Azure SQL Managed Instance NSG ルールを Azure Confidential Ledger と連携するように構成する

適用対象: Azure SQL Managed Instance

Azure SQL Managed Instance でダイジェストの場所として Azure Confidential Ledger を有効にしたら、Azure Confidential Ledger と通信するように Azure SQL Managed Instance の仮想ネットワーク規則を手動で構成する必要があります。

この記事では、次のことについて説明します。

• AZURE Confidential Ledger へのトラフィックを許可するように、SQL Managed Instance ネットワーク セキュリティ グループ (NSG) とルーティング テーブルのルールを構成します。

アクセス許可

マネージド インスタンス内にあるデータの機密性のため、Azure SQL Managed Instance のパブリック エンドポイントを有効にするための構成では、2 段階のプロセスが必要です。 このセキュリティ対策は、職務の分離 (SoD) に準拠します。

• SQL Managed Instance の管理者は、SQL Managed Instance でパブリック エンドポイントを有効にする必要があります。 SQL Managed Instance の管理者は、SQL Managed Instance リソースの [概要] ページで確認できます。
• ネットワーク管理者は、NSG を使用して SQL Managed Instance へのトラフィックを許可する必要があります。 詳細については、ネットワーク セキュリティ グループのアクセス許可に関するページを参照してください。

Azure Confidential Ledger の送信 NSG ルールを有効にする

Azure Confidential Ledger の IP アドレスをキャプチャし、それらを SQL Managed Instance の送信 NSG ルールとルート テーブルに追加する必要があります。

台帳エンドポイントと ID サービス エンドポイントの IP アドレスを取得する

Azure portal でプロビジョニングした Azure Confidential Ledger の [概要] ページで、Ledger Endpoint のホスト名をキャプチャします。 ping、または同様のネットワーク ツールを使用して、Azure Confidential Ledger インスタンスの IP アドレスを取得します。

ping -a <ledgername>.confidential-ledger.azure.com

PING <ledgername>.confidential-ledger.azure.com (1.123.123.123) 56(84) bytes of data.
64 bytes from 1.123.123.123 (1.123.123.123): icmp_seq=1 ttl=105 time=78.7 ms

同様に、Azure Confidential Ledger インスタンス Identity Service Endpoint の手順を実行します。

ping identity.confidential-ledger.core.azure.com

PING part-0042.t-0009.t-msedge.net (13.107.246.70) 56(84) bytes of data.
64 bytes from 13.107.246.70 (13.107.246.70): icmp_seq=1 ttl=52 time=14.9 ms

送信 NSG ルールに IP アドレスを追加する

これら 2 つの IP アドレスは、SQL Managed Instance の送信 NSG ルールに追加する必要があります。

1. Azure portal で、SQL Managed Instance のネットワーク セキュリティ グループに移動します。 ネットワーク セキュリティ グループは、SQL Managed Instance におけるリソース グループ内の別のリソースです。

2. [送信セキュリティ規則] メニューに移動します。

3. 新しい送信規則として、前のセクションで取得した 2 つの IP アドレスを追加します。

   [送信セキュリティ規則] タブを選択し、deny_all_inbound 規則よりも優先度の高い規則を次の設定で追加します。
   
   

   設定	提案された値	説明
   ソース	任意の IP アドレスまたはサービス タグ	Power BI などの Azure サービスの場合は、Azure クラウド サービス タグを選択します 自分のコンピューターまたは Azure 仮想マシンの場合は、NAT IP アドレスを使用します
   ソース ポート範囲	*	ソース ポートは通常、動的に割り当てられ予測できないため、* (任意) のままにしておきます
   宛先	<1.123.123.123>、<13.107.246.70>	Azure Confidential Ledger の前のセクションで取得した IP アドレスを追加する
   宛先ポート範囲	3342	宛先ポート野範囲を 3342 に設定します。これが、マネージド インスタンスのパブリック TDS エンドポイントです
   サービス	HTTPS	SQL Managed Instance は HTTPS 経由で台帳と通信します
   操作	Allow	マネージド インスタンスから台帳への送信トラフィックを許可します
   優先順位	1500	この規則が deny_all_inbound 規則よりも優先度が高いことを確認してください

   

ルート テーブルに IP アドレスを追加する

2 つの Azure Confidential Ledger IP アドレスは、ルート テーブルにも追加する必要があります。

1. Azure portal で、SQL Managed Instance のルート テーブルに移動します。 ルート テーブルは、SQL Managed Instance のリソース グループ内の別のリソースです。

2. [設定] で [ルート] メニューに移動します。

3. 新しいルートとして、前のセクションで取得した 2 つの IP アドレスを追加します。

   設定	提案された値	説明
   ルート名	希望する名前を使用します	このルートに使用する名前です
   送信先の種類	IP アドレス	ドロップダウン メニューから、[IP アドレス] を選択します。
   宛先 IP アドレス/CIDR 範囲	1.123.123.123/32	この例では、1.123.123.123/32 を使用します。 ID サービス エンドポイントを追加する別のルートを作成します。この例では 13.107.246.70/32 です
   次ホップの種類	インターネット

   

ルートが正しく構成されていることを確認します

データベース検証を実行することで、SQL Managed Instance が Azure Confidential Ledger と通信できるようになったことを確認できます。 クエリでは、Ledger verification succeeded が報告されます。

関連するコンテンツ

• ダイジェスト管理