Perimetro di sicurezza di rete per database SQL di Azure (anteprima)

Si applica a:Database SQL di Azure

Il perimetro di sicurezza di rete (preview) protegge sia il traffico di rete in entrata che in uscita tra database SQL di Azure e altre risorse platform as a service (PaaS), come Archiviazione di Azure e Azure Key Vault. Blocca i tentativi di comunicazione con le risorse di Azure al di fuori del perimetro.

Note

In quanto funzionalità di anteprima, la tecnologia presentata in questo articolo è soggetta alle condizioni per l'utilizzo supplementari per le anteprime di Microsoft Azure.

Get started

  1. Nel portale di Azure cercare Perimetro di sicurezza di rete nell'elenco delle risorse e quindi selezionare Crea.

    Screenshot della creazione di un perimetro di sicurezza di rete nel portale di Azure.

  2. Specificare un nome eun'area geografica e scegliere la sottoscrizione.

  3. Nella sezione Risorse selezionare il pulsante Aggiungi e passare al database SQL da associare al perimetro.

  4. Aggiungi una regola di accesso in entrata. Il tipo di origine può essere un indirizzo IP, una sottoscrizione o altri perimetri di sicurezza di rete.

  5. Aggiungi una regola di accesso in uscita per permettere alle risorse all'interno del perimetro di connettersi con risorse esterne al perimetro.

Se hai già un database SQL di Azure e vuoi aggiungere un perimetro di sicurezza di rete, usa i seguenti passaggi:

  1. Nel portale di Azure cercare il perimetro di sicurezza di rete esistente.

  2. Selezionare Risorse associate dal menu Impostazioni .

  3. Selezionare il pulsante Aggiungi e selezionare Associa risorse a un profilo esistente.

    Screenshot delle risorse associate per il perimetro di sicurezza di rete nel portale di Azure.

  4. Seleziona il tuo profilo dal menu a tendina e seleziona Aggiungi.

    Screenshot dell'aggiunta di una risorsa associata per il perimetro di sicurezza di rete nel portale di Azure.

  5. Cerca la tua risorsa SQL Database, seleziona la risorsa richiesta e poi seleziona Associate.

Usa un database SQL con un perimetro di sicurezza di rete

Di default, un perimetro di sicurezza di rete utilizza la modalità transizione, precedentemente chiamata modalità apprendimento, che puoi utilizzare per registrare tutto il traffico da e verso il database SQL. Puoi registrare il traffico di rete su uno spazio di lavoro Log Analytics o su un account Archiviazione di Azure utilizzando il logging diagnostico per Azure Network Security Perimeter. Quando sei pronto, cambia il perimetro in modalità Forzata . In modalità Forzata , l'accesso negato restituisce il seguente errore:

Error 42118
Login failed because the network security perimeter denied inbound access.

Supporto delle funzionalità

Non tutte le funzionalità di database SQL di Azure interagiscono allo stesso modo con un perimetro di sicurezza di rete. Alcune funzionalità spostano i dati tra server logici, altre si collegano in uscita ad altri servizi Azure, e altre non funzionano affatto all'interno di un perimetro. La tabella seguente copre le caratteristiche documentate finora. Questa lista cresce man mano che più funzionalità completano la validazione del perimetro. Seleziona una funzione per saperne di più su come funziona con un perimetro di sicurezza di rete, inclusi i passaggi di configurazione e eventuali limitazioni.

Feature Supporto perimetrale Cosa è necessario sapere
Replica geografica attiva Supported In modalità forzata, ogni server logico in un perimetro necessita sia di una regola in entrata che di una in uscita per ogni altro server nel set di geo-replicazione che non è nel suo perimetro. Le regole girano in entrambe le direzioni perché un geo-failover inverte la direzione del movimento dei dati. La replicazione su un collegamento consolidato continua a funzionare anche se in seguito cambi le regole per non consentirla.
Modificare lo streaming di eventi Supported Il database si connette in uscita ad Hub eventi di Azure o Fabric Eventstream. In modalità forzata, aggiungi una regola in uscita che specifichi l'FQDN di destinazione. Senza questa regola, non puoi creare un gruppo di stream, e uno stream esistente smette di pubblicare e tiene aperto il log delle transazioni.
Copia del database Supported In modalità forzata, un server sorgente in un perimetro ha bisogno di una regola in uscita, mentre un server target in un perimetro necessita di una regola in entrata. Nessuno dei due richiede una regola se entrambi i server sono nello stesso perimetro o se la copia rimane su un solo server. Quando un server logico appartiene a un perimetro, Transact-SQL non è un metodo supportato per copiare in un altro server logico.
Lavori elastici Supported Il server logico del job agent ha bisogno di una regola in uscita per ciascun server target. Il perimetro viene controllato a runtime, così un lavoro può essere creato con successo e poi fallire durante l'esecuzione.
Query elastica Sostenuti all'interno di un singolo perimetro Il database che esegue la query e il database remoto devono trovarsi nello stesso perimetro. Elastic Query non richiede una configurazione del perimetro dedicata.
Eventi estesi Supported Il event_file target e le funzioni che leggono i dati degli eventi si collegano in uscita a Archiviazione di Azure. In modalità forzata, usa un'identità gestita o aggiungi una regola FQDN in uscita per l'account di archiviazione quando usi un token SAS.
Fabric mirroring Supported Fabric si collega in entrata al server logico per configurare e monitorare il mirroring, mentre il database si collega in uscita a OneLake per pubblicare i dati. In modalità forzata, aggiungi una regola in entrata per i tag di servizio DataFactory, PowerBI e PowerQueryOnline, e una regola in uscita che indica la destinazione OneLake FQDN. Fabric non ha un perimetro proprio, quindi configuri ogni regola sul lato database SQL di Azure.
Ripristino della retention a lungo termine Supported In modalità forzata, un server sorgente in un perimetro ha bisogno di una regola in uscita, mentre un server target in un perimetro necessita di una regola in entrata. Nessuno dei due richiede una regola se entrambi sono nello stesso perimetro. Dopo che il server sorgente viene eliminato, può essere validato solo il lato target.
Sincronizzazione dati SQL Non supportato dalla progettazione sincronizzazione dati funziona come servizio proxy anziché come risorsa Azure, quindi non ha un FQDN o un indirizzo IP su cui scrivere regole perimetrali. Un perimetro blocca i percorsi di rete richiesti da sincronizzazione dati sia in modalità transizione che in modalità forzata.

Limitazioni

  • Un server logico nel database SQL di Azure non può essere associato a un perimetro di sicurezza di rete se contiene uno o più pool SQL dedicati (in precedenza SQL Data Warehouse).
  • Il supporto per il perimetro di sicurezza di rete per database SQL di Azure è disponibile nelle regioni Azure public cloud. Non è disponibile in Azure per enti pubblici. Per l'elenco corrente dei servizi abilitati, vedere Risorse Private Link abilitate.

Contenuto correlato

  • Ultimo aggiornamento: