Fejlesztés: A Microsoft Entra felügyelt identitásának támogatása az adatbázis-műveletek biztonsági mentéséhez és visszaállításához, valamint az EKM-hez AKV-val az SQL Server Azure virtuális gépeken

Tünetek

Előfordulhat, hogy a SQL Server példány nem válaszol, ha biztonsági mentési vagy visszaállítási adatbázis-műveletet futtat a Azure Storage-ban, vagy ha bővíthető kulcskezelést (EKM) használ Azure Key Vault (AKV) kiszolgálószintű hitelesítő adatokkal felügyelt identitásokkal. Bár ez a művelet nem támogatott a SQL Server 2022-ben, a jelenlegi T-SQL szintaxis lehetővé teszi.

Megoldás

Ezt a problémát az Azure virtuális gépeken (VM-ek) futó SQL Server következő összegző frissítésében javítottuk:

17-es összegző frissítés az SQL Server 2022-hez

A SQL Server 2022 CU17-ben és újabb verziókban a Microsoft Entra felügyelt identitáshitelesítése SQL Server kizárólag Azure Windows rendszerű virtuális gépeken támogatja a kiszolgálószintű hitelesítő adatokat az adatbázis biztonsági mentéséhez és visszaállításához az Azure Storage-ba, valamint az EKM-be AKV-vel.

Az Azure Windows rendszerű virtuális gépeken futó SQL Server adatbázis-műveletek felügyelt identitás támogatásának engedélyezéséhez a következő lépések szükségesek:

  1. Rendelje hozzá az elsődleges felügyelt identitást a SQL Server az Azure Windows rendszerű virtuális gépeken.
  2. Azure Storage létrehozása vagy használata blobtárolóval.
  3. Szerepköralapú hozzáférés-vezérlési (RBAC) szerepkörök hozzárendelése az elsődleges felügyelt identitáshoz az Azure Storage eléréséhez.
  4. Futtassa a T-SQL parancsot CREATE CREDENTIAL a WITH IDENTITY = 'Managed Identity' záradékkal, amely az Azure Storage URL-címét használja hitelesítőadat-névként.
  5. Futtassa a T-SQL-parancsot BACKUP DATABASE vagy RESTORE DATABASE az Azure Storage URL-címét.
-- Create credential with managed identity and credential name set to
-- URL= https://<storageaccountname>.blob.core.windows.net/<container>   
CREATE CREDENTIAL [https://<storageaccountname>.blob.core.windows.net/<container>]  
 WITH IDENTITY = 'Managed Identity'  
-- Backup the database mydb to URL 
BACKUP DATABASE mydb 
 TO URL = 'https://<storageaccount>.blob.core.windows.net/<container>/mydb.bak'  
-- Restore the database mydb1 from URL
RESTORE DATABASE mydb1  
 FROM URL ='https://<storageaccount>.blob.core.windows.net/<container>/mydb.bak' 

További információ: Biztonsági másolat készítése és visszaállítása az URL-címre felügyelt identitások használatával.

Az EKM felügyelt identitás támogatásának engedélyezéséhez az AKV for SQL Server Azure Windows rendszerű virtuális gépeken a következő lépésekre van szükség:

  1. Rendelje hozzá az elsődleges felügyelt identitást a SQL Server az Azure Windows rendszerű virtuális gépeken.
  2. Kulcstartó létrehozása vagy használata.
  3. Szerepköralapú hozzáférés-vezérlési (RBAC) szerepkörök hozzárendelése az elsődleges felügyelt identitáshoz az AKV eléréséhez.
  4. Töltse le a legújabb SQL Server Connector for Microsoft Azure Key Vault (az 1.0.5.0 (2024. november) vagy újabb verziókat). A felügyelt identitás támogatásához az SQL Server-összekötő legújabb verziója szükséges.
  5. Futtassa a T-SQL parancsot CREATE CREDENTIAL a záradékkal, WITH IDENTITY = 'Managed Identity' amely az AKV elérési utat használja hitelesítőadat-névként.
-- Create credential with managed identity and the credential name for the AKV called 'contoso'
-- with the AKV path = 'contoso.vault.azure.net'  
CREATE CREDENTIAL [contoso.vault.azure.net]  
 WITH IDENTITY = 'Managed Identity'  
 FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM_Prov
  1. Futtassa az EKM T-SQL beállításának többi részét az AKV-val.

További információ: Felügyelt identitás támogatása a bővíthető kulcskezeléshez a Azure Key Vault.

Megjegyzés

  • Alapértelmezés szerint letiltott 4675-ös nyomkövetési jelző lehetővé teszi a kiszolgálószintű hitelesítő adatok hibaelhárítását, és a SQL Server példányhoz rendelt elsődleges felügyelt identitás megerősítésére használható.
  • A felügyelt identitás támogatása nem vezet be T-SQL szintaxis- vagy rendszernézet-módosításokat, mivel ez a funkció már létezik az Azure SQL Managed Instance.
  • A felügyelt identitások nem támogatottak a kiszolgálószintű hitelesítő adatokhoz a helyszíni SQL Server. Ha véletlenül az Azure Storage-ba vagy az AKV-vel rendelkező EKM-be való biztonsági mentéssel vagy visszaállítással használja, a következő hibaüzenet jelenik meg: "Nincs beállítva az elsődleges felügyelt identitás a kiszolgálóhoz..." és a nyilvános dokumentációba kerülnek.

Az SQL Server összegző frissítéseinek ismertetése

Az SQL Server minden új összegző frissítése tartalmazza az előző buildben szereplő összes gyorsjavítást és biztonsági javítást. Javasoljuk, hogy telepítse az SQL Server-verzió legújabb buildjét:

Az SQL Server 2022 legújabb összegző frissítése

Állapot

A Microsoft megerősítette, hogy ez egy olyan probléma a Microsoft-termékekben, amely az „Érintett szolgáltatás“ című szakaszban van felsorolva.

Hivatkozások