Defender for SQL on Machines Government でのマシン保護のトラブルシューティング

Important

この記事は、政府機関向けクラウドに適用されます。 商用クラウドを使用している場合は、SQL on Machines のデプロイに関するDefenderのトラブルシューティングに関する記事を参照してください。

マシンでSQL ServerのDefenderを有効にし、一部の SQL インスタンスが保護された状態でない場合は、この記事を使用してデプロイの問題をトラブルシューティングします。

トラブルシューティングを始める前に、以下の点を確認してください:

手順 1: リソースの作成方法を理解する

マシン上の SQL Server のDefenderでは、図に示すようにリソースが自動的に作成されます。

リソースと、リソースが作成されているレベルを示す図。

リソースの概要を次の表に示します。

リソースの種類 作成されたレベル
リソース グループ。 東米国Azure地域で作成されました。 サブスクリプション レベル
マネージド ID 各Azureリージョンでユーザー割り当てのマネージドアイデンティティが作成されます。 サブスクリプション レベル
ログ アナリティクス ワークスペース。 デフォルトのワークスペースかカスタムワークスペースを使いましょう。 サブスクリプション レベル
データ収集ルール(DCR)。 各ワークスペースごとに作成されています。 サブスクリプション レベル
データ収集規則の関連付け (DCRA) 各SQL Server インスタンスで定義されている
Azure 監視エージェント (AMA) 拡張機能は、各SQL Server インスタンスにインストールされます
Defender for SQL 拡張機能 拡張機能は、各SQL Server インスタンスにインストールされます

手順 2: 拡張機能が許可されていることを確認する

保護が期待どおりに動作するようにするには、組織の拒否ポリシーでこれらの拡張機能がブロックされないようにします。

  • Defender for SQL (IaaS および Arc)

    • パブリッシャー: Microsoft.Azure.AzureDefenderForSQL
    • 種類: AdvancedThreatProtection.Windows

  • SQL IaaS 拡張機能 (IaaS)

    • パブリッシャー: Microsoft.SqlServer.Management
    • 種類: SqlIaaSAgent

  • SQL IaaS 拡張機能 (Arc)

    • パブリッシャー: Microsoft.AzureData
    • 種類: WindowsAgent.SqlServer

  • AMA 拡張機能 (IaaS および Arc)

    • 発行元: Microsoft.Azure.Monitor
    • 型: AzureMonitorWindowsAgent

手順 3: 米国東部リージョンが許可されていることを確認する

プランを有効にすると、Azureは米国東部リージョンにリソース グループを作成します。 拒否ポリシーがこのリージョンをブロックしないようにします。

手順 4: リソースの名前付け規則を確認する

マシン上のSQL ServerのDefenderでは、リソースに固有の名前付け規則が使用されます。 組織がこれらの名前付け規則をブロックせず、自動的に作成されたリソースを変更しないようにします。

  • DCR: MicrosoftDefenderForSQL--dcr
  • DCRA: /Microsoft.Insights/MicrosoftDefenderForSQL-RulesAssociation
  • リソース グループ: DefaultResourceGroup-
  • Log Analytics ワークスペース:D4SQL--

sql のDefenderでは、createdBy データベース タグとして MicrosoftDefenderForSQL が使用されます。

手順 5: サブスクリプション レベルで構成ミスを特定する

構成が間違っているサブスクリプションを特定するには、 マシン上の SQL Server AMA ヘルパー ブックを使用します。

  1. マシン上の SQL Server AMA ヘルパー ブックを開きます。

    マシン上の SQL Server AMA ヘルパー ワークブックのメイン ページのスクリーンショット。

  2. [ サブスクリプションの概要] で、 サブスクリプション レベルで誤った構成を確認します。

    • Azure 仮想マシンのSQL Servers は、Azure virtual machines(VMs)を含むサブスクリプションを表示します。
    • Arc-Enabled SQL ServerにはAzure Arc対応VMを含むサブスクリプションが表示されます。

    サブスクリプションは、特定の環境に応じてこれらのタブに表示されます。

    Azure 仮想マシン上の SQL Server のブック ページで移動先を示したスクリーンショット。

  3. 各サブスクリプションのコンポーネント構成を確認します。

    • サブスクリプション内のSQL Server インスタンスの数。
    • Defender for SQL 拡張機能がインストールされているインスタンス。
    • AMA 拡張機能がインストールされているインスタンス。
    • サブスクリプション内の各ワークスペースごとにすべてのリージョンごとにDCRが作成されます。
    • 各 SQL インスタンスに対して作成された DCRA。
    • サブスクリプション レベルでリージョンごとに作成されたマネージド ID。
    • Log Analyticsサブスクリプション レベルでリージョンごとに作成されたワークスペースです。
    • サブスクリプションに対して有効になっている AMA 自動プロビジョニング。
    • そのサブスクリプションで Defender for SQL が有効になっています。

  4. サブスクリプションごとに、0/1、10/15、No など、予想される構成と一致しないコンポーネントを確認します。 この例のスクリーンショットでは、デモ サブスクリプションの DCRA 0/1 での構成が間違っています。

    マシン上の SQL Server AMA ヘルパー ワークブックの結果のスクリーンショット。

誤設定のあるサブスクリプションを見つけたら、まずサブスクリプションレベルで、次にリソースレベルと拡張機能インストールレベルで誤設定を解決してください。

手順 6: サブスクリプション レベルでの構成の誤りを解決する

設定ミスを特定したら、まずDCRの問題を修正し、次にワークスペースの問題、最後にサブスクリプションレベルでの同一化の問題を修正します。

正しい順序で構成ミスを修正します。 DCR 解決はワークスペースの解決に依存し、ワークスペースの解決は ID 解決に依存します。 これらの誤った構成を順番を乱して解決しようとすると、誤った構成は解決されません。

  1. Policy>Compliance に移動します。

  2. [スコープ] を選択します。

    ポリシーとコンプライアンス ページでスコープを選択する場所を示すスクリーンショット。

  3. Scopeで該当するサブスクリプションを選択します。

  4. コンプライアンスページで、ワークスペースの設定に従ってポリシーを選択してください:

    • 既定のワークスペース: SQL VM および Arc 対応 SQL Server 上の Defender for SQL。
    • カスタム ワークスペース: SQL VM および Arc 対応 SQL Server 向け Defender for SQL-custom。

    ページの構成ミスが見つかった場所を示すスクリーンショット。

  5. 非準拠の各問題を次の順序で検索して解決します 。Identity>Workspace>DCR。

  6. 各問題を次のように修正します。

    • Identity. Create and assign a built-in user-assigned managed identity。
    • ワークスペース。 Configure the Microsoft Defender for SQL Log Analytics workspace。
    • DCR。 Configure SQL Virtual Machines to automatically install Microsoft Defender for SQL and DCR with a Log Analytics workspace または Configure Arc-enabled SQL Servers to automatically install Microsoft Defender for SQL and DCR with a Log Analytics workspace。

  7. 非準拠のポリシーごとに、コンプライアンスの理由を確認し、[ 修復タスクの作成 ] を選択して解決します。

    ページで修復タスクを作成する場所を示すスクリーンショット。

  8. 関連情報を入力します。

  9. [修復] を選択します。

  10. 非準拠のポリシーやサブスクリプションごとに、修復タスクのプロセスを繰り返します。

PowerShell デプロイ スクリプトを使用してカスタム値を入力する

ブックに関するサブスクリプションの問題を解決できない場合は、Defender for SQL Servers on Machines には、ワークスペース、DCR、およびユーザー ID に独自の値を指定できる PowerShell デプロイ スクリプトが用意されています。 PowerShellスクリプトを使用するには、「Enable Defender for SQL at Scale」の指示に従ってください。

手順 7: リソース レベルでの構成の誤りを解決する

サブスクリプション レベルで構成ミスを解決した後、DCRA の構成ミスや不完全な AMA や SQL 拡張機能のデプロイのDefenderなど、リソース レベルでの構成の誤りを解決します。

拡張機能の構成ミスのトラブルシューティング

拡張機能に関連するポリシーの誤設定をトラブルシューティングするには以下の手順をご利用ください。

  1. Azure portal で、 Policy>Compliance に移動します。

  2. [スコープ] を選択します。

  3. ドロップダウンメニューで、誤設定のサブスクリプションを選択してください。

  4. SQL VM 上の SQL 向け Defender と Arc 対応 SQL Server イニシアチブを検索して選択します。

  5. 準拠していないポリシー名を選択します。

    • Defender for SQL 拡張機能。 Create and assign a built-in user-assigned managed identity。
    • AMA 拡張機能。 Configure SQL Virtual Machines to automatically install Azure Monitor Agent または Configure Arc-enabled SQL Servers to automatically install Azure Monitor Agent。

  6. 非準拠のポリシーごとに、コンプライアンスの理由を確認し、[ 修復タスクの作成 ] を選択して解決します。

DCRA の構成ミスのトラブルシューティング

影響を受けたサブスクリプションのDCRA設定ミスをトラブルシューティングするには、以下の手順をご利用ください。

  1. Azureポータルで「データ収集ルール」を検索して選択します。

  2. 「Subscription equals」を選択し、該当するサブスクリプションを選択します。

    [サブスクリプション] の [等しい] を選択する箇所を示すスクリーンショット。

  3. [適用] を選択します。

  4. 関連するDCRを見つけて選択してください。 DCR の名前付け規則は、 MicrosoftDefenderForSQL-region-dcrという形式に従います。

  5. [構成>リソース] を選択します。

    構成とリソースを選択する場所を示すスクリーンショット。

  6. [+ 追加] を選択します。

    [追加] ボタンが配置されている場所を示すスクリーンショット。

  7. [リソースの種類] ドロップダウン テーブルで、デプロイに応じて [マシン - Azure Arc] と [仮想マシン] を選択します。

    [Machines - Azure Arc] と [Virtual machines] でフィルターする場所を示したスクリーンショット。

  8. 各リソース グループを展開し、各マシンを選択します。

    各マシンが個別に選択されていることを示すスクリーンショット。

  9. [適用] を選択します。

手順 8: 保護の状態を Reverify する

このページのすべての手順を完了したら、各SQL Server インスタンスの保護状態を確認します。

関連するコンテンツ

  • 最終更新: