クイックスタート: Azure SQL Database で台帳が有効化されたデータベースを作成する

[アーティクル]
09/23/2024

このクイックスタートでは、Azure portal を使用して、Azure SQL Database で台帳データベースを作成し、さらに自動ダイジェストストレージを構成します。

前提条件

アクティブな Azure サブスクリプションが必要です。アカウントがない場合は、無料アカウントを作成してください。

アクセス許可

Transact-SQL を使用してデータベースを作成するには: CREATE DATABASE アクセス許可が必要です。データベースを作成するには、ログインがサーバー管理者のログイン (Azure SQL Database 論理サーバーのプロビジョニング時に作成されたもの)、サーバーの Microsoft Entra 管理者、master の dbmanager データベースロールのメンバーのいずれかである必要があります。詳細については、[CREATE DATABASE](/sql/t-sql/statements/create-database-sql-server-transact-sql) に関する記事をご覧ください。

Azure portal、PowerShell、Azure CLI、または REST API を使用したデータベースの作成方法: Azure RBAC のアクセス許可 (特に共同作成者、SQL DB 共同作成者ロール、または SQL Server 共同作成者 Azure RBAC ロール) が必要です。詳細については、Azure RBAC: 組み込みのロールに関するページをご覧ください。

台帳データベースを作成し、ダイジェストストレージを構成する

サーバーレスコンピューティングレベルで単一の台帳データベースを作成し、Azure Storage アカウントへの台帳ダイジェストのアップロードを構成します。

Azure portal での単一データベースの作成方法:

[Select SQL deployment option](SQL デプロイオプションの選択) ページを参照します。
[SQL データベース] で、 [リソースの種類] を [単一データベース] に設定し、 [作成] を選択します。
[SQL データベースの作成] フォームの [基本] タブにある [プロジェクトの詳細] で、使用する Azure サブスクリプションを選択します。
[リソースグループ] で、 [新規作成] を選択し、「myResourceGroup」と入力して、 [OK] を選択します。
[データベース名] に「demo」と入力します。
[サーバー] の [新規作成] を選択します。 [新しいサーバー] フォームに次の値を入力します。
- [サーバー名] : 「mysqlserver」と入力し、一意にするためにいくつかの文字を追加します。サーバー名は、サブスクリプション内で一意ではなく、Azure のすべてのサーバーに対してグローバルに一意である必要があるため、正確なサーバー名をここに示すことはできません。 mysqlserver12345 のように入力してから、利用可能かどうかをポータルで確認できます。
- サーバー管理者ログイン:「azureuser」と入力します。
- パスワード: 要件を満たすパスワードを入力します。 [パスワードの確認入力] ボックスにもう一度入力します。
- [場所] :ドロップダウンリストから場所を選択します。
- [Allow Azure services to access this server](このサーバーへの Azure サービスのアクセスを許可する) : ダイジェストストレージへのアクセスを有効にするには、このオプションを選択します。
[OK] を選択します。
[SQL エラスティックプールを使用しますか?] を [いいえ] に設定したままにします。
[コンピューティングとストレージ] で、 [データベースの構成] を選択します。
このクイックスタートではサーバーレスデータベースを使用しているので、 [サーバーレス] を選択し、 [適用] を選択します。
[ネットワーク] タブの [接続方法] で、 [パブリックエンドポイント] を選択します。
[ファイアウォール規則] で、 [現在のクライアント IP アドレスを追加する] を [はい] に設定します。 [Azure サービスおよびリソースにこのサーバーグループへのアクセスを許可する] を [いいえ] に設定したままにします。
ページの下部で [次へ: セキュリティ] を選択します。
[セキュリティ] タブの [台帳] セクションで、 [台帳の構成] オプションを選択します。
[台帳の構成] ペインの [台帳] セクションで、 [Enable for all future tables in this database](このデータベースの将来のテーブルすべてで有効にする) チェックボックスを選択します。この設定により、以降、データベース内のすべてのテーブルが台帳テーブルになります。このため、データベース内のすべてのデータには、改ざんの証拠が示されるようになります。既定では、CREATE TABLE で LEDGER = ON を指定しない場合でも、新しいテーブルは更新可能な台帳テーブルとして作成されます。このオプションをオフのままにすることもできます。この場合、Transact-SQL を使用して新しいテーブルを作成する際に、テーブルごとに台帳機能を有効にする必要があります。
[Digest Storage](ダイジェストストレージ) セクションでは、 [Enable automatic digest storage](自動ダイジェストストレージを有効にする) が自動的に選択されます。これで、ダイジェストが格納される新しい Azure Storage アカウントとコンテナーが作成されます。
[適用] を選択します。
ページ下部にある [確認と作成] を選択します。
[確認と作成] ページで、確認後、 [作成] を選択します。

リソースグループ、論理データベースサーバー、単一台帳データベースを作成し、Azure CLI を使用して台帳ダイジェストのアップロードを構成します。

Azure Cloud Shell を起動する

Azure Cloud Shell は無料のインタラクティブシェルです。この記事の手順は、Azure Cloud Shell を使って実行することができます。一般的な Azure ツールが事前にインストールされており、アカウントで使用できるように構成されています。

Cloud Shell を開くには、コードブロックの右上隅にある [使ってみる] を選択します。 https://shell.azure.com に移動して、別のブラウザータブで Cloud Shell を起動することもできます。 [コピー] を選択してコードのブロックをコピーし、Cloud Shell に貼り付けます。その後、Enter キーを押してそれを実行します。

パラメーターの値を設定する

次の値は、データベースと必要なリソースを作成するために、後続のコマンドで使用されます。サーバー名とストレージアカウント名は、すべての Azure でグローバルに一意である必要があるため、サーバー名とストレージアカウント名の作成に $RANDOM 関数が使用されます。

リソース名は、サブスクリプション内で一意である必要があります。 <your resource group name> を一意の名前に、<your subscription ID> をサブスクリプション ID に置き換えます。

IP アドレス範囲の 0.0.0.0 の値を、お使いの環境に合わせて置き換えます。

westeurope を任意の Azure リージョン名に置き換えます。

resourceGroupName="<your resource group name>"
location="westeurope"
serverName="mysqlserver"-$RANDOM
databaseName="myLedgerDatabase"
storageAccountName="mystorage"$RANDOM
subscription="<your subscription ID>"
adminLogin=azureuser
adminPassword=<password>
serverResourceId="/subscriptions/$subscription/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName"

# The ip address range that you want to allow to access your server
startIP=0.0.0.0
endIP=0.0.0.0

# Set variables for your digest storage location
storageAccountName="mystorage"$RANDOM
storageAccountURL1="https://"
storageAccountURL3=".blob.core.windows.net"
storageAccountURL=$storageAccountURL1$storageAccountName$storageAccountURL3
storageAccountResourceId="/subscriptions/$subscription/resourceGroups/$resourceGroupName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

# Show resource names
echo "Resource group name is" $resourceGroupName
echo "Server name is" $serverName
echo "Database name is" $databaseName
echo "Storage account name is" $storageAccountName

リソースグループを作成する

az group create コマンドを使用して、リソースグループを作成します。 Azure リソースグループとは、Azure リソースのデプロイと管理に使用する論理コンテナーです。

az group create --name $resourceGroupName --location $location

マネージド ID を持つサーバーを作成する

az sql server create コマンドを使用してサーバーを作成します。コマンドによって、マネージド ID が割り当てられたサーバーが作成されます。

az sql server create \
    --name $serverName \
    --resource-group $resourceGroupName \
    --location $location \
    --admin-user $adminLogin \
    --admin-password $adminPassword \
    --assign-identity

このコマンドは、ID を変数に格納します。これは、後で台帳ダイジェストをアップロードするためのアクセス許可をサーバーに付与するために使用されます。

# Retrieves the assigned identity to be used when granting the server access to the storage account
principalId=`az sql server show \
    --name $serverName \
    --resource-group $resourceGroupName \
    --query identity.principalId \
    --output tsv`

サーバーのファイアウォール規則を構成する

az sql server firewall-rule create コマンドを使用してファイアウォール規則を作成します。

az sql server firewall-rule create \
    --resource-group $resourceGroupName \
    --server $serverName \
    -n AllowYourIp \
    --start-ip-address $startIP \
    --end-ip-address $endIP

単一台帳データベースを作成する

az sql db create コマンドを使用して台帳データベースを作成します。次のコマンドによって、台帳を有効にしたサーバーレスデータベースが作成されます。

az sql db create \
    --resource-group $resourceGroupName \
    --server $serverName \
    --name $databaseName \
    --edition GeneralPurpose \
    --family Gen5 \
    --capacity 2 \
    --compute-model Serverless \
    --ledger-on

ストレージアカウントの作成

台帳ダイジェストを格納するためのストレージアカウントは、az storage account create コマンドで作成します。

az storage account create \
    --name $storageAccountName \
    --resource-group $resourceGroupName \
    --location $location \
    --sku Standard_GRS \
    --kind StorageV2

台帳ダイジェストを書き込むアクセス許可をサーバーに付与する

az role assignment create コマンドを使用して、ストレージ BLOB データ共同作成者ロールにサーバーのマネージド ID を割り当てます。これにより、ストレージアカウントにデータベースダイジェストを発行するための適切なアクセス許可が SQL サーバーに付与されます。

az role assignment create \
    --assignee-object-id $principalId \
    --assignee-principal-type "ServicePrincipal" \
    --role "Storage Blob Data Contributor" \
    --scope $storageAccountResourceId

データベースダイジェストのアップロードを有効にする

az sql db ledger-digest-uploads enable コマンドを使用して、ストレージアカウントへの台帳ダイジェストのアップロードを開始するデータベースを更新します。

az sql db ledger-digest-uploads enable \
    --name $databaseName \
    --resource-group $resourceGroupName \
    --server $serverName \
    --endpoint $storageAccountURL

時間ベースのアイテム保持ポリシーを構成する

ダイジェストが削除または更新されないようにするには、az storage container immutability-policy create および az storage container immutability-policy lock コマンドを使用して、sqldbledgerdigests コンテナーに時間ベースのアイテム保持ポリシーを構成することをお勧めします。ポリシーでは、保護された追加 BLOB の書き込みを許可する必要があります。これにより、データベースサーバーは、新しいダイジェストを含むブロックを既存の BLOB に追加できるのに対し、ダイジェストの削除または更新は、指定された不変期間は無効になります。

重要

次の例では、1 日の不変期間の値を使用します。運用環境では、さらに大きい値を使用する必要があります。

Note

データベースダイジェストをストレージアカウントにアップロードし始めると、不変ポリシーの期限が切れるまでストレージアカウントを削除することはできません。このクイックスタートの直後にリソースをクリーンアップする場合は、不変ポリシーの設定をスキップできます。

コンテナーに対する時間ベースのアイテム保持ポリシーの詳細については、「コンテナーの不変ポリシーを構成する」を参照してください。

az storage container immutability-policy create \
    --resource-group $resourceGroupName \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --period 1 \
    --allow-protected-append-writes true

# Retrieves the etag value of the policy to be used when the policy is locked
etag=`az storage container immutability-policy show \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --query etag \
    --output tsv`
etag="${etag/$'\r'/}"

az storage container immutability-policy lock \
    --resource-group $resourceGroupName \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --if-match $etag

リソースグループ、論理データベースサーバー、単一台帳データベースを作成し、Windows PowerShell を使用して台帳ダイジェストのアップロードを構成します。

Azure Cloud Shell を起動する

パラメーターの値を設定する

次の値は、データベースと必要なリソースを作成するために、後続のコマンドで使用されます。サーバー名とストレージアカウント名は、すべての Azure でグローバルに一意である必要があるため、サーバー名とストレージアカウント名の作成に Get-Random コマンドレットが使用されます。

リソース名は、サブスクリプション内で一意である必要があります。 <your resource group name> を一意の名前に置き換えます。

IP アドレス範囲の 0.0.0.0 の値を、お使いの環境に合わせて置き換えます。

westeurope を任意の Azure リージョン名に置き換えます。

# Set variables for your server and database
$resourceGroupName = "<your resource group name>"
$location = "westeurope"
$serverName = "mysqlserver-$(Get-Random)"
$databaseName = "myLedgerDatabase"
$storageAccountName = "mystorage$(Get-Random)"

# The ip address range that you want to allow to access your server
$startIP = "0.0.0.0"
$endIP = "0.0.0.0"

# Show resource names
Write-host "Resource group name is" $resourceGroupName
Write-host "Server name is" $serverName
Write-host "Storage account name is" $storageAccountName

リソースグループを作成する

New-AzResourceGroup を使用して Azure リソースグループを作成します。リソースグループとは、Azure リソースのデプロイと管理に使用する論理コンテナーです。

Write-host "Creating resource group..."
$resourceGroup = New-AzResourceGroup `
    -Name $resourceGroupName `
    -Location $location
$resourceGroup

サーバーの作成

New-AzSqlServer コマンドレットを使用してサーバーを作成します。

このコマンドレットによって、マネージド ID が割り当てられたサーバーが作成されます。このサーバーは、台帳ダイジェストをアップロードするためのアクセス許可を後でサーバーに付与するために必要になります。

メッセージが表示されたら、SQL 管理者のユーザー名とパスワードを入力します。

Write-host "Creating primary server..."
$server = New-AzSqlServer `
    -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -Location $location `
    -AssignIdentity `
    -SqlAdministratorCredentials (Get-Credential)
$server

ファイアウォール規則を作成する

New-AzSqlServerFirewallRule コマンドレットを使用して、サーバーのファイアウォール規則を作成します。

Write-host "Configuring server firewall rule..."
$serverFirewallRule = New-AzSqlServerFirewallRule -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -FirewallRuleName "AllowedIPs" -StartIpAddress $startIP -EndIpAddress $endIP
$serverFirewallRule

単一台帳データベースを作成する

New-AzSqlDatabase コマンドレットを使用して、単一台帳データベースを作成します。

次の例では、サーバーレスデータベースを作成します。

Write-host "Creating a gen5 2 vCore serverless ledger database..."
$database = New-AzSqlDatabase  -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -DatabaseName $databaseName `
    -Edition GeneralPurpose `
    -ComputeModel Serverless `
    -ComputeGeneration Gen5 `
    -VCore 2 `
    -MinimumCapacity 2 `
    -EnableLedger
$database

ストレージアカウントの作成

台帳ダイジェストを格納するためのストレージアカウントは、New-AzStorageAccount コマンドレットで作成します。

Write-host "Creating a storage account for ledger digests..."
$storage = New-AzStorageAccount -ResourceGroupName $resourceGroupName `
   -Name $storageAccountName `
   -Location $location `
   -SkuName Standard_RAGRS `
   -Kind StorageV2 `
   -AccessTier Hot
$storage

台帳ダイジェストを書き込むアクセス許可をサーバーに付与する

New-AzRoleAssignment コマンドレットを使用して、ストレージ BLOB データ共同作成者ロールにサーバーのマネージド ID を割り当てます。これにより、ストレージアカウントにデータベースダイジェストを発行するための適切なアクセス許可が SQL サーバーに付与されます。

Write-host "Granting the server access to the storage account..."
$assignment = New-AzRoleAssignment `
    -ObjectId $server.Identity.PrincipalId `
    -RoleDefinitionName "Storage Blob Data Contributor" `
    -ResourceGroupName $resourceGroupName `
    -ResourceType "Microsoft.Storage/storageAccounts" `
    -ResourceName $storageAccountName  
$assignment

データベースダイジェストのアップロードを有効にする

Enable-AzSqlDatabaseLedgerDigestUpload コマンドレットを使用して、ストレージアカウントへの台帳ダイジェストのアップロードを開始するデータベースを更新します。データベースサーバーは、ストレージアカウント内に sqldbledgerdigests という名前の新しいコンテナーを作成し、コンテナーへの台帳ダイジェストの書き込みを開始します。

Write-host "Enabling ledger digest upload..." 
$ledgerDigestUploadConfig = Enable-AzSqlDatabaseLedgerDigestUpload `
     -ResourceGroupName $resourceGroupName `
     -ServerName $serverName `
     -DatabaseName $databaseName `
     -Endpoint $storage.PrimaryEndpoints.Blob
$ledgerDigestUploadConfig

時間ベースのアイテム保持ポリシーを構成する

ダイジェストが削除または更新されないようにするには、Set-AzRmStorageContainerImmutabilityPolicy および Lock-AzRmStorageContainerImmutabilityPolicy コマンドレットを使用して、sqldbledgerdigests コンテナーに時間ベースのアイテム保持ポリシーを構成することをお勧めします。ポリシーでは、保護された追加 BLOB の書き込みを許可する必要があります。これにより、データベースサーバーは、新しいダイジェストを含むブロックを既存の BLOB に追加できるのに対し、ダイジェストの削除または更新は、指定された不変期間は無効になります。

重要

次の例では、1 日の不変期間の値を使用します。運用環境では、さらに大きい値を使用する必要があります。

Note

指定された不変期間中は、コンテナーまたはストレージアカウントを削除することはできません。

コンテナーに対する時間ベースのアイテム保持ポリシーの詳細については、「コンテナーの不変ポリシーを構成する」を参照してください。

Write-host "Configuring a time-based retention policy..." 
$immutabilityPerdiod = 1
$containerName = "sqldbledgerdigests"
$policy = Set-AzRmStorageContainerImmutabilityPolicy `
   -ResourceGroupName $resourceGroupName `
    -StorageAccountName $storageAccountName `
    -ContainerName $containerName `
    -AllowProtectedAppendWrite $true `
    -ImmutabilityPeriod $immutabilityPerdiod

Lock-AzRmStorageContainerImmutabilityPolicy `
   -ResourceGroupName $resourceGroupName `
    -StorageAccountName $storageAccountName `
    -ContainerName $containerName `
    -Etag $policy.Etag

リソースをクリーンアップする

次の手順のために、リソースグループ、サーバー、1 つデータベースを保持します。データベースの台帳機能をさまざまな方法で使用する方法について学習します。

これらのリソースの使用が終わったら、作成したリソースグループを削除します。この操作により、サーバーとその中の単一データベース、ストレージアカウントも削除されます。

Note

コンテナーで時間ベースのアイテム保持ポリシーを構成してロックした場合は、ストレージアカウントを削除する前に、指定した不変期間が終了するまで待つ必要があります。

Azure portal を使用して myResourceGroup とそのすべてのリソースを削除するには、次の手順に従います。

ポータルで、 [リソースグループ] を検索して選択します。一覧から [myResourceGroup] を選択します
[リソースグループ] ページで、 [リソースグループの削除] を選択します。
[リソースグループ名を入力してください] に「myResourceGroup」を入力し、 [削除] を選択します。

リソースグループとそのすべてのリソースを削除するには、自分のリソースグループの名前を使用して次の Azure CLI コマンドレットを実行します。

az group delete -n resourceGroupName

リソースグループとそのすべてのリソースを削除するには、自分のリソースグループの名前を使用して次の PowerShell コマンドレットを実行します。

Remove-AzResourceGroup -Name $resourceGroupName

次の方法で共有

クイックスタート: Azure SQL Database で台帳が有効化されたデータベースを作成する

前提条件

アクセス許可

台帳データベースを作成し、ダイジェストストレージを構成する

Azure Cloud Shell を起動する

パラメーターの値を設定する

リソースグループを作成する

マネージド ID を持つサーバーを作成する

サーバーのファイアウォール規則を構成する

単一台帳データベースを作成する

ストレージアカウントの作成

台帳ダイジェストを書き込むアクセス許可をサーバーに付与する

データベースダイジェストのアップロードを有効にする

時間ベースのアイテム保持ポリシーを構成する

Azure Cloud Shell を起動する

パラメーターの値を設定する

リソースグループを作成する

サーバーの作成

ファイアウォール規則を作成する

単一台帳データベースを作成する

ストレージアカウントの作成

台帳ダイジェストを書き込むアクセス許可をサーバーに付与する

データベースダイジェストのアップロードを有効にする

時間ベースのアイテム保持ポリシーを構成する

リソースをクリーンアップする

フィードバック

その他のリソース

次の方法で共有

クイックスタート: Azure SQL Database で台帳が有効化されたデータベースを作成する

前提条件

アクセス許可

台帳データベースを作成し、ダイジェスト ストレージを構成する

リソースをクリーンアップする

関連するコンテンツ

フィードバック

その他のリソース

台帳データベースを作成し、ダイジェストストレージを構成する