你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

为链接准备环境 - Azure SQL 托管实例

适用于：Azure SQL 托管实例

本文介绍如何为托管实例链接准备环境，以便在安装到 Windows 或 Linux 的 SQL Server和 Azure SQL 托管实例之间执行复制操作。

注意

可以使用可下载的脚本自动为托管实例链接准备环境。 有关详细信息，请参阅自动执行链接设置博客。

先决条件

若要创建 SQL Server 和 Azure SQL 托管实例之间的链接，需要满足以下先决条件：

• 一个有效的 Azure 订阅。 如果没有帐户，请创建一个免费帐户。
• 支持的 SQL Server 版本，安装了所需的服务更新。
• Azure SQL 托管实例。 开始创建（如果没有）。
• 确定要用作初始主数据库的服务器，以确定应从何处创建链接。
  • 仅从 SQL Server 2022 CU10 开始，且配置了 SQL Server 2022更新策略的实例，支持配置从 SQL 托管实例主数据库到 SQL Server 辅助数据库的链接。

注意

创建要与链接功能一起使用的 SQL 托管实例时，请考虑到 SQL Server 使用的任何内存中 OLTP 功能的内存要求。 有关详细信息，请参阅 Azure SQL 托管实例资源限制概述。

权限

对于SQL Server，应具有 sysadmin 权限。

对于 Azure SQL 托管实例，你应是 SQL 托管实例参与者的一位成员，或具有自定义角色的以下权限：

Microsoft.Sql/ 资源	必要的权限
Microsoft.Sql/managedInstances	/read、/write
Microsoft.Sql/managedInstances/hybridCertificate	/action
Microsoft.Sql/managedInstances/databases	/read、/delete、/write、/completeRestore/action、/readBackups/action、/restoreDetails/read
Microsoft.Sql/managedInstances/distributedAvailabilityGroups	/read、/write、/delete、/setRole/action
Microsoft.Sql/managedInstances/endpointCertificates	/read
Microsoft.Sql/managedInstances/hybridLink	/read、/write、/delete
Microsoft.Sql/managedInstances/serverTrustCertificates	/write、/delete、/read

准备 SQL Server 实例

若要准备 SQL Server 实例，需要验证：

• 是否至少使用了支持的最低版本。
• 是否已启用可用性组功能。
• 是否添加了在启动时应用的正确跟踪标志。
• 数据库处于完整恢复模式并已备份。

要使这些更改生效，需要重启 SQL Server。

安装服务更新

确保 SQL Server 版本已安装相应的服务更新，如版本可支持性表中所列。 如果需要安装任何更新，则必须在更新期间重启 SQL Server 实例。

若要检查 SQL Server 版本，请在 SQL Server 上运行以下 Transact-SQL (T-SQL) 脚本：

-- Run on SQL Server
-- Shows the version and CU of the SQL Server
USE master;
GO
SELECT @@VERSION as 'SQL Server version';

在 master 数据库中，创建数据库主密钥

在 master 数据库中创建数据库主密钥（如果尚不存在）。 在下面的脚本中插入密码替代 <strong_password>，并将其保存在机密且安全的地方。 在 SQL Server上运行此 T-SQL 脚本：

-- Run on SQL Server
-- Create a master key
USE master;
GO
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<strong_password>';

为确保你有数据库主密钥，请在 SQL Server 上使用以下 T-SQL 脚本：

-- Run on SQL Server
USE master;
GO
SELECT * FROM sys.symmetric_keys WHERE name LIKE '%DatabaseMasterKey%';

启用可用性组

链接功能依赖于默认情况下禁用的 Always On 可用性组功能。 有关详细信息，请参阅启用 Always On 可用性组。

注意

对于 Linux 上的 SQL Server，请参阅启用 Always On 可用性组。

若要确认是否启用了可用性组功能，请在 SQL Server 上运行以下 T-SQL 脚本：

-- Run on SQL Server
-- Is the availability groups feature enabled on this SQL Server
DECLARE @IsHadrEnabled sql_variant = (select SERVERPROPERTY('IsHadrEnabled'))
SELECT
    @IsHadrEnabled as 'Is HADR enabled',
    CASE @IsHadrEnabled
        WHEN 0 THEN 'Availability groups DISABLED.'
        WHEN 1 THEN 'Availability groups ENABLED.'
        ELSE 'Unknown status.'
    END
    as 'HADR status'

重要

对于 SQL Server 2016 (13.x)，如果需要启用可用性组功能，则需要完成准备 SQL Server 2016 先决条件 - Azure SQL 托管实例链接中记录的额外步骤。 对于链接支持的 SQL Server 2019 (15.x) 及更高版本，不需要执行这些额外步骤。

如果未启用可用性组功能，请按照以下步骤启用它：

1. 打开“SQL Server 配置管理器”。

2. 在左侧窗格中，选择“SQL Server 服务”。

3. 右键单击 SQL Server 服务，然后选择“属性”。

   

4. 转到“AlwaysOn 可用性组”选项卡。

5. 选中“启用 AlwaysOn 可用性组”复选框，然后选择“确定”。

   

   • 如果使用 SQL Server 2016 (13.x)，且禁用“启用 Always On 可用性组”选项并显示消息 This computer is not a node in a failover cluster.，请按照准备 SQL Server 2016 先决条件 - Azure SQL 托管实例链接中所述的额外步骤进行操作。 完成这些其他步骤后，请再次返回并重试此步骤。

6. 在对话框中选择“确定”。

7. 重启 SQL Server 服务。

启用启动跟踪标志

为了优化链接的性能，建议在启动时启用以下跟踪标志：

• -T1800：当可用性组中主要副本和次要副本的日志文件托管在具有不同扇区大小（如 512 字节和 4 KB）的磁盘上时，此跟踪标志可以优化性能。 如果主要副本和次要副本的磁盘扇区大小均为 4 KB，则不需要此跟踪标志。 有关详细信息，请参阅 KB3009974。
• -T9567：在自动种子设定期间，此跟踪标志可对可用性组的数据流启用压缩。 压缩会增大处理器的负载，但可以显著减少种子设定期间的传输时间。

注意

对于 Linux 上的 SQL Server，请参阅启用跟踪标志。

若要在启动时启用这些跟踪标志，请执行以下步骤：

1. 打开“SQL Server 配置管理器”。

2. 在左侧窗格中，选择“SQL Server 服务”。

3. 右键单击 SQL Server 服务，然后选择“属性”。

   

4. 转到“启动参数”选项卡。在“指定启动参数”中，输入 -T1800，然后选择“添加”以添加启动参数。 然后输入 -T9567 并选择“添加”以添加其他跟踪标志。 选择“应用”以保存所做的更改。

   

5. 选择“确定”以关闭“属性”窗口。

有关详细信息，请参阅启用跟踪标志的语法。

重启 SQL Server 并验证配置

在确保你使用的 SQL Server 版本是受支持的版本，启用了 Always On 可用性组功能并添加了启动跟踪标志后，请重启 SQL Server 实例以应用所有这些更改：

1. 打开“SQL Server 配置管理器”。

2. 在左侧窗格中，选择“SQL Server 服务”。

3. 右键单击“SQL Server 服务”，然后选择“重启”。

   

重启后，在 SQL Server 上运行以下 T-SQL 脚本以验证 SQL Server 实例的配置：

-- Run on SQL Server
-- Shows the version and CU of SQL Server
USE master;
GO
SELECT @@VERSION as 'SQL Server version';
GO
-- Shows if the Always On availability groups feature is enabled
SELECT SERVERPROPERTY ('IsHadrEnabled') as 'Is Always On enabled? (1 true, 0 false)';
GO
-- Lists all trace flags enabled on SQL Server
DBCC TRACESTATUS;

SQL Server 版本应属于已应用相应服务更新的受支持版本，应启用 Always On 可用性组功能，并且应启用跟踪标志 -T1800 和 -T9567。 以下屏幕截图是已正确配置的 SQL Server 实例的预期结果示例：

配置网络连接

要使链接正常工作，SQL Server 与 SQL 托管实例之间必须建立了网络连接。 所选的网络选项取决于 SQL Server 实例是否位于 Azure 网络上。

Azure 虚拟机上的 SQL Server

将 SQL Server 部署到托管 SQL 托管实例的同一 Azure 虚拟网络中的 Azure 虚拟机是最简单的方法，因为这两个实例之间会自动建立网络连接。 有关详细信息，请参阅快速入门：配置 Azure VM 以连接到 Azure SQL 托管实例。

如果 Azure 虚拟机实例上的 SQL Server 与托管实例位于不同的虚拟网络中，则需要在这两个虚拟网络之间建立连接。 要使该方案可行，不一定要将虚拟网络置于同一订阅中。

可通过两个选项连接虚拟网络：

• Azure 虚拟网络对等互连
• VNet 到 VNet VPN 网关（Azure 门户、PowerShell、Azure CLI）

对等互连使用 Microsoft 主干网络，因此是首选；这样的话，从连接角度来看，对等互连虚拟网络中的虚拟机与同一虚拟网络中虚拟机之间的延迟没有明显差别。 支持同一区域中网络之间的虚拟网络对等互连。 2020 年 9 月 22 日之后创建的子网中托管的实例支持全局虚拟网络对等互连。 有关详细信息，请参阅常见问题 (FAQ)。

Azure 之外的 SQL Server

如果 SQL Server 实例是在 Azure 外部托管的，请使用以下任一选项在 SQL Server 与 SQL 托管实例之间建立 VPN 连接：

• 站点到站点 VPN 连接
• Azure ExpressRoute 连接

提示

建议在复制数据时使用 ExpressRoute 以获得最佳网络性能。 为用例预配具有足够带宽的网关。

环境之间的网络端口

无论连接机制如何，都必须满足网络流量在环境之间流动的要求：

承载托管实例的子网上的网络安全组 (NSG) 规则需要允许：

• 入站端口 5022 和端口范围 11000-11999，用于接收来自源 SQL Server IP 的流量
• 出站端口 5022，用于将流量发送到目标 SQL Server IP

托管 SQL Server 的网络上的所有防火墙，主机 OS 需要允许：

• 入站端口 5022 已打开，以接收来自 MI 子网 /24（例如 10.0.0.0/24）的源 IP 范围的流量
• 出站端口 5022 和端口范围 11000-11999 已打开，以将流量发送到 MI 子网（例如 10.0.0.0/24）的目标 IP 范围

下表描述了每个环境的端口操作：

环境	要执行的操作
SQL Server（在 Azure 之中）	在网络防火墙端口 5022 上允许流入和流出 SQL 托管实例的整个子网 IP 范围的流量。 如有必要，请在 SQL Server 主机操作系统 (Windows/Linux) 防火墙上执行相同操作。 若要允许在端口 5022 上进行通信，请在托管 VM 的虚拟网络中创建网络安全组 (NSG) 规则。
SQL Server（在 Azure 之外）	在网络防火墙端口 5022 上允许流入和流出 SQL 托管实例的整个子网 IP 范围的流量。 如有必要，请在 SQL Server 主机操作系统 (Windows/Linux) 防火墙上执行相同操作。
SQL 托管实例	在 Azure 门户中创建 NSG 规则以在端口 5022 和 端口范围 11000-11999 上允许来自托管 SQL Server 的 IP 地址和网络的入站和出站流量。

在 SQL Server 实例的 Windows 主机操作系统上使用以下 PowerShell 脚本在 Windows 防火墙中打开端口：

New-NetFirewallRule -DisplayName "Allow TCP port 5022 inbound" -Direction inbound -Profile Any -Action Allow -LocalPort 5022 -Protocol TCP
New-NetFirewallRule -DisplayName "Allow TCP port 5022 outbound" -Direction outbound -Profile Any -Action Allow -LocalPort 5022 -Protocol TCP

下图显示了本地网络环境的示例，指示环境中的所有防火墙都需要具有开放端口，包括托管 SQL Server 的操作系统防火墙，以及任何企业防火墙和/或网关：

重要

• 需要在网络环境（包括主机服务器）的每个防火墙以及网络上的任何企业防火墙或网关中打开端口。 在企业环境中，可能需要向网络管理员显示本部分中的信息，以帮助在企业网络层中打开其他端口。
• 虽然可以选择在 SQL Server 端自定义终结点，但无法更改或自定义 SQL 托管实例的端口号。
• 承载托管实例的子网和 SQL Server 的 IP 地址范围不得重叠。

将 URL 添加到允许列表

根据网络安全设置，可能需要将 SQL 托管实例 FQDN 的 URL 以及 Azure 使用的一些资源管理终结点添加到允许列表中。

下表列出了应添加到允许列表的资源：

• SQL 托管实例的完全限定域名 (FQDN)。 例如：“managedinstance1.6d710bcf372b.database.windows.net”。
• Microsoft Entra 颁发机构
• Microsoft Entra 终结点资源 ID
• 资源管理器终结点
• 服务终结点

按照为政府云配置 SSMS 部分中的步骤访问 SQL Server Management Studio (SSMS) 中的 Tools 接口，并标识需要添加到允许列表的云中的资源的特定 URL。

测试网络连接

SQL Server 和 SQL 托管实例之间必须有双向网络连接，链接才能正常工作。 在 SQL Server 端打开端口并在 SQL 托管实例端配置 NSG 规则后，使用 SQL Server Management Studio (SSMS) 或 Transact-SQL 测试连接。

通过在 SQL Server 和 SQL 托管实例上创建临时 SQL 代理作业来测试网络，以检查两个实例之间的连接。 在 SSMS 中使用网络检查器时，系统会自动为你创建作业，并在测试完成后将其删除。 如果使用 T-SQL 测试网络，则需要手动删除 SQL 代理作业。

注意

目前不支持通过 Linux 上 SQL Server 上的 SQL Server 代理执行 PowerShell 脚本，因此目前无法从 Linux 上 SQL Server 上的 SQL Server 代理作业执行 Test-NetConnection。

若要使用 SQL 代理测试网络连接，需要满足下面的要求：

• 执行测试的用户必须具有为 SQL Server 和 SQL 托管实例创建作业的权限（作为 sysadmin 或属于 msdb 的 SQLAgentOperatorrole）。
• SQL Server 代理服务必须在 SQL Server 上运行。 由于代理在 SQL 托管实例上默认处于启用状态，因此无需采取其他操作。

SSMS

若要在 SSMS 中测试 SQL Server 与 SQL 托管实例之间的网络连接，请执行以下步骤：

1. 连接到 SSMS 中将用作主要副本的实例。

2. 在“对象资源管理器”中，展开数据库，然后右键单击要链接到次要副本的数据库。 选择“任务”>“Azure SQL 托管实例链接”>“测试连接”，以打开“网络检查器”向导：

   

3. 在“网络检查器”向导的“简介”页上，选择“下一步”。

4. 如果满足“先决条件”页上的所有要求，请选择“下一步”。 否则，请解决任何未满足的先决条件，然后选择“重新运行验证”。

5. 在“登录”页上，选择“登录”以连接到将作为次要副本的其他实例。 选择下一步。

6. 检查“指定网络选项”页上的详细信息，并在必要时提供 IP 地址。 选择下一步。

7. 在“摘要”页上，查看向导执行的操作，然后选择“完成”以测试两个副本之间的连接。

8. 查看“结果”页，验证两个副本之间是否存在连接，然后选择“关闭”以完成。

T-SQL

若要使用 T-SQL 测试连接，必须沿两个方向检查连接。 首先，测试从 SQL Server 到SQL 托管实例的连接，然后测试从 SQL 托管实例到 SQL Server 的连接。

测试从 SQL Server 到 SQL 托管实例的连接

使用 SQL Server 上的 SQL Server 代理运行从 SQL Server 到 SQL 托管实例的连接测试。

1. 连接到 SQL 托管实例并运行以下脚本以生成稍后需要用到的参数：

   SELECT 'DECLARE @serverName NVARCHAR(512) = N''' + value + ''''
   FROM sys.dm_hadr_fabric_config_parameters
   WHERE parameter_name = 'DnsRecordName'
   
   UNION
   
   SELECT 'DECLARE @node NVARCHAR(512) = N''' + NodeName + '.' + Cluster + ''''
   FROM (
       SELECT SUBSTRING(replica_address, 0, CHARINDEX('\', replica_address)) AS NodeName,
           RIGHT(service_name, CHARINDEX('/', REVERSE(service_name)) - 1) AppName,
           JoinCol = 1
       FROM sys.dm_hadr_fabric_partitions fp
       INNER JOIN sys.dm_hadr_fabric_replicas fr
           ON fp.partition_id = fr.partition_id
       INNER JOIN sys.dm_hadr_fabric_nodes fn
           ON fr.node_name = fn.node_name
       WHERE service_name LIKE '%ManagedServer%'
           AND replica_role = 2
   ) t1
   LEFT JOIN (
       SELECT value AS Cluster,
           JoinCol = 1
       FROM sys.dm_hadr_fabric_config_parameters
       WHERE parameter_name = 'ClusterName'
       ) t2
       ON (t1.JoinCol = t2.JoinCol)
   INNER JOIN (
       SELECT [value] AS AppName
       FROM sys.dm_hadr_fabric_config_parameters
       WHERE section_name = 'SQL'
           AND parameter_name = 'InstanceName'
       ) t3
       ON (t1.AppName = t3.AppName)
   
   UNION
   
   SELECT 'DECLARE @port NVARCHAR(512) = N''' + value + ''''
   FROM sys.dm_hadr_fabric_config_parameters
   WHERE parameter_name = 'HadrPort';
   

   结果应如以下示例所示：

   

   保存要在后续步骤中使用的结果。 由于这些参数可以在任何故障转移后更改，因此如有必要，请务必再次生成这些参数。

2. 连接到 SQL Server。

3. 打开新的查询窗口并粘贴以下脚本：

   --START
   -- Parameters section
   DECLARE @node NVARCHAR(512) = N''
   DECLARE @port NVARCHAR(512) = N''
   DECLARE @serverName NVARCHAR(512) = N''
   
   --Script section
   IF EXISTS (
           SELECT job_id
           FROM msdb.dbo.sysjobs_view
           WHERE name = N'TestMILinkConnection'
           )
       EXEC msdb.dbo.sp_delete_job @job_name = N'TestMILinkConnection',
           @delete_unused_schedule = 1
   
   DECLARE @jobId BINARY (16),
       @cmd NVARCHAR(MAX)
   
   EXEC msdb.dbo.sp_add_job @job_name = N'TestMILinkConnection',
       @enabled = 1,
       @job_id = @jobId OUTPUT
   
   SET @cmd = (N'tnc ' + @serverName + N' -port 5022 | select ComputerName, RemoteAddress, TcpTestSucceeded | Format-List')
   
   EXEC msdb.dbo.sp_add_jobstep @job_id = @jobId,
       @step_name = N'Test Port 5022',
       @step_id = 1,
       @cmdexec_success_code = 0,
       @on_success_action = 3,
       @on_fail_action = 3,
       @subsystem = N'PowerShell',
       @command = @cmd,
       @database_name = N'master'
   
   SET @cmd = (N'tnc ' + @node + N' -port ' + @port + ' | select ComputerName, RemoteAddress, TcpTestSucceeded | Format-List')
   
   EXEC msdb.dbo.sp_add_jobstep @job_id = @jobId,
       @step_name = N'Test HADR Port',
       @step_id = 2,
       @cmdexec_success_code = 0,
       @subsystem = N'PowerShell',
       @command = @cmd,
       @database_name = N'master'
   
   EXEC msdb.dbo.sp_add_jobserver @job_id = @jobId,
       @server_name = N'(local)'
   GO
   
   EXEC msdb.dbo.sp_start_job @job_name = N'TestMILinkConnection'
   GO
   
   --Check status every 5 seconds
   DECLARE @RunStatus INT
   
   SET @RunStatus = 10
   
   WHILE (@RunStatus >= 4)
   BEGIN
       SELECT DISTINCT @RunStatus = run_status
       FROM [msdb].[dbo].[sysjobhistory] JH
       INNER JOIN [msdb].[dbo].[sysjobs] J
           ON JH.job_id = J.job_id
       WHERE J.name = N'TestMILinkConnection'
           AND step_id = 0
   
       WAITFOR DELAY '00:00:05';
   END
   
   --Get logs once job completes
   SELECT [step_name],
       SUBSTRING([message], CHARINDEX('TcpTestSucceeded', [message]), CHARINDEX('Process Exit', [message]) - CHARINDEX('TcpTestSucceeded', [message])) AS    TcpTestResult,
       SUBSTRING([message], CHARINDEX('RemoteAddress', [message]), CHARINDEX('TcpTestSucceeded', [message]) - CHARINDEX('RemoteAddress', [message])) AS    RemoteAddressResult,
       [run_status],
       [run_duration],
       [message]
   FROM [msdb].[dbo].[sysjobhistory] JH
   INNER JOIN [msdb].[dbo].[sysjobs] J
       ON JH.job_id = J.job_id
   WHERE J.name = N'TestMILinkConnection'
       AND step_id <> 0
       --END
   

4. 将 @node、@port 和 @serverName 参数替换为从第一步中获取的值。

5. 运行脚本并检查结果。 应显示如以下示例所示的结果：

   

6. 验证结果：

   • TcpTestSucceeded 的每个测试的结果应为 TcpTestSucceeded : True。
   • RemoteAddresses 应属于 SQL 托管实例子网的 IP 范围。

   如果响应为不成功，请验证以下网络设置：

   • 网络防火墙和 SQL Server 主机操作系统 (Windows/Linux) 防火墙中是否都有允许流量发往 SQL 托管实例的整个子网 IP 范围的规则。
   • 托管 SQL 托管实例的虚拟网络是否有一个允许在端口 5022 上进行通信的 NSG 规则。

测试从 SQL 托管实例到 SQL Server 的连接

若要检查 SQL 托管实例是否可以访问 SQL Server，请首先创建一个测试终结点。 然后使用 SQL Server 代理运行 PowerShell 脚本，并通过 tnc 命令从 SQL 托管实例对端口 5022 上的 SQL Server 执行 ping。

若要创建测试终结点，请连接到 SQL Server 并运行以下 T-SQL 脚本：

-- Run on SQL Server
-- Create the certificate needed for the test endpoint
USE MASTER
CREATE CERTIFICATE TEST_CERT
WITH SUBJECT = N'Certificate for SQL Server',
EXPIRY_DATE = N'3/30/2051'
GO

-- Create the test endpoint on SQL Server
USE MASTER
CREATE ENDPOINT TEST_ENDPOINT
    STATE=STARTED
    AS TCP (LISTENER_PORT=5022, LISTENER_IP = ALL)
    FOR DATABASE_MIRRORING (
        ROLE=ALL,
        AUTHENTICATION = CERTIFICATE TEST_CERT,
        ENCRYPTION = REQUIRED ALGORITHM AES
    )

若要验证 SQL Server 终结点是否在端口 5022 上接收连接，请在 SQL Server 实例的主机操作系统上运行以下 PowerShell 命令：

tnc localhost -port 5022

如果测试成功，则会显示 TcpTestSucceeded : True。 然后可以继续在托管实例上创建 SQL Server 代理作业，以尝试从 SQL 托管实例测试端口 5022 上的 SQL Server 测试终结点。

接下来，通过在 SQL 托管实例上运行以下 T-SQL 脚本，在 SQL 托管实例上创建名为 NetHelper 的 SQL Server 代理作业。 替换：

• <SQL_SERVER_IP_ADDRESS> 替换为可从 SQL 托管实例访问的 SQL Server 的 IP 地址。

-- Run on SQL managed instance
-- SQL_SERVER_IP_ADDRESS should be an IP address that could be accessed from the SQL Managed Instance host machine.
DECLARE @SQLServerIpAddress NVARCHAR(MAX) = '<SQL_SERVER_IP_ADDRESS>'; -- insert your SQL Server IP address in here
DECLARE @tncCommand NVARCHAR(MAX) = 'tnc ' + @SQLServerIpAddress + ' -port 5022 -InformationLevel Quiet';
DECLARE @jobId BINARY(16);

IF EXISTS (
        SELECT *
        FROM msdb.dbo.sysjobs
        WHERE name = 'NetHelper'
        ) THROW 70000,
    'Agent job NetHelper already exists. Please rename the job, or drop the existing job before creating it again.',
    1
    -- To delete NetHelper job run: EXEC msdb.dbo.sp_delete_job @job_name=N'NetHelper'
    EXEC msdb.dbo.sp_add_job @job_name = N'NetHelper',
        @enabled = 1,
        @description = N'Test SQL Managed Instance to SQL Server network connectivity on port 5022.',
        @category_name = N'[Uncategorized (Local)]',
        @owner_login_name = N'sa',
        @job_id = @jobId OUTPUT;

EXEC msdb.dbo.sp_add_jobstep @job_id = @jobId,
    @step_name = N'TNC network probe from SQL MI to SQL Server',
    @step_id = 1,
    @os_run_priority = 0,
    @subsystem = N'PowerShell',
    @command = @tncCommand,
    @database_name = N'master',
    @flags = 40;

EXEC msdb.dbo.sp_update_job @job_id = @jobId,
    @start_step_id = 1;

EXEC msdb.dbo.sp_add_jobserver @job_id = @jobId,
    @server_name = N'(local)';

提示

若要修改用于从 SQL 托管实例进行连接探测的 SQL Server IP 地址，请通过运行 EXEC msdb.dbo.sp_delete_job @job_name=N'NetHelper' 删除 NetHelper 作业，并使用上一个脚本重新创建 NetHelper 作业。

然后，创建一个存储过程 ExecuteNetHelper，以帮助运行作业，并从网络探测中获取结果。 在 SQL 托管实例上运行以下 T-SQL 脚本：

-- Run on managed instance
IF EXISTS(SELECT * FROM sys.objects WHERE name = 'ExecuteNetHelper')
    THROW 70001, 'Stored procedure ExecuteNetHelper already exists. Rename or drop the existing procedure before creating it again.', 1
GO
CREATE PROCEDURE ExecuteNetHelper AS
-- To delete the procedure run: DROP PROCEDURE ExecuteNetHelper
BEGIN
    -- Start the job.
    DECLARE @NetHelperstartTimeUtc DATETIME = GETUTCDATE();
    DECLARE @stop_exec_date DATETIME = NULL;

    EXEC msdb.dbo.sp_start_job @job_name = N'NetHelper';

    -- Wait for job to complete and then see the outcome.
    WHILE (@stop_exec_date IS NULL)
    BEGIN
        -- Wait and see if the job has completed.
        WAITFOR DELAY '00:00:01'

        SELECT @stop_exec_date = sja.stop_execution_date
        FROM msdb.dbo.sysjobs sj
        INNER JOIN msdb.dbo.sysjobactivity sja
            ON sj.job_id = sja.job_id
        WHERE sj.name = 'NetHelper'

        -- If job has completed, get the outcome of the network test.
        IF (@stop_exec_date IS NOT NULL)
        BEGIN
            SELECT sj.name JobName,
                sjsl.date_modified AS 'Date executed',
                sjs.step_name AS 'Step executed',
                sjsl.log AS 'Connectivity status'
            FROM msdb.dbo.sysjobs sj
            LEFT JOIN msdb.dbo.sysjobsteps sjs
                ON sj.job_id = sjs.job_id
            LEFT JOIN msdb.dbo.sysjobstepslogs sjsl
                ON sjs.step_uid = sjsl.step_uid
            WHERE sj.name = 'NetHelper'
        END

        -- In case of operation timeout (90 seconds), print timeout message.
        IF (datediff(second, @NetHelperstartTimeUtc, getutcdate()) > 90)
        BEGIN
            SELECT 'NetHelper timed out during the network check. Please investigate SQL Agent logs for more information.'

            BREAK;
        END
    END
END;

对 SQL 托管实例运行以下查询以执行将执行 NetHelper 代理作业的存储过程，并显示生成的日志：

-- Run on managed instance
EXEC ExecuteNetHelper;

如果连接成功，日志将显示 True。 如果连接失败，日志将显示 False。

如果连接不成功，请验证以下各项：

• 主机 SQL Server 实例上的防火墙是否允许端口 5022 上的入站和出站通信。
• 托管 SQL 托管实例的虚拟网络是否有一个允许在端口 5022 上进行通信的 NSG 规则。
• 如果 SQL Server 实例位于 Azure VM 上，那么托管该 VM 的虚拟网络是否有一个允许在端口 5022 上进行通信的 NSG 规则。
• SQL Server 是否正在运行。
• SQL Server 上是否存在测试终结点。

解决问题后，通过在托管实例上运行 EXEC ExecuteNetHelper 来重新运行 NetHelper 网络探测。

最后，在网络测试成功完成后，请在 SQL Server 上使用以下 T-SQL 命令删除测试终结点和证书：

-- Run on SQL Server
DROP ENDPOINT TEST_ENDPOINT;
GO
DROP CERTIFICATE TEST_CERT;
GO

注意

仅当源环境和目标环境之间有已经过验证的网络连接时，才继续执行后续步骤。 否则，请先排查网络连接问题，然后再继续。

迁移受 TDE 保护的数据库的证书（可选）

如果要将受透明数据加密 (TDE) 保护的 SQL Server 数据库迁移到托管实例，则在使用此链接之前，必须将本地或 Azure VM SQL Server 实例中的相应加密证书链接到托管实例。 有关详细步骤，请参阅将受 TDE 保护的数据库的证书迁移到 Azure SQL 托管实例。

使用服务托管的 TDE 密钥加密的 SQL 托管实例数据库无法链接到 SQL Server。 只有在数据库是使用客户管理的密钥加密的，并且目标服务器可以访问用于加密该数据库的相同密钥时，才能将加密的数据库链接到 SQL Server。 有关详细信息，请参阅使用 Azure Key Vault 设置 SQL Server TDE。

注意

从 SQL Server 2022 CU 14 开始，Linux 上的 SQL Server 支持 Azure Key Vault。

安装 SSMS

SQL Server Management Studio (SSMS) 是使用托管实例链接的最简单方法。 下载 SSMS 19.0 更高版本，并将其安装到客户端计算机。

安装完成后，打开 SSMS 并连接到受支持的 SQL Server 实例。 右键单击用户数据库，并验证菜单中是否显示“Azure SQL 托管实例链接”选项。

为政府云配置 SSMS

如果要将 SQL 托管实例部署到政府云，则需要修改 SQL Server Management Studio (SSMS) 设置以使用正确的云。 如果不将 SQL 托管实例部署到政府云，请跳过此步骤。

若要更新 SSMS 设置，请执行以下步骤：

1. 打开 SSMS。
2. 从菜单中选择“工具”，然后选择“选项”。
3. 展开“Azure 服务”并选择“Azure 云”。
4. 在“选择 Azure 云”下，使用下拉列表选择“AzureUSGovernment”或其他政府云，如 AzureChinaCloud：

如果要返回到公有云，请从下拉菜单中选择“AzureCloud”。

相关内容

要使用链接，请：

• 使用 SSMS 配置 SQL Server 与 SQL 托管实例之间的链接
• 使用脚本配置 SQL Server 与 SQL 托管实例之间的链接
• 故障转移链接
• 使用链接进行迁移
• 有关维护链接的最佳做法

要了解有关链接的详细信息，请：

• 托管实例链接概述
• 使用托管实例链接进行灾难恢复

对于其他复制和迁移方案，请考虑：

• 使用 SQL 托管实例进行事务复制
• 日志重播服务 (LRS)