Veerkracht over regio's voor SQL TDE met Azure Key Vault Managed HSM

Azure SQL Managed Instance
Azure Key Vault

Oplossingsideeën

In dit artikel wordt een oplossingsidee beschreven. Uw cloudarchitect kan deze richtlijnen gebruiken om de belangrijkste onderdelen te visualiseren voor een typische implementatie van deze architectuur. Gebruik dit artikel als uitgangspunt om een goed ontworpen oplossing te ontwerpen die overeenkomt met de specifieke vereisten van uw workload.

Deze oplossing beschrijft een veilig en tolerant implementatiepatroon voor Azure SQL Managed Instance. Het markeert hoe door Azure Key Vault beheerde HSM wordt gebruikt om de door de klant beheerde TDE-beveiligingssleutels (Transparent Data Encryption) op te slaan.

Architectuur

Diagram met de architectuur voor beveiligde en tolerante SQL Managed Instance.

Een Visio-bestand van deze architectuur downloaden.

Werkproces

De volgende werkstroom komt overeen met het vorige diagram:

  1. Een failovergroep op het primaire met SQL beheerde exemplaar repliceert alle gebruikersdatabases naar een secundair met SQL beheerd exemplaar in een andere regio voor herstel na noodgevallen.

  2. Beheerde HSM is geconfigureerd met een pool voor meerdere regio's. Deze pool repliceert automatisch het sleutelmateriaal en de machtigingen voor de kluis in de secundaire regio.

  3. Gegevensvlakverkeer van SQL Managed Instance loopt via het privé-eindpunt van beheerde HSM.

  4. Beheerde HSM maakt gebruik van een Microsoft beheerd Azure Traffic Manager exemplaar om het verkeer naar de dichtstbijzijnde operationele kluis te routeren.

  5. Als het beheerde exemplaar machtigingen voor een sleutel moet controleren, wordt er een aanvraag voor het beheervlak verzonden via het Backbone-netwerk van Azure.

Onderdeel

  • SQL Managed Instance is een PaaS-aanbieding (Platform as a Service) die bijna volledig compatibel is met de nieuwste SQL Server Enterprise Edition database-engine. Het biedt een systeemeigen implementatie van een virtueel netwerk die de beveiliging verbetert en een gunstig bedrijfsmodel biedt voor bestaande SQL Server-klanten. U kunt SQL Managed Instance gebruiken om uw on-premises toepassingen naar de cloud te migreren met minimale wijzigingen in toepassingen en databases.

    SQL Managed Instance biedt ook uitgebreide PaaS-mogelijkheden, waaronder automatische patches en versie-updates, geautomatiseerde back-ups en mogelijkheden voor bedrijfscontinuïteit. Deze functies verminderen de beheeroverhead en de totale eigendomskosten aanzienlijk. In deze architectuur is SQL Managed Instance de database die gebruikmaakt van de TDE-beveiligingssleutels.

  • Beheerde HSM is een volledig beheerde cloudservice die hoge beschikbaarheid, één tenancy en naleving van industriestandaarden biedt. Beheerde HSM is ontworpen om cryptografische sleutels voor cloudtoepassingen te beveiligen. Het maakt gebruik van Federal Information Processing Standards 140-3 Level 3 gevalideerde HSM's. Beheerde HSM is een van de verschillende oplossingen voor sleutelbeheer in Azure. In deze architectuur slaat Beheerde HSM de TDE-beveiligingssleutels veilig op en biedt tolerantie tussen regio's.

  • Een Azure privé-eindpunt biedt een privé-IP-pad van een virtueel netwerk naar services zoals Azure Storage, Azure SQL Database en Key Vault. Voor deze architectuur schakelt u openbare netwerktoegang op beheerde HSM uit en gebruikt u privé-eindpunten in beide regio's, zodat het gegevensvlakverkeer op het Microsoft backbone-netwerk blijft.

  • Azure Privé-DNS biedt naamomzetting voor privé-eindpunten, waardoor resources binnen een virtueel netwerk privé toegang hebben tot Azure services. Wanneer een privé-eindpunt wordt gemaakt, wordt automatisch een bijbehorende DNS-record (Domain Name System) geregistreerd in de gekoppelde privé-DNS-zone. Een privé-DNS-zone zorgt ervoor dat verkeer naar de service binnen het Backbone-netwerk van Azure blijft. Deze aanpak verbetert de beveiliging, prestaties en naleving door blootstelling aan het openbare internet te voorkomen. Als er een regionale servicestoring optreedt, biedt Azure Privé-DNS ingebouwde veerkracht voor naamomzetting tussen regio’s voor beheerde HSM. In deze architectuur gebruiken services Azure Privé-DNS om met elkaar te communiceren via hun privénetwerkadressen.

  • Azure Policy evalueert resources en acties in Azure door de eigenschappen van deze resources te vergelijken met bedrijfsregels. Deze bedrijfsregels, zoals beschreven in de JSON-indeling, worden beleidsdefinities genoemd. Gebruik voor deze oplossing Azure Policy om door de klant beheerde TDE af te dwingen tijdens het maken of bijwerken van een Azure SQL database of Azure SQL beheerd exemplaar, volgens de gedocumenteerde richtlijnen.

  • Log Analytics werkruimte is een gegevensarchief waarin u elk type logboekgegevens van al uw Azure en niet-Azure resources en toepassingen kunt verzamelen. Met configuratieopties voor werkruimten kunt u al uw logboekgegevens in één werkruimte beheren om te voldoen aan de behoeften van verschillende persona's in uw organisatie. Voor deze oplossing ontvangt een Log Analytics werkruimte uitgebreide logboekregistratie en telemetrie van beheerde HSM.

Scenario-details

In deze oplossing wil een workloadteam voldoen aan strikte SLO-drempelwaarden (Service Level Objective) voor hun bedrijfskritieke systeem en tegelijkertijd volledige functionaliteit van de vereiste services garanderen. Om dit doel te bereiken, gebruiken ze SQL Managed Instance met een door de klant beheerde TDE-beveiligingssleutel. De sleutel wordt opgeslagen in een beheerde HSM-pool die ondersteuning biedt voor de regio's die ze gebruiken en voldoet aan alle nalevings- en beveiligingsvereisten. Privé-eindpunttoegang wordt ook afgedwongen om de netwerkblootstelling te beperken.

Voor herstel na noodgevallen tussen regio's heeft een failovergroep met een door de klant beheerd failoverbeleid doorgaans de voorkeur, zodat de klant de timing van de failover kan beheren. De failovergroep repliceert gebruikersdatabases als een eenheid, dus gerelateerde objecten en instellingen op exemplaarniveau moeten afzonderlijk worden gesynchroniseerd.

Mogelijke gebruiksvoorbeelden

  • Een organisatie maakt gebruik van twee gekoppelde of niet-gekoppelde regio's. Het primaire beheerde SQL-exemplaar bevindt zich in één regio en failovergroepen zijn geconfigureerd om deze te verbinden met het beheerde SQL-exemplaar in de secundaire regio.

    Dit ontwerp maakt gebruik van listener-eindpunten voor failovergroepen, zodat toepassingen stabiele verbindingsreeksen kunnen behouden tijdens de failover. Failovergroepen werken de DNS-record van de listener automatisch bij na een geo-failover. Maar waargenomen herverbindingstijd op de client is afhankelijk van de TTL van de DNS-cache van de client en van de logica voor opnieuw proberen van de toepassing.

  • Een organisatie gebruikt een beheerd HSM-exemplaar in een primaire regio met een replica tussen regio's in een secundaire regio. Wanneer een replica voor meerdere regio's is ingeschakeld, wordt er een Traffic Manager-exemplaar gemaakt. Het Traffic Manager-exemplaar verwerkt de routering van verkeer naar de lokale kluis als beide kluizen operationeel zijn of naar de operationele kluis als één kluis niet beschikbaar is.

    Replicatie van sleutelmateriaal en machtigingen is asynchroon en kan enkele minuten duren. De initiële uitbreiding naar een secundaire regio kost extra inrichtingstijd. Valideer de beschikbaarheid en capaciteit van beheerde HSM in de gewenste regio's voordat u het tolerantieontwerp voltooit.

  • Een organisatie gebruikt twee aangepaste DNS-zones ter ondersteuning van een privé-eindpunt voor een beheerd HSM-exemplaar in elke regio.

    In implementaties met meerdere regio's helpt een privé-eindpunt en privé-DNS-integratie in elke regio bij het behouden van naamomzetting en gegevensvlakverkeer binnen elke regio.

  • Een organisatie maakt TDE mogelijk voor gebruikersdatabases met een door de klant beheerde sleutel en slaat de beveiligingssleutel op in beheerde HSM.

Bijdragers

Microsoft onderhoudt dit artikel. De volgende inzenders hebben dit artikel geschreven.

Hoofdauteurs:

Als u niet-openbare LinkedIn-profielen wilt zien, meldt u zich aan bij LinkedIn.

Volgende stappen