Jak: Zabezpieczanie replikowanych baz danych Microsoft Fabric z usługi Azure SQL Database

Ten przewodnik ułatwia konfigurowanie zabezpieczeń danych w zreplikowanej usłudze Azure SQL Database w usłudze Microsoft Fabric.

Wymagania dotyczące zabezpieczeń

1. Jeśli usługa Azure SQL Database nie jest publicznie dostępna i nie zezwala usługom platformy Azure na łączenie się z nią, możesz utworzyć bramę danych sieci wirtualnej lub zainstalować lokalną bramę danych w celu dublowania danych. Upewnij się, że sieć wirtualna platformy Azure lub sieć maszyny bramy może łączyć się z serwerem Azure SQL za pośrednictwem prywatnego punktu końcowego lub że połączenie jest dozwolone przez regułę zapory.

2. Należy włączyć tożsamość zarządzaną przypisaną przez system (SAMI) lub tożsamość zarządzaną przypisaną przez użytkownika (UAMI) serwera logicznego usługi Azure SQL i musi być tożsamością podstawową.

   Uwaga / Notatka

   Obsługa tożsamości zarządzanej przypisanej przez użytkownika (UAMI) jest obecnie dostępna w wersji zapoznawczej.

3. Jeśli dostęp przychodzący do OneLake jest ograniczony dla tego obszaru roboczego, administrator obszaru roboczego musi dodać identyfikator zasobu platformy Azure serwera Azure SQL do reguł instancji zasobów tego obszaru roboczego. Ta konfiguracja pozwala OneLake weryfikować tożsamość serwera bez polegania na dynamicznych lub współdzielonych adresach IP wychodzących. Aby uzyskać więcej informacji, zobacz artykuł Zarządzanie dostępem przychodzącym do usługi OneLake przy użyciu reguł wystąpień zasobu.

4. Azure Fabric musi nawiązać połączenie z bazą danych Azure SQL. W tym celu utwórz dedykowanego użytkownika bazy danych z ograniczonymi uprawnieniami, aby postępować zgodnie z zasadą najniższych uprawnień. Utwórz identyfikator logowania z silnym hasłem i połączonym użytkownikiem albo użytkownikiem zawartej bazy danych z silnym hasłem. Aby zapoznać się z samouczkiem, zobacz Samouczek: konfigurowanie dublowanych baz danych usługi Microsoft Fabric z usługi Azure SQL Database.

Obwód zabezpieczeń sieci (wersja zapoznawcza)

obwód zabezpieczeń sieci (preview) kontroluje ruch sieciowy przychodzący i wychodzący dla logicznego serwera Azure SQL. Mirroring przekracza tę granicę w obu kierunkach. Fabric łączy się przychodząco z serwerem logicznym, aby konfigurować i monitorować mirroring, a baza danych łączy się wychodząco z OneLake, aby publikować dane. Perymetr ocenia oba.

Fabric nie jest zasobem Azure i nie ma własnej granicy zabezpieczeń, więc konfigurujesz każdą regułę dostępu do granicy zabezpieczeń po stronie Azure SQL Database.

Obsługiwane konfiguracje

Lustrzane odbicie działa zarówno w trybie przejściowym, jak i wymuszonym. W trybie przejściowym perymetr rejestruje ruch bez jego blokowania, więc replikacja działa nawet wtedy, gdy nie istnieją reguły dostępu. W trybie wymuszania granica blokuje wszelki ruch, na który nie zezwala żadna reguła. Używaj trybu przejścia, gdy ta funkcja jest w wersji zapoznawczej, i skonfiguruj reguły przychodzące i wychodzące przed przejściem.

• Jeśli dostęp do sieci publicznej na serwerze logicznym jest ustawiony na Secured by Perimeter, tryb przejścia nie jest respektowany. Dublowanie stosuje reguły dostępu wychodzącego, aby zezwolić na publikowanie lub je blokować, niezależnie od trybu zgłaszanego przez perymetr.

Co się psuje i kiedy, zależy od kolejności, w jakiej konfigurujesz rzeczy:

W przeciwieństwie do większości operacji chronionych przez perymetr, mirroring wymaga zarządzanej tożsamości. Należy włączyć SAMI lub UAMI serwera logicznego i musi ona być tożsamością podstawową, zgodnie z wymaganiami bezpieczeństwa.

Konfiguruj reguły dostępu do dublowania

Mirroring wymaga dwóch reguł dostępu: reguły przychodzącej, która umożliwia usłudze Fabric dotarcie do serwera logicznego, oraz reguły wychodzącej, która umożliwia bazie danych publikowanie do usługi OneLake. Baza danych publikuje do OneLake i tylko do OneLake, więc jedna reguła wychodząca obejmuje replikację.

1. Połącz logiczny serwer ze strefą brzegową. Nowo powiązany serwer uruchamia się w trybie przejściowym.

2. Na profilu obwodowym powiązanym z logicznym serwerem dodaj regułę dostępu przychodzącego. Ustaw typ źródłowy na tagi serwisowe i wybierz DataFactory lub DataFactory.<region>, PowerBI lub PowerBI.<region> oraz PowerQueryOnline.

   Jeśli używasz tagów regionalnych, dodaj je dla regionu macierzystego usługi Fabric, regionu przepustowości, jeśli jest inny, oraz sparowanego regionu dla każdego z nich. Na przykład, jeśli twoim regionem macierzystym jest East US, a przepustowość jest w East US 2, dodaj regionalne tagi dla East US, East US 2, West US i Central US. Aby uzyskać więcej informacji, zobacz Tagi usługi.

3. Pobierz docelowy FQDN. Uruchom EXEC sp_help_change_feed; na źródłowej bazie danych i przeczytaj kolumnę destination_fqdn, która ma postać <item-id>.<workspace-id>.<onelake-domain>. Więcej informacji można znaleźć w sys.sp_help_change_feed.

   sp_help_change_feed raportuje konfigurację kanału informacyjnego zmian, więc zwraca miejsce docelowe dopiero po skonfigurowaniu dublowania. Jeśli konfigurujesz nowe repozytorium lustrzane, najpierw je utwórz, a potem wykonaj procedurę. Jeśli konfiguracja nie powiodła się z błędem 22651, weź nazwę FQDN z komunikatu o błędzie i spróbuj ponownie skonfigurować po dodaniu reguły ruchu wychodzącego.

4. W profilu granicy sieci skojarzonym z serwerem logicznym dodaj regułę dostępu wychodzącego. Ustaw typ docelowy na FQDN i użyj tej wartości.

5. Pozostawić strefę brzegową w trybie przejściowym, a następnie potwierdzić, czy replikacja jest aktualna w Monitor Fabric mirrored database replication. Przejrzyj logi diagnostyczne perymetru zabezpieczeń sieci, aby upewnić się, że nie ma nieoczekiwanych odmów.

6. Przełączaj perymetr na tryb wymuszony dopiero gdy replikacja jest aktualna, a logi są czyste.

To FQDN na poziomie przedmiotu jest najbardziej restrykcyjną opcją, więc wybierz ją. Aby objąć wszystkie dublowane bazy danych w jednym obszarze roboczym jedną regułą, użyj zamiast tego <workspace-id>.<onelake-domain>, który wskazuje obszar roboczy usługi Fabric odbierający dublowane dane. Nie używaj docelowego adresu z symbolem wieloznacznym, bo pozwala on na dostęp wychodzący do każdego punktu końcowego i omija skonfigurowany perymetr.

Ograniczenia i różnice w zachowaniach

• Dublowanie za perymetrem bezpieczeństwa sieciowego jest w wersji zapoznawczej. Używaj trybu przejścia podczas weryfikacji reguł dostępu i ograniczaj walidację do środowisk deweloperskich lub testowych naśladujących produkcję.
• W trybie wymuszonym zarówno zasady dostępu przychodzącego, jak i wychodzącego muszą być skonfigurowane w profilu obwodowym serwera logicznego, aby dublowanie działało. Tryb przejścia ich nie wymaga, ale konfiguruj je mimo wszystko, by przygotować się do trybu wymuszonego.
• Perimeter nie zmienia żadnych innych ograniczeń w bazach danych lustrzanych względem Azure SQL Database.

Błędy, gdy strefa blokuje dublowanie

Granica blokująca połączenie wychodzące do OneLake powoduje wystąpienie jednego z następujących błędów.

Symbole zastępcze są zastępowane nazwą logicznego serwera oraz, w przypadku błędu 22651, ocenioną docelową nazwą FQDN. Jeśli skonfigurujesz dublowanie, gdy granica je blokuje, błąd wraca do osoby uruchamiającej konfigurację. Jeśli mirroring już replikuje, zadania snapshot, capture i publish raportują to zamiast tego, więc sprawdź sys.dm_change_feed_errors.

W przypadku błędu 22651 porównaj FQDN w wiadomości z regułami wychodzącymi w profilu brzegowym. Ta wartość jest dokładnie taka, jaką ocenił perimeter, więc to najszybszy sposób, by potwierdzić, czy dodana przez ciebie reguła się zgadza. W przypadku błędu 22652 należy albo powiązać serwer logiczny z perymetrem, albo zmienić dostęp do sieci publicznej tak, aby nie miał wartości Secured by Perimeter.

Perimetr może również uniemożliwić połączenie przychodzące Fabric, co powoduje, że konfiguracja mirroringu lub zmiana konfiguracji nie udaje się nawet wtedy, gdy reguła wychodząca jest poprawna. W takim przypadku połączenie z logicznym serwerem z portalu Fabric kończy się niepowodzeniem i jest wyświetlany błąd zawierający Login failed because the network security perimeter denied inbound access. Dodaj regułę dostępu przychodzącego opisaną w Configure access rules for mirroring.

Funkcje ochrony danych

Filtry kolumnowe i filtry wierszy oparte na predykatach można przypisywać do ról i użytkowników w usłudze Microsoft Fabric.

• Zabezpieczenia na poziomie wierszy w hurtowni danych Fabric
• Zabezpieczenia na poziomie kolumn w hurtowni danych Fabric

Możesz również maskować poufne dane od osób niebędących administratorami przy użyciu dynamicznego maskowania danych:

• Dynamiczne maskowanie danych w Fabric data warehousing

Treści powiązane

• Co to jest odwzorowywanie w architekturze Fabric?
• Szczegółowe uprawnienia SQL w Fabric Data Warehouse
• Obwód zabezpieczeń sieciowych dla usługi Azure SQL Database (wersja zapoznawcza)