Perímetro de segurança de rede para a Base de Dados SQL do Azure (pré-visualização)

Aplica-se a:Banco de Dados SQL do Azure

O perímetro de segurança de rede (pré-visualização) assegura tanto o tráfego de rede de entrada como de saída entre o Base de Dados SQL do Azure e outros recursos de plataforma como serviço (PaaS), como o Armazenamento do Azure e o Azure Key Vault. Bloqueia tentativas de comunicação com recursos do Azure fora do perímetro.

Note

Como funcionalidade de pré-visualização, a tecnologia apresentada neste artigo está sujeita aos Termos de Utilização Suplementares para Pré-visualizações do Microsoft Azure.

Introdução

  1. No portal do Azure, procure Perímetro de Segurança de Rede na lista de recursos e selecione Criar.

    Captura de ecrã a mostrar a criação de um perímetro de segurança de rede no portal do Azure.

  2. Forneça um Nome e uma Região e escolha a assinatura.

  3. Na seção Recursos , selecione o botão Adicionar e navegue até o Banco de Dados SQL que você deseja associar ao perímetro.

  4. Adicione uma regra de acesso de entrada. O tipo de origem pode ser um endereço IP, uma assinatura ou outros perímetros de segurança de rede.

  5. Adicionar uma regra de acesso de saída para permitir que recursos dentro do perímetro se liguem a recursos fora do perímetro.

Se já tem uma Base de Dados SQL do Azure e pretende adicionar um perímetro de segurança de rede, use os seguintes passos:

  1. No portal do Azure, procure o Perímetro de Segurança de Rede existente.

  2. Selecione Recursos associados no menu Configurações .

  3. Selecione o botão Adicionar e selecione Associar recursos a um perfil existente.

    Captura de ecrã dos recursos associados para o perímetro de segurança de rede no portal do Azure.

  4. Selecione o seu Perfil na lista suspensa e selecione Adicionar.

    Captura de ecrã a mostrar a adição de um recurso associado para perímetro de segurança de rede no portal do Azure.

  5. Procure o seu recurso de base de dados SQL, selecione o recurso necessário e depois selecione Associado.

Use uma base de dados SQL com um perímetro de segurança de rede

Por defeito, um perímetro de segurança de rede utiliza o modo de transição, anteriormente chamado de modo de aprendizagem, o qual pode utilizar para registar todo o tráfego de/para a Base de Dados SQL. Pode registar o tráfego de rede num espaço de trabalho Log Analytics ou numa conta Armazenamento do Azure usando o registo de diagnóstico para o Azure Network Security Perimeter. Quando estiveres pronto, muda o perímetro para modo Forçado . No modo Forçado , o acesso negado devolve o seguinte erro:

Error 42118
Login failed because the network security perimeter denied inbound access.

Suporte de funcionalidades

Nem todas as funcionalidades do Base de Dados SQL do Azure interagem da mesma forma com um perímetro de segurança de rede. Algumas funcionalidades movem dados entre servidores lógicos, outras estabelecem ligações de saída a outros serviços do Azure, e outras nem sequer funcionam no interior de um perímetro. A tabela seguinte apresenta as características documentadas até agora. Esta lista cresce à medida que mais funcionalidades completam a validação do perímetro. Selecione uma funcionalidade para saber mais sobre como funciona com um perímetro de segurança de rede, incluindo passos de configuração e quaisquer limitações.

Feature Suporte perimetral O que precisa de saber
Replicação geográfica ativa Supported No modo forçado, cada servidor lógico num perímetro precisa tanto de uma regra de entrada como de uma regra de saída para cada um dos outros servidores do conjunto de geo-replicação que não estejam no seu perímetro. As regras correm em ambas as direções porque um geo-failover inverte a direção do movimento dos dados. A replicação numa ligação estabelecida continua a correr mesmo que mais tarde alterar as regras para a proibir.
Alterar o streaming de eventos Supported A base de dados estabelece uma ligação de saída ao Hubs de Eventos do Azure ou ao Fabric Eventstream. No modo forçado, adicione uma regra de saída que especifique o FQDN de destino. Sem essa regra, não podes criar um grupo de streams, e um stream existente deixa de publicar e mantém o registo de transações aberto.
cópia do banco de dados Supported No modo forçado, um servidor de origem num perímetro precisa de uma regra de saída, e um servidor-alvo num perímetro precisa de uma regra de entrada. Nenhum dos dois precisa de uma regra se ambos os servidores estiverem no mesmo perímetro ou se a cópia permanecer num servidor. Quando um servidor lógico pertence a um perímetro, Transact-SQL não é uma forma suportada de copiar para outro servidor lógico.
Trabalhos elásticos Supported O servidor lógico do job agent precisa de uma regra de saída para cada servidor alvo. O perímetro é verificado em tempo de execução, pelo que um trabalho pode ser criado com sucesso e depois falhar durante a execução.
Consulta elástica Suportado dentro de um único perímetro A base de dados que executa a consulta e a base de dados remota devem estar no mesmo perímetro. A consulta elástica não necessita de configuração perimetral própria.
Extended Events (Eventos Expandidos) Supported O event_file destino e as funções que leem dados de eventos ligam-se de saída ao Armazenamento do Azure. No modo imposto, utilize uma identidade gerida ou adicione uma regra FQDN de saída para a conta de armazenamento ao utilizar um token SAS.
Espelhamento do Fabric Supported O Fabric estabelece uma ligação de entrada ao servidor lógico para configurar e monitorizar o espelhamento, e a base de dados estabelece uma ligação de saída ao OneLake para publicar dados. Em modo forçado, adicione uma regra de entrada para as tags de serviço DataFactory, PowerBI e PowerQueryOnline, e uma regra de saída que nomeie o FQDN de destino do OneLake. O Fabric não tem um perímetro próprio, por isso configuras todas as regras do lado do Base de Dados SQL do Azure.
Restauro de retenção a longo prazo Supported No modo forçado, um servidor de origem num perímetro precisa de uma regra de saída, e um servidor-alvo num perímetro precisa de uma regra de entrada. Nenhum deles precisa de regra se ambos estiverem no mesmo âmbito. Depois de o servidor de origem ser eliminado, apenas o lado alvo pode ser validado.
Sincronização de Dados SQL Não é suportado por definição O Sincronização de Dados corre como um serviço proxy em vez de um recurso Azure, por isso não tem FQDN nem endereço IP para escrever regras de perímetro. Um perímetro bloqueia os caminhos de rede que o Sincronização de Dados requer tanto em modo transição como em modo forçado.

Limitações

  • Um servidor lógico no Banco de Dados SQL do Azure não pode ser associado a um perímetro de segurança de rede se contiver um ou mais pools SQL dedicados (anteriormente SQL DW).
  • O suporte ao perímetro de segurança de rede para o Base de Dados SQL do Azure está disponível nas regiões de cloud pública do Azure. Não está disponível no Azure Government. Para consultar a lista atual de serviços integrados, veja Recursos de ligação privada integrados.

Conteúdo relacionado

  • Última atualização a