Îmbunătățire: suport Microsoft Entra pentru identitate gestionată pentru operațiunile de backup și restaurare a bazelor de date și pentru EKM cu AKV în SQL Server pe mașini virtuale Azure

Simptome

Este posibil ca instanța SQL Server să nu mai răspundă dacă rulați o operațiune de backup sau de restaurare a bazei de date în Azure Storage sau utilizați Extensible Key Management (EKM) cu Azure Key Vault (AKV) utilizând acreditări la nivel de server cu identități gestionate. Deși această operațiune nu este acceptată pentru SQL Server 2022, sintaxa T-SQL actuală permite acest lucru.

Rezolvare

Această problemă este remediată în următoarea actualizare cumulativă pentru SQL Server pe mașini virtuale Azure (VM):

Actualizarea cumulativă 17 pentru SQL Server 2022

În SQL Server 2022 CU17 și versiunile mai recente, autentificarea identității gestionate de Microsoft Entra cu SQL Server pe mașini virtuale Azure Windows acceptă acreditările la nivel de server pentru operațiunile de backup și restaurare ale bazei de date în Azure Storage și pentru EKM cu AKV.

Pentru a activa asistența pentru identitatea gestionată pentru operațiunile de backup sau restaurare a bazei de date pentru SQL Server pe mașini virtuale Windows Azure, sunt necesari următorii pași:

  1. Atribuiți identitatea gestionată principală pentru SQL Server pe mașini virtuale Azure Windows.
  2. Creați sau utilizați Stocare Azure cu un container de blob.
  3. Atribuiți roluri de control al accesului pe bază de rol (RBAC) pentru identitatea gestionată principală pentru a accesa spațiul de stocare Azure.
  4. Rulați comanda CREATE CREDENTIAL T-SQL cu WITH IDENTITY = 'Managed Identity' clauza, utilizând adresa URL Stocare Azure ca nume de acreditare.
  5. Rulați comanda BACKUP DATABASE T-SQL sau RESTORE DATABASE utilizând URL-ul Stocare Azure.
-- Create credential with managed identity and credential name set to
-- URL= https://<storageaccountname>.blob.core.windows.net/<container>   
CREATE CREDENTIAL [https://<storageaccountname>.blob.core.windows.net/<container>]  
 WITH IDENTITY = 'Managed Identity'  
-- Backup the database mydb to URL 
BACKUP DATABASE mydb 
 TO URL = 'https://<storageaccount>.blob.core.windows.net/<container>/mydb.bak'  
-- Restore the database mydb1 from URL
RESTORE DATABASE mydb1  
 FROM URL ='https://<storageaccount>.blob.core.windows.net/<container>/mydb.bak' 

Pentru mai multe informații, consultați Backup și restaurare la URL utilizând identități gestionate.

Pentru a activa suportul pentru identitatea gestionată pentru EKM cu AKV pentru SQL Server pe mașini virtuale Windows Azure, sunt necesari următorii pași:

  1. Atribuiți identitatea gestionată principală pentru SQL Server pe mașini virtuale Azure Windows.
  2. Creați sau utilizați un Key Vault.
  3. Atribuiți roluri de control al accesului pe bază de rol (RBAC) pentru identitatea gestionată principală pentru a accesa AKV.
  4. Descărcați cel mai recent conector SQL Server pentru Microsoft Azure Key Vault (1.0.5.0 (noiembrie 2024) sau versiuni mai recente). Cea mai recentă versiune de conector SQL Server este necesară pentru a accepta identitatea gestionată.
  5. Rulați comanda CREATE CREDENTIAL T-SQL cu clauza WITH IDENTITY = 'Managed Identity' utilizând calea AKV ca nume de acreditare.
-- Create credential with managed identity and the credential name for the AKV called 'contoso'
-- with the AKV path = 'contoso.vault.azure.net'  
CREATE CREDENTIAL [contoso.vault.azure.net]  
 WITH IDENTITY = 'Managed Identity'  
 FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM_Prov
  1. Rulați restul instalării T-SQL a EKM cu AKV.

Pentru mai multe informații, consultați Suportul pentru identitatea gestionată pentru gestionarea extensibilă a cheilor cu Azure Key Vault.

Notă

  • Semnalizarea de urmărire 4675, dezactivată în mod implicit, permite depanarea acreditărilor la nivel de server și poate fi utilizată pentru a confirma identitatea gestionată principală care este atribuită instanței SQL Server.
  • Suportul pentru identitatea gestionată nu introduce modificări ale sintaxei T-SQL sau ale vizualizării sistemului, deoarece această funcționalitate există deja pentru Azure SQL Managed Instance.
  • Identitățile gestionate nu sunt acceptate pentru acreditările la nivel de server din SQL Server local. Atunci când este utilizat din greșeală cu backup sau restaurare la Azure Storage sau EKM cu AKV, vedeți mesajul de eroare "Identitatea gestionată principală nu este setată pentru server..." și sunt trimise la documentația publică.

Despre actualizările cumulative pentru SQL Server

Fiecare actualizare cumulativă nouă pentru SQL Server conține toate remedierile rapide și remedierile de securitate din compilarea anterioară. Vă recomandăm să instalați cea mai recentă compilare pentru versiunea dvs. de SQL Server:

Cea mai recentă actualizare cumulativă pentru SQL Server 2022

Stare

Microsoft a confirmat că aceasta este o problemă în produsele Microsoft care sunt listate în secțiunea „Se aplică la”.

Referințe