Sichern Sie Ihre Azure-Datenbank für MySQL

Azure Database for MySQL ist ein vollständig verwalteter relationaler Datenbankdienst, der hohe Verfügbarkeit, automatisierte Sicherungen und skalierbares MySQL-kompatibles Datenbankhosting bereitstellt. Die Sicherung Ihrer flexiblen Serverbereitstellungen trägt zum Schutz vertraulicher Daten bei, reduziert die Identitäts- und Netzwerkexposition und unterstützt Complianceanforderungen.

Dieser Artikel enthält Sicherheitsempfehlungen zum Schutz Ihrer Azure Database for MySQL Bereitstellung.

Die Sicherheitsempfehlungen in diesem Artikel implementieren Zero Trust-Prinzipien: "Explizit überprüfen", "Minimalen Berechtigungszugriff verwenden" und "Verletzung als gegeben ansehen". Umfassende Anleitungen zu Zero Trust finden Sie im Zero Trust Guidance Center.

Netzwerksicherheit

Netzwerksicherheitsmaßnahmen helfen dabei, den Zugriff von Clients auf Instanzen von Azure Database for MySQL Flexible Server zu beschränken und die Exposition gegenüber öffentlichem Internetdatenverkehr zu verringern.

  • Deaktivieren Sie den öffentlichen Netzwerkzugriff für Produktionsserver: Deaktivieren Sie den öffentlichen Zugriff, wenn Clients eine Verbindung über private Endpunkte herstellen können, damit nur private Verbindungspfade den flexiblen Server erreichen können. Weitere Informationen finden Sie unter Privater Link für Azure Database for MySQL – Flexible Server.
  • Verwenden Sie private Endpunkte für Öffentliche Zugriffsserver: Verwenden Sie Private Link, um den flexiblen Server über eine private IP-Adresse in Ihrem virtuellen Netzwerk verfügbar zu machen und den Datenzugriff auf genehmigte private Endpunktverbindungen einzuschränken. Weitere Informationen finden Sie unter Privater Link für Azure Database for MySQL – Flexible Server.
  • Bereitstellen von Servern mit privatem Zugriff mit virtueller Netzwerkintegration: Verwenden Sie die Integration des virtuellen Netzwerks, wenn der flexible Server in ein delegiertes Subnetz eingefügt werden muss und nur über dasselbe virtuelle Netzwerk, peered virtual networks, VPN oder ExpressRoute aufgerufen werden muss. Weitere Informationen finden Sie unter Private Network Access mithilfe der Integration in ein virtuelles Netzwerk für Azure Database for MySQL – Flexible Server.
  • Einschränken von Regeln für die öffentliche Firewall: Verwenden Sie öffentliche Firewallregeln nur für Szenarien, die eine öffentliche Konnektivität erfordern, nur bestimmte IPv4-Bereiche zulassen, und vermeiden Sie die Option, die den Zugriff von allen Azure Diensten zulässt, da sie Verbindungen aus den Abonnements anderer Kunden zulassen kann. Weitere Informationen finden Sie unter Public Network Access for Azure Database for MySQL – Flexible Server.

Identitäts- und Zugriffsverwaltung

Identitäts- und Zugriffssteuerungen helfen dabei, die Authentifizierung zu zentralisieren, anmeldeinformationen zu reduzieren und die geringsten Berechtigungen sowohl für Azure Verwaltungsvorgänge als auch für den Datenbankzugriff zu erzwingen.

  • Verwenden Sie Microsoft Entra Authentifizierung für datenbankzugriff: Konfigurieren Sie Microsoft Entra Authentifizierung für Azure Database for MySQL flexiblen Server, sodass Benutzer und Anwendungen sich mit Microsoft Entra Identitäten authentifizieren können, anstatt nur auf MySQL-Kennwörter zu vertrauen. Weitere Informationen finden Sie unter Microsoft Entra Authentifizierung für Azure Database for MySQL – Flexible Server.
  • Verwenden Sie nach Möglichkeit die ausschließliche Microsoft Entra-Authentifizierung: Deaktivieren Sie die native MySQL-Authentifizierung, nachdem Sie Benutzer und Anwendungen zur Microsoft Entra-Authentifizierung migriert haben, um kennwortbasierte Zugriffspfade zum flexiblen Server zu reduzieren. Weitere Informationen finden Sie unter Microsoft Entra Authentifizierung für Azure Database for MySQL – Flexible Server.
  • Verwenden Sie verwaltete Identitäten für Anwendungsverbindungen: Verwenden Sie verwaltete Identitäten oder Dienstprinzipale mit Microsoft Entra Authentifizierung, sodass Anwendungen eine Verbindung mit Azure Database for MySQL mit Token statt mit eingebetteten Datenbank-Kennwörtern herstellen. Weitere Informationen finden Sie unter Microsoft Entra Authentifizierung für Azure Database for MySQL – Flexible Server.
  • Weisen Sie Datenbankberechtigungen mit geringsten Berechtigungen zu: Erstellen Sie dedizierte MySQL-Benutzer oder Microsoft Entra zugeordnete Datenbankbenutzer für jede Anwendung oder Administrative Funktion, und erteilen Sie nur die Schema-, Tabellen- und Vorgangsberechtigungen, die für jede Identität erforderlich sind. Weitere Informationen finden Sie unter Create users in Azure Database for MySQL.
  • Bedingten Zugriff für Administratoren von Azure Database for MySQL erzwingen: Wenden Sie Richtlinien für bedingten Zugriff an, die eine Multi-Faktor-Authentifizierung für Identitäten erfordern, die flexible Serverressourcen über Azure Resource Manager-Tools wie das Azure-Portal, die Azure CLI und Azure PowerShell verwalten können. Weitere Informationen finden Sie unter Require MFA for Azure Management.

Datenschutz

Azure Database for MySQL verschlüsselt ruhende Daten standardmäßig mit dienstverwalteten Schlüsseln. Die folgenden Steuerelemente bieten Ihnen mehr Kontrolle über Verschlüsselung, Schlüsselverwaltung und verschlüsselte Clientverbindungen.

  • Verschlüsselte Clientverbindungen erforderlich: Lassen Sie require_secure_transport aktiviert, damit Clientverbindungen zu Azure Database for MySQL TLS-Verschlüsselung nutzen und keinen Datenbankverkehr im Klartext senden. Weitere Informationen finden Sie unter Transport Layer Security (TLS) in Azure Database for MySQL.
  • Erzwingen Sie TLS 1.3 für MySQL 8.0-Server: Legen Sie tls_version auf TLS 1.3 auf flexiblen Azure Database for MySQL 8.0-Servern fest, nachdem Sie bestätigt haben, dass Clientanwendungen und Treiber TLS 1.3 unterstützen. Weitere Informationen finden Sie unter Transport Layer Security (TLS) in Azure Database for MySQL.
  • Überprüfen sie Serverzertifikate von Clients: Konfigurieren Sie Clientanwendungen, um die Serverzertifikatskette zu überprüfen und nur Stammzertifizierungsstellen zu vertrauen, sodass routinemäßige Rotationen von Zertifizierungsstellen oder Serverzertifikaten keine sicheren Verbindungen unterbrechen. Weitere Informationen finden Sie unter Transport Layer Security (TLS) in Azure Database for MySQL.
  • Verwenden Sie vom Kunden verwaltete Schlüssel für die Schlüsselsteuerung: Verwenden Sie vom Kunden verwaltete Schlüssel, die in Azure Key Vault oder Azure Key Vault verwalteten HSM gespeichert sind, wenn Sie eine Trennung von Aufgaben, die vom Kunden kontrollierte Schlüssellebenszyklusverwaltung oder mehr Compliancesteuerelemente für die Verschlüsselung ruhender Daten benötigen. Weitere Informationen finden Sie unter "Datenverschlüsselung mit vom Kunden verwalteten Schlüsseln für Azure-Datenbank für MySQL".
  • Abhängigkeiten von kundenseitig verwalteten Schlüsseln schützen: Aktivieren Sie das vorläufige Löschen und den Löschschutz für den Schlüsseltresor oder das verwaltete HSM, in dem der kundenseitig verwaltete Schlüssel gespeichert ist, weisen Sie der benutzerseitig zugewiesenen verwalteten Identität des Servers die erforderlichen Schlüsselberechtigungen zu, und überwachen Sie den Schlüsselzugriff, da ein Verlust des Schlüsselzugriffs dazu führen kann, dass auf den flexiblen Server nicht mehr zugegriffen werden kann. Weitere Informationen finden Sie unter "Datenverschlüsselung mit vom Kunden verwalteten Schlüsseln für Azure-Datenbank für MySQL".

Protokollierung und Überwachung

Protokollierungs- und Überwachungskontrollen helfen Ihnen, verdächtige Datenbankaktivitäten zu erkennen, Änderungen durch Administratoren zu untersuchen und Auditnachweise für Compliance-Zwecke zu bewahren.

Compliance und Governance

Compliance- und Governance-Kontrollen helfen Ihnen, über Flotten flexibler Server von Azure Database for MySQL hinweg eine konsistente und sichere Konfiguration durchzusetzen und Produktionsressourcen vor versehentlichen oder nicht autorisierten Änderungen zu schützen.

  • Erzwingen der Diagnoseprotokollierung mit Azure Policy: Zuweisen integrierter Azure Policy Definitionen für microsoft.dbformysql/flexibleservers Diagnoseeinstellungen, z. B. Richtlinien, die Protokolle an Log Analytics, Event Hubs oder Storage weiterleiten, sodass flexible Serverüberwachungsdaten konsistent gesammelt werden. Weitere Informationen finden Sie unter Integrierte Azure Policy-Richtliniendefinitionen.
  • Wenden Sie Löschsperren auf Produktionsserver an: Fügen Sie Azure Database for MySQL Flexible Server-Ressourcen in der Produktion eine CanNotDelete-Sperre hinzu, um das Risiko versehentlicher Löschungen zu verringern, während normale betriebliche Änderungen weiterhin möglich sind. Weitere Informationen finden Sie unter Sperren Ihrer Azure-Ressourcen zum Schutz Ihrer Infrastruktur.
  • Datenbankressourcen für Governance mit Tags versehen: Wenden Sie Tags wie Workload, Umgebung, Datenklassifizierung, Besitzer und Kostenstelle auf Ressourcen von Azure Database for MySQL Flexible Server an, damit Richtlinienzuweisungen, Bestandsabfragen und Kostenprüfungen Produktions- und sensible Datenbankworkloads unterscheiden können. Weitere Informationen finden Sie unter Verwenden Sie Tags, um Ihre Azure-Ressourcen und Management-Hierarchie zu organisieren.

Sicherung und Wiederherstellung

Sicherungs- und Wiederherstellungskontrollen helfen Ihnen, sich von versehentlichem Löschen, Datenbeschädigung, regionalen Ausfällen und riskanten Änderungen zu erholen.

  • Konfigurieren der Sicherungsaufbewahrung für Wiederherstellungsziele: Legen Sie den Sicherungsaufbewahrungszeitraum für Azure Database for MySQL Flexible Server auf einen Wert zwischen 1 und 35 Tagen fest, basierend auf den Anforderungen an den Wiederherstellungspunkt Ihrer Workloads und Ihren Complianceanforderungen. Weitere Informationen finden Sie unter Sicherung und Wiederherstellung in Azure Database for MySQL.
  • Verwenden Sie georedundante Sicherung für regionale Wiederherstellung: Aktivieren Sie georedundanten Sicherungsspeicher, wenn Sie eine Sicherungsreplikation für eine gekoppelte Region und die Möglichkeit zur Geowiederherstellung nach einem regionalen Ausfall benötigen. Weitere Informationen finden Sie unter Übersicht über die Geschäftskontinuität mit Azure Database for MySQL – Flexible Server.
  • Auslösen von On-Demand-Sicherungen vor Änderungen mit hohem Risiko: Erstellen Sie eine On-Demand-Sicherung vor Schemamigrationen, wichtigen Konfigurationsänderungen oder Wartungsvorgängen, um einen aktuellen Wiederherstellungspunkt an der Sicherungsaufbewahrungsrichtlinie des Servers auszurichten. Weitere Informationen finden Sie unter Auslösen einer Sicherung bei Bedarf für eine Azure Database for MySQL – Flexible Server-Instanz über das Azure-Portal.
  • Testen Sie Wiederherstellungsverfahren: Überprüfen Sie die Prozeduren für die Point-in-Time-Wiederherstellung und geowiederherstellung für repräsentative Workloads, damit Sie die Servereinstellungen, Tags, Netzwerkregeln und Aktionen nach der Wiederherstellung verstehen, die während der Wiederherstellung erforderlich sind. Weitere Informationen finden Sie unter Sicherung und Wiederherstellung in Azure Database for MySQL.

Nächste Schritte

  • Zuletzt aktualisiert um