你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

在 Azure SQL 托管实例中配置公共终结点

适用于：Azure SQL 托管实例

使用 Azure SQL 托管实例的公共终结点可以从虚拟网络外部对托管实例进行数据访问。 可以从多组织 Azure 服务（例如 Power BI、Azure 应用服务）或本地网络访问托管实例。 如果使用托管实例上的公共终结点，则无需使用 VPN，这有助于避免 VPN 吞吐量问题。

在本文中，学习如何：

• 为托管实例启用或禁用公共终结点
• 配置托管实例网络安全组 (NSG)，以允许将流量传送到托管实例公共终结点
• 获取托管实例公共终结点的连接字符串

权限

由于托管实例中数据的敏感性，需要执行两个步骤才能完成启用托管实例公共终结点的配置。 这种安全措施遵守职责分离 (SoD) 的原则：

• 托管实例管理员需要在托管实例上启用公共终结点。 可以在托管实例资源的“概述”页上找到托管实例管理员。
• 网络管理员需要使用网络安全组 (NSG) 允许流向托管实例的流量。 有关详细信息，请参阅网络安全组权限。

启用公共终结点

可以使用 Azure 门户、Azure PowerShell 或 Azure CLI 为 SQL 托管实例启用公共终结点。

Azure 门户

要在 Azure 门户中为 SQL 托管实例启用公共终结点，请执行下列步骤：

1. 转到 Azure 门户。
2. 打开包含托管实例的资源组，然后选择要在其上配置公共终结点的 SQL 托管实例。
3. 在“安全”设置中，选择“网络”选项卡。
4. 在虚拟网络配置页中选择“启用”，然后选择“保存”图标以更新配置。

Azure PowerShell

若要使用 PowerShell 启用公共终结点，请在使用 Set-AzSqlInstance 更新实例属性时将 -PublicDataEndpointEnabled 设置为 true。

使用 PowerShell 示例脚本为 SQL 托管实例启用公共终结点。 请替换以下值：

• 将 subscription_id 替换为你的订阅 ID
• 将 rg-name 替换为托管实例的资源组
• 将 mi-name 替换为托管实例的名称

若要使用 PowerShell 启用公共终结点，请运行以下脚本：

Install-Module -Name Az

Import-Module Az.Accounts
Import-Module Az.Sql

Connect-AzAccount

# Use your subscription ID in place of subscription-id below

Select-AzSubscription -SubscriptionId {subscription-id}

# Replace rg-name with the resource group for your managed instance, and replace mi-name with the name of your managed instance

$mi = Get-AzSqlInstance -ResourceGroupName {rg-name} -Name {mi-name}

$mi = $mi | Set-AzSqlInstance -PublicDataEndpointEnabled $true -force

Azure CLI

若要使用 Azure CLI 启用公共终结点，请在使用 az sql mi update 更新实例属性时将 --public-data-endpoint-enabled 设置为 true。

使用 Azure CLI 示例命令为 SQL 托管实例启用公共终结点。 请替换以下值：

• 将 subscription 替换为你的订阅 ID
• 将 rg-name 替换为托管实例的资源组
• 将 mi-name 替换为托管实例的名称

若要使用 Azure CLI 启用公共终结点，请运行以下命令：

az sql mi update --subscription {subscription-id} --resource-group {rg-name} --name {mi-name} --public-data-endpoint-enabled true

禁用公共终结点

可以使用 Azure 门户、Azure PowerShell 和 Azure CLI 为 SQL 托管实例禁用公共终结点。

Azure 门户

若要使用 Azure 门户禁用公共终结点，请执行以下步骤：

1. 转到 Azure 门户。
2. 打开包含托管实例的资源组，然后选择要在其上配置公共终结点的 SQL 托管实例。
3. 在“安全”设置中，选择“网络”选项卡。
4. 在虚拟网络配置页中选择“禁用”，然后选择“保存”图标以更新配置。

Azure PowerShell

若要使用 PowerShell 禁用公共终结点，请在使用 Set-AzSqlInstance 更新实例属性时将 -PublicDataEndpointEnabled 设置为 false。

使用 Azure PowerShell 禁用 SQL 托管实例的公共终结点。 如果配置了网络安全组 (NSG) 中端口 3342 的入站安全规则，请记得将其关闭。

若要禁用公共终结点，请使用以下命令：

Set-AzSqlInstance -PublicDataEndpointEnabled $false -force

Azure CLI

若要使用 Azure CLI 禁用公共终结点，请在使用 az sql mi update 更新实例属性时将 --public-data-endpoint-enabled 设置为 false。

使用 Azure CLI 禁用 SQL 托管实例的公共终结点。 请替换以下值：

• 将 subscription 替换为你的订阅 ID
• 将 rg-name 替换为托管实例的资源组
• 将 mi-name 替换为托管实例的名称。

如果配置了网络安全组 (NSG) 中端口 3342 的入站安全规则，请记得将其关闭。

若要禁用公共终结点，请使用以下命令：

az sql mi update --subscription {subscription-id} --resource-group {rg-name} --name {mi-name} --public-data-endpoint-enabled false

在网络安全组上允许公共终结点流量

使用 Azure 门户允许网络安全组中的公共流量。 执行以下步骤:

1. 在 Azure 门户中，转到 SQL 托管实例的“概述”页。

2. 选择“虚拟网络/子网”链接，然后你将转到“虚拟网络配置”页。

   

3. 在虚拟网络的配置窗格中选择“子网”选项卡，并记下托管实例的安全组名称。

   

4. 返回包含托管实例的资源组。 你应该会看到上面记下的网络安全组名称。 选择“网络安全组”名称，打开“网络安全组”配置页。

5. 选择“入站安全规则”选项卡，并添加一个优先级高于 deny_all_inbound 规则且采用以下设置的规则：
   
   

   设置	建议值	说明
   Source	任何 IP 地址或服务标记	对于 Power BI 等 Azure 服务，请选择“Azure 云服务标记” 对于你的计算机或 Azure 虚拟机，请使用 NAT IP 地址
   源端口范围	*	请将此保留为 *（任何），因为源端口通常是动态分配的，因而也是不可预测的
   目标	任意	将目标保留为“任何”，以允许流量进入托管实例子网
   目标端口范围	3342	将目标端口的范围限定为 3342，这是托管实例的公共 TDS 终结点
   协议	TCP	SQL 托管实例对 TDS 使用 TCP 协议
   操作	允许	允许入站流量通过公共终结点传送到托管实例
   Priority	1300	请确保此规则的优先级高于 deny_all_inbound 规则

   

   注意

   端口 3342 用来与托管实例建立公共终结点连接，目前不可更改。

确认路由配置正确

0.0.0.0/0 地址前缀的路由会指示 Azure，当目标 IP 地址不在子网路由表中的任何其他路由器地址前缀中时，该如何路由流量。 创建子网时，Azure 会创建地址前缀为“0.0.0.0/0”且下一跃点类型为“Internet”的默认路由。

重写此默认路由而不添加必要的路由以确保公共终结点流量直接路由到 Internet 可能会导致非对称路由问题，因为传入流量不通过虚拟设备/虚拟网络网关流动。 确保通过公共 Internet 到达托管实例的所有流量也通过公共 Internet 返回，为每个源添加特定路由或者将默认路由设置为 0.0.0.0/0 地址前缀，以作为下一跃点类型返回到 Internet。

如需详细了解更改对此默认路由有何影响，请参阅 0.0.0.0/0 地址前缀。

获取公共终结点连接字符串

1. 导航到为公共终结点启用的托管实例配置页。 选择“设置”配置下的“连接字符串”选项卡。

2. 公共终结点主机名的格式为 <mi_name>.public.<dns_zone>.database.windows.net，用于连接的端口为 3342。 下面的示例表明了连接字符串的服务器值，该连接字符串可在 SQL Server Management Studio 或 Azure Data Studio 连接中使用并且表示公共终结点端口：<mi_name>.public.<dns_zone>.database.windows.net,3342

   

后续步骤

了解如何在公共终结点中安全使用 Azure SQL 托管实例。