適用於 MySQL 的 Azure 資料庫 是一項完全管理的關聯式資料庫服務，提供高可用性、自動化備份及可擴展的 MySQL 相容資料庫主機。 保護您的彈性伺服器部署，有助於保護敏感資料、降低身份與網路風險，並支持合規要求。
本文提供安全建議，幫助保護您的 適用於 MySQL 的 Azure 資料庫 部署。
本文中的安全性建議會實作零信任原則：「明確驗證」、「使用最低許可權存取」和「假設違規」。 如需完整的 零信任 指引，請參閱 零信任 指引中心。
網路安全
網路安全控制有助於限制用戶端存取 適用於 MySQL 的 Azure 資料庫 靈活伺服器實例，並降低對公共網路流量的暴露。
- 關閉生產伺服器的公共網路存取：當用戶端可透過私人端點連線時，關閉公開存取，只有私人連線路徑能抵達彈性伺服器。 如需詳細資訊，請參閱適用於 MySQL 的 Azure 資料庫 - 彈性伺服器的私人連結。
- 使用私人端點作為公共存取伺服器：使用 Private Link 透過虛擬網路中的私有 IP 位址暴露靈活伺服器，並限制資料存取僅限於核准的私有端點連線。 如需詳細資訊，請參閱適用於 MySQL 的 Azure 資料庫 - 彈性伺服器的私人連結。
- 部署具備虛擬網路整合的私有存取伺服器：當彈性伺服器必須注入委派子網，且只能從同一虛擬網路、對等虛擬網路、VPN 或 ExpressRoute 存取時，使用虛擬網路整合。 欲了解更多資訊，請參閱 適用於 MySQL 的 Azure 資料庫 - Flexible Server 使用虛擬網路整合的私有網路存取。
- 限制公共防火牆規則：僅在需要公開連線的情況使用公共防火牆規則，只允許特定 IPv4 範圍，並避免允許所有 Azure 服務存取的選項，因為那可能允許其他客戶訂閱的連線。 欲了解更多資訊，請參閱 適用於 MySQL 的 Azure 資料庫 的公共網路存取 - 彈性伺服器。
身分識別與存取權管理
身份與存取控制有助於集中驗證、減少憑證暴露，並強制執行 Azure 管理操作與資料庫存取的最低權限。
- 使用 Microsoft Entra 認證來存取資料庫：為 適用於 MySQL 的 Azure 資料庫 靈活伺服器設定 Microsoft Entra 認證，讓使用者和應用程式能以 Microsoft Entra 身份驗證，而非僅依賴 MySQL 密碼。 欲了解更多資訊，請參閱 適用於 適用於 MySQL 的 Azure 資料庫 - Flexible Server 的 Microsoft Entra 驗證。
- 盡可能使用 Microsoft Entra 僅支援認證：在遷移使用者與應用程式至 Microsoft Entra 認證後，請關閉 MySQL 原生認證，以減少對靈活伺服器的密碼存取路徑。 欲了解更多資訊，請參閱 適用於 適用於 MySQL 的 Azure 資料庫 - Flexible Server 的 Microsoft Entra 驗證。
- 使用管理身份連接應用程式：使用管理身份或服務主體搭配 Microsoft Entra 認證，讓應用程式能以令牌取代嵌入的資料庫密碼連接到 適用於 MySQL 的 Azure 資料庫。 欲了解更多資訊，請參閱 Microsoft Entra 驗證適用於 適用於 MySQL 的 Azure 資料庫 - Flexible Server。
- 指派最小權限的資料庫權限：為每個應用程式或管理功能建立專用的 MySQL 使用者或 Microsoft Entra 映射的資料庫使用者，並僅授予每個身份所需的結構、資料表及操作權限。 欲了解更多資訊，請參閱 在 適用於 MySQL 的 Azure 資料庫 建立使用者。
- 針對 適用於 MySQL 的 Azure 資料庫 系統管理員強制執行條件式存取：對可透過 Azure Resource Manager 工具（例如 Azure 入口網站、Azure CLI 及 Azure PowerShell）管理彈性伺服器資源的身分，套用要求多重要素驗證的條件式存取原則。 欲了解更多資訊，請參閱「Azure 管理要求多重因素驗證」。
資料保護
適用於 MySQL 的 Azure 資料庫 預設會用服務管理的密鑰加密靜止資料。 以下控制項讓你能更好地控制加密、金鑰管理及加密客戶端連線。
-
要求加密用戶端連線：保持
require_secure_transport啟用，讓用戶端連接 適用於 MySQL 的 Azure 資料庫 使用 TLS 加密，且不會以明文傳送資料庫流量。 欲了解更多資訊，請參閱 適用於 MySQL 的 Azure 資料庫 中的傳輸層安全性（TLS）。 -
強制 TLS 1.3 適用於 MySQL 8.0 伺服器：確認客戶端應用程式和驅動程式支援 TLS 1.3 後，請在 適用於 MySQL 的 Azure 資料庫 8.0 彈性伺服器上設定
tls_version為TLS 1.3TLS 1.3。 欲了解更多資訊，請參閱 適用於 MySQL 的 Azure 資料庫 中的傳輸層安全性（TLS）。 - 驗證用戶端的伺服器憑證：配置用戶端應用程式驗證伺服器憑證鏈，並只信任根憑證授權機構，避免例行的中介憑證或伺服器憑證輪替破壞安全連線。 欲了解更多資訊，請參閱 適用於 MySQL 的 Azure 資料庫 中的傳輸層安全性（TLS）。
- 使用客戶管理金鑰進行金鑰控制：當您需要分工、客戶控制的金鑰生命週期管理或更多合規控制以進行資料靜態加密時，請使用儲存在 Azure Key Vault 或 Azure Key Vault Managed HSM 中的客戶管理金鑰。 欲了解更多資訊，請參閱 適用於 MySQL 的 Azure 資料庫 的「使用客戶管理金鑰進行資料加密」。
- 保護客戶管理金鑰的相依性：在儲存客戶管理金鑰的 金鑰保存庫 或 Managed HSM 上啟用虛刪除和清除保護，將所需的金鑰權限指派給伺服器的使用者指派受控識別，並監視金鑰存取，因為一旦失去金鑰存取權，可能會導致彈性伺服器無法存取。 欲了解更多資訊，請參閱 適用於 MySQL 的 Azure 資料庫 的「使用客戶管理金鑰進行資料加密」。
記錄和監視
日誌與監控控制功能幫助您偵測可疑資料庫活動、調查行政變更，並保存審計證據以符合法規。
-
啟用 MySQL 稽核日誌：設定
audit_log_enabled為ON，選擇符合你安全與合規需求的稽核事件類型，並擷取連線、管理、DDL 及 DML 事件以供調查。 更多資訊請參閱教學：使用 適用於 MySQL 的 Azure 資料庫 - Flexible Server 配置稽核日誌。 -
將稽核日誌路由至 Azure 監視器：設定診斷設定，將資源日誌類別傳送
MySqlAuditLogs至 Log Analytics 工作空間、事件中心或儲存帳號，讓您能查詢資料表中的AzureDiagnostics稽核事件、保留證據，並將資料庫稽核事件整合至安全作業流程。 更多資訊請參閱教學：使用 適用於 MySQL 的 Azure 資料庫 - Flexible Server 配置稽核日誌。 - 使用稽核工作簿：使用內建的 Azure 監視器 稽核工作簿，針對 適用於 MySQL 的 Azure 資料庫 進行審核，檢視管理動作、稽核摘要、連線事件、資料表存取摘要及識別錯誤。 更多資訊請參閱教學：使用 適用於 MySQL 的 Azure 資料庫 - Flexible Server 配置稽核日誌。
- 啟用適用於開放原始碼關聯式資料庫的 Defender：在 適用於雲端的 Microsoft Defender 中啟用適用於開放原始碼關聯式資料庫的 Microsoft Defender，讓 適用於 MySQL 的 Azure 資料庫 彈性伺服器執行個體能夠針對異常或可能有害的資料庫活動產生警示。 欲了解更多資訊，請參閱啟用 Defender for Azure 開源關聯式資料庫。
合規性和治理
合規與治理控管協助你在 適用於 MySQL 的 Azure 資料庫 靈活伺服器群中強制執行一致且安全的設定，並保護生產資源免於意外或未經授權的變更。
-
以 Azure 原則 強制執行診斷日誌：為診斷設定指派內建的 Azure 原則 定義，
microsoft.dbformysql/flexibleservers例如將日誌路由至 Log Analytics、Event Hubs 或 Storage，確保靈活的伺服器稽核資料能持續收集。 如需詳細資訊，請參閱 Azure 原則 內建原則定義。 -
對生產伺服器套用刪除鎖定：對生產環境的 適用於 MySQL 的 Azure 資料庫 靈活伺服器資源加
CanNotDelete鎖，以降低意外刪除風險，同時保留正常的操作變更。 如需詳細資訊，請參閱 鎖定您的 Azure 資源以保護基礎結構。 - 為治理標註資料庫資源：將工作負載、環境、資料分類、擁有者及成本中心等標籤套用到 適用於 MySQL 的 Azure 資料庫 靈活的伺服器資源，讓政策指派、庫存查詢與成本審查能區分生產與敏感資料庫工作負載。 如需詳細資訊，請參閱使用標籤來組織 Azure 資源和管理階層。
備份及復原
備份與復原控制能幫助您從意外刪除、資料損毀、區域故障及高風險變更操作中恢復。
- 根據您的工作負載恢復點需求與合規需求，設定 適用於 MySQL 的 Azure 資料庫 的彈性伺服器備份保留期為 1 至 35 天。 如需詳細資訊，請參閱在適用於 MySQL 的 Azure 資料庫中備份與還原。
- 使用地理冗餘備份進行區域復原：當你需要備份複製到配對區域，並在區域故障後進行地理還原時，啟用地理冗餘備份儲存。 欲了解更多資訊，請參閱《適用於 MySQL 的 Azure 資料庫 - 彈性伺服器業務持續性概述》。
- 在高風險變更前觸發按需備份：在結構遷移、重大組態變更或維護作業前建立隨需備份，以保持近期還原點與伺服器備份保留政策一致。 欲了解更多資訊，請參閱「透過 Azure 入口觸發 適用於 MySQL 的 Azure 資料庫 - 彈性伺服器實例的隨選備份」。
- 測試還原程序：驗證代表性工作負載的點點還原與地理還原程序，讓您了解伺服器設定、標籤、網路規則及恢復後所需的操作。 如需詳細資訊，請參閱在適用於 MySQL 的 Azure 資料庫中備份與還原。