Vylepšenie: Podpora riadenej identity Microsoft Entra pre operácie zálohovania a obnovenia databázy a pre EKM s AKV v SQL Server na virtuálnych počítačoch Azure

Príznaky

Inštancia SQL Server môže prestať reagovať, ak spustíte operáciu zálohovania alebo obnovenia databázy na Azure ukladacom priestore alebo použijete Extensible Key Management (EKM) s Azure Key Vault (AKV) s použitím poverení na úrovni servera so spravovanými identitami. Hoci táto operácia nie je podporovaná pre SQL Server 2022, aktuálna syntax T-SQL to umožňuje.

Riešenie

Tento problém je opravený v nasledujúcej kumulatívnej aktualizácii pre SQL Server vo virtuálnych počítačoch Azure:

Kumulatívna aktualizácia 17 pre SQL Server 2022

V SQL Server 2022 CU17 a novších verziách Microsoft Entra riadené overovanie identity pomocou SQL Server v Azure Iba virtuálne počítače so systémom Windows podporujú poverenia na úrovni servera pre operácie zálohovania a obnovenia databáz do úložiska Azure a pre EKM s AKV.

Ak chcete povoliť podporu spravovanej identity pre operácie zálohovania alebo obnovenia databázy pre SQL Server vo virtuálnych počítačoch so systémom Windows v Azure, je potrebné vykonať tieto kroky:

  1. Priraďte primárnu spravovanú identitu pre SQL Server vo virtuálnych počítačoch s Windowsom v Azure.
  2. Vytvorte alebo používajte ukladací priestor Azure s kontajnerom objektu BLOB.
  3. Priraďte roly riadenia prístupu na základe roly (RBAC) pre primárnu spravovanú identitu a získajte prístup k ukladaciemu priestoru Azure.
  4. Spustite príkaz CREATE CREDENTIAL T-SQL s klauzulou WITH IDENTITY = 'Managed Identity' a použite ako názov poverenia URL adresu ukladacieho priestoru Azure.
  5. Spustite príkaz BACKUP DATABASE T-SQL alebo RESTORE DATABASE použite URL adresu úložiska Azure.
-- Create credential with managed identity and credential name set to
-- URL= https://<storageaccountname>.blob.core.windows.net/<container>   
CREATE CREDENTIAL [https://<storageaccountname>.blob.core.windows.net/<container>]  
 WITH IDENTITY = 'Managed Identity'  
-- Backup the database mydb to URL 
BACKUP DATABASE mydb 
 TO URL = 'https://<storageaccount>.blob.core.windows.net/<container>/mydb.bak'  
-- Restore the database mydb1 from URL
RESTORE DATABASE mydb1  
 FROM URL ='https://<storageaccount>.blob.core.windows.net/<container>/mydb.bak' 

Ďalšie informácie nájdete v téme Zálohovanie a obnovenie URL pomocou spravovaných identít.

Ak chcete povoliť podporu spravovanej identity pre EKM s AKV pre SQL Server vo virtuálnych počítačoch so systémom Windows v Azure, je potrebné vykonať tieto kroky:

  1. Priraďte primárnu spravovanú identitu pre SQL Server vo virtuálnych počítačoch s Windowsom v Azure.
  2. Vytvorte alebo použite trezor kľúčov.
  3. Priraďte roly riadenia prístupu na základe roly (RBAC) pre primárnu spravovanú identitu a získajte prístup k AKV.
  4. Stiahnite si najnovší SQL Server Connector pre Microsoft Azure Key Vault (verzia 1.0.5.0 (november 2024) alebo novšia verzia). Na podporu spravovanej identity sa vyžaduje najnovšia verzia konektora SQL Server Connector.
  5. Spustite príkaz CREATE CREDENTIAL T-SQL s klauzulou WITH IDENTITY = 'Managed Identity' pomocou cesty AKV ako názvu poverenia.
-- Create credential with managed identity and the credential name for the AKV called 'contoso'
-- with the AKV path = 'contoso.vault.azure.net'  
CREATE CREDENTIAL [contoso.vault.azure.net]  
 WITH IDENTITY = 'Managed Identity'  
 FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM_Prov
  1. Spustite zvyšok nastavenia T-SQL EKM s funkciou AKV.

Ďalšie informácie nájdete v téme Podpora riadených identít pre rozšíriteľnú správu kľúčov pomocou Azure Key Vault.

Poznámka

  • Príznak sledovania 4675 je predvolene vypnutý, umožňuje riešenie problémov s povereniami na úrovni servera a dá sa použiť na potvrdenie primárnej spravovanej identity, ktorá je priradená k inštancii SQL Server.
  • Podpora spravovaných identít neprináša žiadne zmeny syntaxe T-SQL ani systémového zobrazenia, pretože táto funkcia už existuje pre spravovanú inštanciu Azure SQL.
  • Spravované identity nie sú podporované pre poverenia na úrovni servera na lokálnom SQL Server. Pri náhodnom použití so zálohovaním alebo obnovením do úložiska Azure alebo EKM s AKV sa zobrazí chybové hlásenie Primárna spravovaná identita nie je nastavená pre server. a postúpia sa do verejnej dokumentácie.

Informácie o kumulatívnych aktualizáciách pre SQL Server

Každá nová kumulatívna aktualizácia pre SQL Server obsahuje všetky rýchle opravy a opravy zabezpečenia, ktoré boli súčasťou predchádzajúcej zostavy. Odporúčame vám nainštalovať najnovšiu zostavu pre vašu verziu SQL Server:

Najnovšia kumulatívna aktualizácia pre SQL Server 2022

Stav

Spoločnosť Microsoft potvrdila, že ide o problém v produktoch spoločnosti Microsoft, ktoré sú uvedené v časti Vzťahuje sa na.

Odkazy