Azure depolama hesapları envanterinize bakın.
- Kaynağı eklemeyi tamamlamak için Ekle'yi seçin.
- Ek abonelik eklemek için bu adımı yineleyin.
İsteğe bağlı: Etiketler altında hizmet uç noktası ilkesinde etiketleri yapılandırabilirsiniz.
Gözden geçir + Oluştur’u seçin. Bilgileri doğrulayın ve Oluştur'u seçin. Daha fazla düzenleme yapmak için Önceki'yi seçin.

Bahşiş

İlk olarak, tüm aboneliklere erişime izin vermek için ilkeleri yapılandırın. Tüm iş akışlarının normal çalıştığından emin olarak yapılandırmayı doğrulayın. Ardından, isteğe bağlı olarak, tek tek depolama hesaplarına veya bir kaynak grubundaki hesaplara izin vermek için ilkeleri yeniden yapılandırın. Bunu yapmak için Kapsam: alanında Tek hesap veya Kaynak grubundaki tüm hesaplar'ı seçin ve diğer alanları buna göre doldurun.

İlkeyi alt ağ ile ilişkilendirme

Hizmet uç noktası ilkeniz oluşturulduktan sonra ilkeyi SQL Yönetilen Örneği alt ağınızla ilişkilendirin.

İlkenizi ilişkilendirmek için şu adımları izleyin:

Azure portalındaki Tüm hizmetler kutusunda sanal ağları arayın. Sanal ağlar'ı seçin.
Yönetilen örneğinizi barındıran sanal ağı bulun ve seçin.
Alt ağlar'ı seçin ve yönetilen örneğiniz için ayrılmış alt ağı seçin. Alt ağ bölmesine aşağıdaki bilgileri girin:
- Hizmetler: Microsoft.Storage'ı seçin. Bu alan boşsa, bu alt ağda Azure Depolama için hizmet uç noktasını yapılandırmanız gerekir.
- Hizmet uç noktası ilkeleri: SQL Yönetilen Örneği alt asına uygulamak istediğiniz hizmet uç noktası ilkelerini seçin.
Sanal ağı yapılandırmayı tamamlamak için Kaydet'i seçin.

Uyarı

Bu alt ağ /Services/Azure/ManagedInstance üzerindeki ilkelerde diğer ad yoksa aşağıdaki hatayı görebilirsiniz: Failed to save subnet 'subnet'. Error: 'Found conflicts with NetworkIntentPolicy.Details: Service endpoint policies on subnet are missing definitions Bu sorunu çözmek için alt ağ üzerindeki tüm ilkeleri diğer adı içerecek şekilde güncelleştirin /Services/Azure/ManagedInstance .

Sonraki adımlar

Azure Depolama hesaplarınızın güvenliğini sağlama hakkında daha fazla bilgi edinin.
SQL Yönetilen Örneği'nin güvenlik özellikleri hakkında bilgi edinin.
SQL Yönetilen Örneği'nin bağlantı mimarisini keşfedin.