Operace údržby poskytovatele zdrojů SQL
Důležitý
Od buildu 2108 služby Azure Stack Hub se poskytovatelé prostředků SQL a MySQL nabízejí předplatným, kterým byl udělen přístup. Pokud chcete tuto funkci začít používat nebo pokud potřebujete upgradovat z předchozí verze, otevřete případ podpory a naši technici podpory vás provedou procesem nasazení nebo upgradu.
Poskytovatel prostředků SQL běží na uzamčeném virtuálním počítači. Pokud chcete povolit operace údržby, musíte aktualizovat zabezpečení virtuálního počítače. K tomu použijte princip nejnižších oprávnění: použijte PowerShell Just Enough Administration (JEA) koncový bod DBAdapterMaintenance. Instalační balíček poskytovatele prostředků obsahuje skript pro tuto akci.
Opravy a aktualizace
Poskytovatel prostředků SQL není obsluhován jako součást služby Azure Stack Hub, protože se jedná o komponentu doplňku. Microsoft poskytuje aktualizace poskytovatele prostředků SQL podle potřeby.
Pro SQL RP V1, při vydání aktualizovaného poskytovatele prostředků SQL Serveru se poskytne skript pro aplikaci aktualizace. Tento skript vytvoří nový virtuální počítač poskytovatele prostředků a migruje stav starého virtuálního počítače zprostředkovatele na nový virtuální počítač.
Poskytovatelé prostředků pro SQL RP V2 se aktualizují pomocí stejné funkce pro aktualizace, která se používá k aplikování aktualizací pro Azure Stack Hub.
Další informace najdete v tématu Aktualizace poskytovatele prostředků SQL.
Aktualizace virtuálního počítače zprostředkovatele
SQL RP V1 běží na virtuálním počítači uživatele , musíte použít požadované opravy a aktualizace po jejich vydání. Balíček služby Windows Update můžete nainstalovat během instalace poskytovatele zdrojů nebo jeho aktualizace.
SQL RP V2 běží na spravovaném Windows Serveru, který je skrytý. Virtuální počítač poskytovatele prostředků nemusíte opravovat ani aktualizovat. Bude aktualizováno automaticky, jakmile aktualizujete poskytovatele prostředků.
Aktualizace definic v programu Windows Defender virtuálního počítače
Tyto pokyny platí jenom pro SQL RP V1 běžící v integrovaných systémech služby Azure Stack Hub.
Aktualizace definic v programu Windows Defender:
Stáhněte si aktualizaci definic v programu Windows Defender z aktualizací Security Intelligence proProgramu Windows Defender .
Na stránce aktualizace definic se posuňte dolů na "Ruční stažení aktualizace". Stáhněte si 64bitový soubor "Antivirová ochrana v programu Windows Defender pro Windows 10 a Windows 8.1".
Můžete také použít tento přímý odkaz ke stažení nebo spuštění souboru fpam-fe.exe.
Vytvořte relaci PowerShellu pro koncový bod údržby virtuálního počítače s adaptérem poskytovatele prostředků SQL.
Zkopírujte soubor aktualizace definic do virtuálního počítače pomocí relace koncového bodu údržby.
Při údržbové relaci PowerShellu spusťte příkaz Update-DBAdapterWindowsDefenderDefinitions.
Po instalaci definic doporučujeme odstranit soubor aktualizace definic pomocí příkazu Remove-ItemOnUserDrive.
příklad skriptu PowerShellu pro aktualizaci definic
Pokud chcete aktualizovat definice Defenderu, můžete upravit a spustit následující skript. Nahraďte hodnoty ve skriptu hodnotami z vašeho prostředí.
# Set credentials for local admin on the resource provider VM.
$vmLocalAdminPass = ConvertTo-SecureString '<local admin user password>' -AsPlainText -Force
$vmLocalAdminUser = "<local admin user name>"
$vmLocalAdminCreds = New-Object System.Management.Automation.PSCredential `
($vmLocalAdminUser, $vmLocalAdminPass)
# Provide the public IP address for the adapter VM.
$databaseRPMachine = "<RP VM IP address>"
$localPathToDefenderUpdate = "C:\DefenderUpdates\mpam-fe.exe"
# Download the Windows Defender update definitions file from https://www.microsoft.com/wdsi/definitions.
Invoke-WebRequest -Uri 'https://go.microsoft.com/fwlink/?LinkID=121721&arch=x64' `
-Outfile $localPathToDefenderUpdate
# Create a session to the maintenance endpoint.
$session = New-PSSession -ComputerName $databaseRPMachine `
-Credential $vmLocalAdminCreds -ConfigurationName DBAdapterMaintenance `
-SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
# Copy the defender update file to the adapter VM.
Copy-Item -ToSession $session -Path $localPathToDefenderUpdate `
-Destination "User:\"
# Install the update definitions.
Invoke-Command -Session $session -ScriptBlock `
{Update-AzSDBAdapterWindowsDefenderDefinition -DefinitionsUpdatePackageFile "User:\mpam-fe.exe"}
# Cleanup the definitions package file and session.
Invoke-Command -Session $session -ScriptBlock `
{Remove-AzSItemOnUserDrive -ItemPath "User:\mpam-fe.exe"}
$session | Remove-PSSession
Konfigurace rozšíření Azure Diagnostics pro poskytovatele prostředků SQL
Tyto pokyny platí jenom pro SQL RP V1 běžící v integrovaných systémech služby Azure Stack Hub.
Rozšíření Azure Diagnostics je ve výchozím nastavení nainstalované na virtuálním počítači s adaptérem poskytovatele prostředků SQL. Následující kroky ukazují, jak přizpůsobit rozšíření pro shromažďování protokolů provozních událostí poskytovatele prostředků SQL a protokolů služby IIS pro účely řešení potíží a auditování.
Přihlaste se k portálu pro správu služby Azure Stack Hub.
V podokně vlevo vyberte Virtuální počítače, vyhledejte virtuální počítač adaptéru poskytovatele prostředků SQL a vyberte ho.
V nastavení diagnostiky virtuálního počítače přejděte na kartu Protokoly a zvolte Vlastní a upravte shromažďované protokoly událostí.
Přidejte Microsoft-AzureStack-DatabaseAdapter/Operational!* pro shromažďování protokolů provozních událostí poskytovatele prostředků SQL.
Pokud chcete povolit shromažďování protokolů služby IIS, zkontrolujte protokoly služby IIS a protokoly neúspěšných požadavků.
Nakonec vyberte Uložit a uložte všechna nastavení diagnostiky.
Jakmile jsou protokoly událostí a shromažďování protokolů služby IIS nakonfigurované pro poskytovatele prostředků SQL, protokoly najdete v systémovém účtu úložiště s názvem sqladapterdiagaccount.
Další informace o rozšíření Azure Diagnostics najdete v tématu Co je rozšíření Azure Diagnostics.
Aktualizace přihlašovacích údajů SQL
Zodpovídáte za vytváření a správu účtů správce systému na serverech SQL. Poskytovatel prostředků potřebuje účet s těmito oprávněními ke správě databází pro uživatele, ale nepotřebuje přístup k datům uživatelů. Pokud potřebujete aktualizovat hesla správce systému na sql serverech, můžete změnit uložené heslo pomocí rozhraní správce poskytovatele prostředků. Tato hesla se ukládají ve službě Key Vault ve vaší instanci služby Azure Stack Hub.
Pokud chcete nastavení upravit, vyberte Procházet>PROSTŘEDKY pro správu>SQL hosting servery>SQL přihlášení a vyberte uživatelské jméno. Změna musí být provedena nejprve na instanci SQL (a v případě potřeby na všech replikách). V části Nastavenívyberte Heslo.
Rotace tajností
Tyto pokyny platí jenom pro SQL RP V1 běžící v integrovaných systémech služby Azure Stack Hub.
Při použití poskytovatelů prostředků SQL a MySQL s integrovanými systémy Azure Stack Hub je operátor služby Azure Stack Hub zodpovědný za obměnu následujících tajných kódů infrastruktury poskytovatele prostředků, aby se zajistilo, že nevyprší jejich platnost:
- Externí certifikát SSL poskytnutý během nasazení.
- Heslo pro účet místního správce VM poskytnuté poskytovatelem prostředků během nasazení.
- Heslo uživatele dbadapterdiag (Resource Provider Diagnostic).
- (verze >= 1.1.47.0) Certifikát služby Key Vault vygenerovaný během nasazování
Příklady PowerShellu pro obměně tajných kódů
Důležitý
Úspěšná obměně tajných kódů vyžaduje odebrání všech existujících verzí modulů PowerShellu služby Azure Stack Hubpřed spuštěním následujícího skriptu.
Změnit všechny tajné kódy najednou.
.\SecretRotationSQLProvider.ps1 `
-Privilegedendpoint $Privilegedendpoint `
-CloudAdminCredential $cloudCreds `
-AzCredential $adminCreds `
-DiagnosticsUserPassword $passwd `
-DependencyFilesLocalPath $certPath `
-DefaultSSLCertificatePassword $certPasswd `
-VMLocalCredential $localCreds `
-KeyVaultPfxPassword $keyvaultCertPasswd
Změňte heslo diagnostického uživatele.
.\SecretRotationSQLProvider.ps1 `
-Privilegedendpoint $Privilegedendpoint `
-CloudAdminCredential $cloudCreds `
-AzCredential $adminCreds `
-DiagnosticsUserPassword $passwd
Změňte heslo účtu místního správce virtuálního počítače.
.\SecretRotationSQLProvider.ps1 `
-Privilegedendpoint $Privilegedendpoint `
-CloudAdminCredential $cloudCreds `
-AzCredential $adminCreds `
-VMLocalCredential $localCreds
Obnovení certifikátu SSL
.\SecretRotationSQLProvider.ps1 `
-Privilegedendpoint $Privilegedendpoint `
-CloudAdminCredential $cloudCreds `
-AzCredential $adminCreds `
-DependencyFilesLocalPath $certPath `
-DefaultSSLCertificatePassword $certPasswd
otočení certifikátu služby Key Vault
.\SecretRotationSQLProvider.ps1 `
-Privilegedendpoint $Privilegedendpoint `
-CloudAdminCredential $cloudCreds `
-AzCredential $adminCreds `
-KeyVaultPfxPassword $keyvaultCertPasswd
parametry SecretRotationSQLProvider.ps1
| Parametr | Popis | Komentář |
|---|---|---|
| AzureEnvironment | Prostředí Azure účtu správce služby používaného k nasazení služby Azure Stack Hub. Vyžaduje se pouze pro nasazení Microsoft Entra. Podporované názvy prostředí jsou Azure Cloud, Azure US Governmentnebo, pokud používáte čínské Microsoft Entra ID, Azure China Cloud. | Volitelný |
| AzCredential | Přihlašovací údaje účtu správce služby Azure Stack Hub Skript selže, pokud účet, který používáte s AzCredential, vyžaduje vícefaktorové ověřování (MFA). | Povinný |
| CloudAdminCredential | Přihlašovací údaje účtu domény správce cloudu služby Azure Stack Hub | Povinný |
| PrivilegedEndpoint | Privilegovaný koncový bod pro přístup k Get-AzureStackStampInformation. | Povinný |
| DiagnostikaUživatelskéHeslo | Diagnostika hesla uživatelského účtu | Volitelný |
| VMLocalCredential | Účet místního správce na virtuálním počítači MySQLAdapter | Volitelný |
| DefaultSSLCertificatePassword | Výchozí heslo certifikátu SSL (*.pfx). | Volitelný |
| DependencyFilesLocalPath | Místní cesta k souborům závislostí. | Volitelný |
| KeyVaultPfxPassword | Heslo použité k vygenerování certifikátu služby Key Vault pro adaptér databáze. | Volitelný |
Tyto pokyny platí jenom pro SQL RP V2 spuštěné v integrovaných systémech služby Azure Stack Hub.
Poznámka
Obměna tajných kódů pro zprostředkovatele prostředků s přidanou hodnotou (RPS) se v současné době podporuje jenom prostřednictvím PowerShellu.
Podobně jako infrastruktura služby Azure Stack Hub používají poskytovatelé prostředků s přidanou hodnotou interní i externí tajné kódy. Jako operátor zodpovídáte za:
- Poskytuje aktualizované externí tajné kódy, například nový certifikát TLS používaný k zabezpečení koncových bodů poskytovatele prostředků.
- Pravidelná správa rotace tajných kódů poskytovatele zdrojů.
Když se blíží vypršení platnosti tajných kódů, na portálu pro správu se vygenerují následující výstrahy. Dokončení obměně tajných kódů vyřeší tato upozornění:
- Čekání na vypršení platnosti interního certifikátu
- Čekání na vypršení platnosti externího certifikátu
Požadavky
Při přípravě na proces obměně:
Pokud jste to ještě neudělali, před pokračováním nainstalujte modul Az PowerShellu pro Azure Stack Hub. Pro rotaci tajných klíčů v Azure Stack Hub se vyžaduje verze 2.0.2-preview nebo novější. Další informace najdete v tématu Migrace z AzureRM na Az Azure PowerShellu ve službě Azure Stack Hub.
Nainstalujte moduly Azs.Deployment.Admin verze 1.0.0: PowerShell Gallery | Azs.Deployment.Admin verze 1.0.0
Install-Module -Name Azs.Deployment.Admin
- Pokud se blíží vypršení platnosti externího certifikátu, projděte si požadavky na certifikát infrastruktury veřejných klíčů (PKI) služby Azure Stack Hub důležité informace o požadavcích před získáním nebo obnovením certifikátu X509, včetně podrobností o požadovaném formátu PFX. Projděte si také požadavky uvedené v části Volitelné certifikáty PaaS, pro vašeho konkrétního poskytovatele prostředků s přidanou hodnotou.
Příprava nového certifikátu TLS pro obměnu externích certifikátů
Poznámka
Pokud se blíží vypršení platnosti jenom interního certifikátu, můžete tuto část přeskočit.
Dále vytvořte nebo obnovte certifikát TLS pro zabezpečení koncových bodů poskytovatele prostředků s přidanou hodnotou:
Proveďte kroky v Generování žádostí o podepsání certifikátů (CSR) pro obnovení certifikátu pro vašeho poskytovatele prostředků. Tady použijete nástroj Azure Stack Hub Readiness Checker k vytvoření CSR. Nezapomeňte pro svého poskytovatele prostředků spustit správný příkaz cmdlet v rámci kroku "Generování žádostí o certifikáty pro jiné služby Azure Stack Hub". Například
New-AzsDbAdapterCertificateSigningRequestse používá pro RPS SQL a MySQL. Po dokončení odešlete vygenerovaný . Soubor REQ do certifikační autority (CA) pro nový certifikát.Jakmile od certifikační autority obdržíte soubor certifikátu, proveďte kroky v části Příprava certifikátů na nasazení nebo obměnu. Znovu použijete nástroj Readiness Checker ke zpracování souboru vráceného z certifikační autority.
Nakonec proveďte kroky v k ověření certifikátů PKI pro Azure Stack Hub. Nástroj Readiness Checker použijete ještě jednou k provádění ověřovacích testů na novém certifikátu.
Otočení interního certifikátu
Otevřete konzolu PowerShellu se zvýšenými oprávněními a následujícím postupem obměňte externí tajné kódy poskytovatele prostředků:
Přihlaste se k prostředí služby Azure Stack Hub pomocí přihlašovacích údajů operátora. Vizte Připojení ke službě Azure Stack Hub pomocí PowerShellu pro přihlašovací skript PowerShell. Nezapomeňte použít rutiny Az PowerShellu (místo AzureRM) a nahradit všechny zástupné hodnoty, jako jsou adresy URL koncových bodů a název tenanta adresáře.
Určete ID produktu poskytovatele prostředků. Spusťte příkaz
Get-AzsProductDeployment, abyste načetli seznam nejnovějších nasazení poskytovatele prostředků. Vrácená kolekce"value"obsahuje prvek pro každého nasazeného poskytovatele prostředků. Vyhledejte poskytovatele prostředků, který vás zajímá, a poznamenejte si hodnoty těchto vlastností:-
"name"– obsahuje ID produktu poskytovatele prostředků ve druhém segmentu hodnoty.
Například nasazení poskytovatele prostředků SQL může mít ID produktu
"microsoft.sqlrp".-
Spuštěním rutiny
Invoke-AzsProductRotateSecretsActionotočte interní certifikát:Invoke-AzsProductRotateSecretsAction -ProductId $productId
Otočení externího certifikátu
Nejprve je potřeba si uvědomit hodnoty pro následující parametry.
| Zástupný | Popis | Příklad hodnoty |
|---|---|---|
<product-id> |
ID produktu nejnovějšího nasazení poskytovatele prostředků. | microsoft.sqlrp |
<installed-version> |
Nejnovější verze nasazení poskytovatele zdrojů | 2.0.0.2 |
<package-id> |
ID balíčku se sestaví zřetězením ID produktu a nainstalované verze. | microsoft.sqlrp.2.0.0.2 |
<cert-secret-name> |
Název, pod kterým je uložený tajný klíč certifikátu. | SSLCert |
<cert-pfx-file-path> |
Cesta k PFX souboru certifikátu. | C:\dir\dbadapter-cert-file.pfx |
<pfx-password> |
Heslo přiřazené k Vašemu souboru certifikátu typu .PFX. | strong@CertSecret6 |
Otevřete konzolu PowerShellu se zvýšenými oprávněními a proveďte následující kroky:
Přihlaste se k prostředí služby Azure Stack Hub pomocí přihlašovacích údajů operátora. Viz Připojení ke službě Azure Stack Hub pomocí PowerShellu pro skript přihlášení PowerShell. Nezapomeňte použít rutiny Az PowerShellu (místo AzureRM) a nahradit všechny zástupné hodnoty, jako jsou adresy URL koncových bodů a název tenanta adresáře.
Získejte hodnotu parametru ID produktu. Spusťte příkaz
Get-AzsProductDeploymentpro načtení seznamu nejnovějších nasazení poskytovatele prostředků. Vrácená kolekce"value"obsahuje prvek pro každého nasazeného poskytovatele prostředků. Vyhledejte poskytovatele prostředků, který vás zajímá, a poznamenejte si hodnoty těchto vlastností:-
"name"– obsahuje ID produktu poskytovatele prostředků ve druhém segmentu hodnoty. -
"properties"."deployment"."version"– obsahuje aktuálně nasazené číslo verze.
-
Například nasazení poskytovatele prostředků SQL může mít ID produktu "microsoft.sqlrp"a verzi "2.0.0.2".
Sestavte ID balíčku poskytovatele prostředků zřetězením ID produktu zprostředkovatele a jeho verze. Například pomocí hodnot odvozených v předchozím kroku je ID balíčku SQL RP
microsoft.sqlrp.2.0.0.2.Pomocí ID balíčku odvozeného v předchozím kroku spusťte
Get-AzsProductSecret -PackageIda načtěte seznam typů tajných kódů používaných poskytovatelem prostředků. Ve vrácené kolekcivaluevyhledejte prvek obsahující hodnotu"Certificate"pro vlastnost"properties"."secretKind". Tento element obsahuje vlastnosti tajemství certifikátu RP. Poznamenejte si název přiřazený tomuto tajnému kódu certifikátu, který je identifikován posledním segmentem vlastnosti"name", těsně nad"properties".
Například kolekce tajemství vrácená pro SQL RP obsahuje tajemství "Certificate" s názvem SSLCert.
Pomocí rutiny
Set-AzsProductSecretnaimportujte nový certifikát do služby Key Vault, který bude používán procesem obměny. Před spuštěním skriptu nahraďte zástupné hodnoty proměnné odpovídajícím způsobem.$productId = '<product-id>' $packageId = $productId + '.' + '<installed-version>' $certSecretName = '<cert-secret-name>' $pfxFilePath = '<cert-pfx-file-path>' $pfxPassword = ConvertTo-SecureString '<pfx-password>' -AsPlainText -Force Set-AzsProductSecret -PackageId $packageId -SecretName $certSecretName -PfxFileName $pfxFilePath -PfxPassword $pfxPassword -ForceNakonec pomocí rutiny
Invoke-AzsProductRotateSecretsActionobměňte tajné kódy:Invoke-AzsProductRotateSecretsAction -ProductId $productId
Monitorování průběhu obměně tajných kódů
Průběh obměny tajných kódů můžete sledovat v konzoli PowerShell nebo na správním portálu výběrem poskytovatele prostředků ve službě Marketplace:
Poznámka
Tajný čas rotace může trvat déle než 10 minut. Po dokončení se stav poskytovatele prostředků změní na Nainstalovaný.
Shromažďování diagnostických protokolů
Azure Stack Hub nabízí několik způsobů, jak shromažďovat, ukládat a odesílat diagnostické protokoly podpoře Microsoftu. Od verze 1.1.93 podporuje poskytovatel prostředků SQL standardní způsob shromažďování protokolů z prostředí služby Azure Stack Hub. Další informace najdete v tématu shromažďování diagnostických protokolů.
Od verze 1.1.93 podporuje poskytovatel prostředků SQL standardní způsob shromažďování protokolů z prostředí služby Azure Stack Hub. Pokud používáte starší verzi, doporučujeme aktualizovat poskytovatele prostředků SQL na nejnovější verzi.
Pokud chcete shromažďovat protokoly z uzamčeného virtuálního počítače, použijte koncový bod PowerShell JEA (Just Enough Administration) DBAdapterDiagnostics. Tento koncový bod poskytuje následující příkazy:
- Get-AzsDBAdapterLog. Tento příkaz vytvoří zip archiv s diagnostickými protokoly poskytovatele prostředků a uloží soubor na disk uživatele relace. Tento příkaz můžete spustit bez jakýchkoli parametrů a shromažďuje se posledních čtyři hodiny protokolů.
- Remove-AzsDBAdapterLog. Tento příkaz odebere existující balíčky protokolů na virtuálním počítači poskytovatele prostředků.
Požadavky a proces koncového bodu
Při instalaci nebo aktualizaci poskytovatele prostředků se vytvoří uživatelský účet dbadapterdiag. Tento účet použijete ke shromažďování diagnostických protokolů.
Poznámka
Heslo účtu dbadapterdiag je stejné jako heslo, které se používá pro místního správce na virtuálním počítači vytvořeném během nasazení nebo aktualizace zprostředkovatele.
Pokud chcete použít příkazy DBAdapterDiagnostics, vytvořte pro virtuální počítač poskytovatele prostředků vzdálenou relaci PowerShellu a spusťte příkaz Get-AzsDBAdapterLog.
Časový rozsah pro shromažďování protokolů nastavíte pomocí parametrů FromDate a ToDate. Pokud nezadáte jeden nebo oba tyto parametry, použijí se následující výchozí hodnoty:
- FromDate je čtyři hodiny před aktuálním časem.
- ToDate je aktuální čas.
příklad skriptu PowerShellu pro shromažďování protokolů
Následující skript ukazuje, jak shromažďovat diagnostické protokoly z virtuálního počítače poskytovatele prostředků.
# Create a new diagnostics endpoint session.
$databaseRPMachineIP = '<RP VM IP address>'
$diagnosticsUserName = 'dbadapterdiag'
$diagnosticsUserPassword = '<Enter Diagnostic password>'
$diagCreds = New-Object System.Management.Automation.PSCredential `
($diagnosticsUserName, (ConvertTo-SecureString -String $diagnosticsUserPassword -AsPlainText -Force))
$session = New-PSSession -ComputerName $databaseRPMachineIP -Credential $diagCreds `
-ConfigurationName DBAdapterDiagnostics `
-SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
# Sample that captures logs from the previous hour.
$fromDate = (Get-Date).AddHours(-1)
$dateNow = Get-Date
$sb = {param($d1,$d2) Get-AzSDBAdapterLog -FromDate $d1 -ToDate $d2}
$logs = Invoke-Command -Session $session -ScriptBlock $sb -ArgumentList $fromDate,$dateNow
# Copy the logs to the user drive.
$sourcePath = "User:\{0}" -f $logs
$destinationPackage = Join-Path -Path (Convert-Path '.') -ChildPath $logs
Copy-Item -FromSession $session -Path $sourcePath -Destination $destinationPackage
# Clean up the logs.
$cleanup = Invoke-Command -Session $session -ScriptBlock {Remove-AzsDBAdapterLog}
# Close the session.
$session | Remove-PSSession
Známá omezení poskytovatele prostředků SQL Serveru verze 1
Omezení:
Pokud nasazení, upgrade nebo skript rotace tajných klíčů selhal, nelze některé logy shromažďovat standardním mechanismem shromažďování logů.
alternativní řešení:
Kromě použití standardního mechanismu shromažďování protokolů přejděte do složky Protokoly v extrahované složce, kde skript vyhledá, a vyhledejte další protokoly.