Partilhar via

Governança e segurança para a Instância Gerenciada SQL habilitada pelo Azure Arc

  • Artigo

Este artigo fornece as principais considerações de design e práticas recomendadas para governança, segurança e conformidade para ajudá-lo a planejar e implementar implantações de Instância Gerenciada SQL habilitada para Azure Arc. Embora a documentação da zona de aterrissagem em escala empresarial cubra de governança e de segurança como tópicos separados, essas áreas críticas de design são consolidadas em um único tópico para a Instância Gerenciada SQL habilitada para Arc.

Arquitetura

O diagrama a seguir mostra uma arquitetura de referência conceitual que descreve as áreas de design de segurança, conformidade e governança para a Instância Gerenciada SQL habilitada para Arc:

Diagrama mostrando a segurança e a governança em escala empresarial para a Instância Gerenciada SQL habilitada para Azure Arc.

Considerações de design

Esta seção contém considerações de design que você deve ter em mente ao planejar a segurança e a governança de sua instância gerenciada SQL habilitada para Arc.

Analise a de segurança de e as áreas de de design de governança das zonas de aterrissagem do Azure para avaliar o efeito da Instância Gerenciada SQL habilitada para Arc em seus modelos gerais de governança e segurança.

Disciplinas de governação

  • Analise a organização de recursos da área crítica de design para obter as melhores práticas sobre como garantir a governança na sua landing zone.
  • Revise e aplique a convenção de nomenclatura da sua organização para seus recursos híbridos, como a Instância Gerenciada SQL habilitada para Arc, o Controlador de Dados e o Local Personalizado.
  • Analise os perfis de configuração internos para o modo Conectado Indiretamente e decida se são necessários perfis personalizados de acordo com a sua infraestrutura do Kubernetes.

Privacidade de dados e residência

  • Considere em quais regiões do Azure você planeja implantar sua Instância Gerenciada SQL habilitada para Arc e Controladores de Dados com base em seus requisitos de segurança e conformidade, levando em consideração quaisquer requisitos de soberania de dados. Entenda quais dados são coletados de seus recursos no modo Diretamente e Conectado Indiretamente e planeje de acordo com os requisitos de residência de dados de sua organização.

Observação

Nenhum dado de banco de dados é enviado à Microsoft, apenas dados operacionais, dados de faturamento e inventário, diagnósticos e dados Programa de Aperfeiçoamento da Experiência do Usuário (CEIP).

Segurança de cluster

  • Sua instância gerenciada SQL habilitada para Arc pode residir em clusters Kubernetes híbridos ou multicloud. Analise as considerações de segurança e governança para o provedor de nuvem escolhido e a distribuição do Kubernetes.
  • Analise as considerações de design na área de design de governança e segurança do Kubernetes habilitado pelo Azure Arc .

Segurança da rede

  • Revise a área crítica de design da conectividade de rede para obter práticas recomendadas e orientações.
  • Decida o modo de conectividade a ser usado para sua Instância Gerenciada SQL habilitada para Arc, dependendo dos requisitos de segurança e conformidade da sua organização.
  • Dependendo de onde o cluster está implantado, considere as portas de rede e pontos de extremidade necessários para monitorizar a sua instância SQL gerida pelo Arc usando Grafana e Kibana.
  • Ao criar o Controlador de Dados, decida qual tipo de serviço você usará entre Kubernetes LoadBalancer ou NodePort.

Gestão de identidades e acessos

  • Revise a gestão de identidade e acesso para a Instância Gerenciada SQL com suporte a Arc, para obter práticas recomendadas e orientações.
  • Ao considerar a separação de funções e os requisitos de acesso menos privilegiados da sua organização, defina a administração do cluster, as operações, a administração do banco de dados e as funções de desenvolvedor dentro da sua organização. O mapeamento de cada equipe para ações e responsabilidades determina as funções RBAC (controle de acesso baseado em função) do Azure ou os Kubernetes ClusterRoleBinding e RoleBinding, dependendo do modo de conectividade usado.
  • Considere o uso de uma matriz responsáveis, responsáveis, consultadas e informadas (RACI) para apoiar esse esforço. Crie controlos na hierarquia de escopo de gestão que você define com base na consistência dos recursos e na orientação de monitoramento.
  • A implantação do Azure Arc Data Controller requer algumas permissões que podem ser consideradas de alto privilégio, como a criação de um namespace Kubernetes ou a criação de uma função de cluster. Compreenda as permissões necessárias para evitar privilégios excessivos.
  • Decida o modelo de autenticação a ser usado em sua Instância Gerenciada SQL habilitada para Arc, se é autenticação Microsoft Entra ou autenticação SQL. Analise a área de design de gerenciamento de identidade e acesso para obter considerações de design e recomendações para escolher o modo de autenticação correto.
  • Considere as diferenças entre o keytab gerido pelo sistema e o keytab gerido pelo cliente ao implantar o conector Azure Arc AD para dar suporte à autenticação Microsoft Entra numa Instância Gerida SQL habilitada para Arc. Ambos os métodos oferecem o benefício de operações mais simples em comparação com o controle completo do cliente no gerenciamento de contas de serviço e de keytabs para suporte à autenticação do Microsoft Entra.

Segurança da SQL Managed Instance com Azure Arc habilitada

  • Decida sobre o modo de conectividade , considerando as compensações entre ter e não ter conexão direta com o Azure e como isso pode afetar suas instâncias híbridas e multicloud ao usar os recursos de segurança atuais e futuros habilitados pelo Azure.
  • Analise os de recursos de segurança disponíveis na Instância Gerenciada SQL habilitada para Arc para suas cargas de trabalho de dados.
  • Defina a plataforma de armazenamento a ser usada para volumes persistentes em seus clusters Kubernetes e entenda os recursos de segurança disponíveis para proteger os dados que residem nos volumes persistentes. Analise as disciplinas de armazenamento nas áreas críticas de projeto enquanto projeta para a sua zona de pouso.
  • Analise os requisitos e a arquitetura de de criptografia de dados transparente antes de habilitá-lo em sua instância gerenciada SQL habilitada para Arc.
  • Considere os diferentes locais onde você pode armazenar suas credenciais de Criptografia de Dados Transparente com base nas políticas e procedimentos de gerenciamento de chaves criptográficas da sua organização.
  • Ao implantar a Instância Gerenciada SQL habilitada para Arc no modo Conectado Indiretamente, decida sobre a autoridade de certificação que será usada para fornecer o certificado gerenciado pelo usuário de acordo com os requisitos de segurança e conformidade da sua organização.
  • A Instância Gerenciada SQL habilitada para o Arc, quando implantada no modo Diretamente Conectado, fornece um certificado gerido pelo sistema com capacidades de rotação automática. No modo Conectado Indiretamente, a intervenção manual é necessária para renovar um certificado gerenciado pelo usuário. Considere as operações manuais e os requisitos de segurança ao escolher o modo de conectividade a ser implantado.
  • Considere a necessidade de manter a sua instância gerida de SQL compatível com Arc up-toatualizada com as versões mais recentes, quer sejam implantadas em modo de conexão direta ou indireta. Analise as disciplinas de capacidade de atualização áreas críticas de design para obter mais orientações.

Estratégia de monitorização

  • Revise as disciplinas de gerenciamento críticas da área de design e design e planeie coletar métricas e logs dos seus recursos híbridos num workspace do Log Analytics para análise, auditoria e geração de alertas.
  • Entenda as permissões de privilégio mínimo necessárias para que o principal de serviço carregue logs e métricas no Azure Monitor.

Recomendações de design

Segurança da rede

  • Proteja seus painéis de monitoramento Grafana e Kibana com certificados SSL/TLS para segurança da camada de transporte.
  • Use Kubernetes LoadBalancer como o tipo de serviço ao implantar a Instância Gerenciada SQL habilitada para Arc, para uma melhor disponibilidade.

Gestão de identidades e acessos

  • Prefira o uso da autenticação do Microsoft Entra para descarregar o gerenciamento do ciclo de vida do usuário para os serviços de diretório e use grupos de segurança no Microsoft Entra ID para gerenciar permissões de usuário para acessar o banco de dados SQL.
  • Use o modo de keytab gerido pelo sistema para suporte à autenticação do Microsoft Entra, transferindo a gestão da conta de domínio e da sobrecarga associada à gestão de keytabs para simplificar as operações.
  • Se a autenticação SQL for usada, adote políticas de senha forte e habilite a auditoria para monitorar identidades de usuário SQL e permissões concedidas para acessar servidores de banco de dados e bancos de dados.
  • Dedique um namespace Kubernetes para a implantação do Azure Arc Data Controller e atribua as permissões de menor privilégio para implantar e gerenciar.
  • Crie senhas fortes para os painéis de do Grafana e do Kibana e certifique-se de auditar e rodar regularmente.
  • Monitore o de log de atividades de sua instância gerenciada SQL habilitada para Arc e controladores de dados para auditar as diferentes operações que ocorrem em seus recursos híbridos. Crie alertas para eventos relevantes e integre-se com ferramentas de gerenciamento de eventos e informações de segurança (SIEM), como Microsoft Sentinel para monitoramento de segurança e resposta a incidentes.

Segurança da Instância Gerenciada SQL habilitada para Azure Arc

  • Sempre que possível, escolha o modo Conectado Diretamente em vez da implantação do modo Conectado Indiretamente dos serviços de dados habilitados para Arco do Azure e da Instância Gerenciada SQL habilitada para Arco para garantir que você esteja obtendo todos os benefícios atuais e futuros do recurso de de segurança associados ao modo Diretamente Conectado.
  • Habilite Criptografia Transparente de Dados sempre que possível para criptografar os seus dados em repouso.
  • Armazene suas credenciais de criptografia de dados transparente em volumes persistentes para melhor resiliência.
  • Use os recursos da plataforma de armazenamento para criptografar volumes persistentes de acordo com os requisitos de segurança e conformidade da sua organização.
  • Certifique-se de ter sua política de backup em vigor de acordo com suas necessidades para se recuperar da perda de dados. Revise a área crítica de design de continuidade de negócios e recuperação de desastres para obter mais orientações.
  • Ao implantar no modo Conectado Indiretamente, crie um processo para girar o certificado gerenciado pelo usuário.
  • Certifique-se de ter um processo para manter sua instância gerenciada SQL habilitada para Arc atualizada para as versões mais recentes, independentemente do modo de conectividade.

Estratégia de monitorização

  • Monitore a expiração das credenciais ou a alteração da entidade de serviço usada para carregar métricas e logs no Azure.
  • Crie um processo para alternar as credenciais da entidade de serviço de acordo com os requisitos de segurança e conformidade da sua organização.

Próximos passos

Para obter mais informações sobre sua jornada de nuvem híbrida e multicloud, consulte os seguintes artigos: