快速入門：在啟用總帳的 Azure SQL Database 中建立資料庫

適用於：Azure SQL 資料庫

在本快速入門中，您會在 Azure SQL Database 中建立總帳資料庫，並使用 Azure 入口網站來設定自動摘要儲存體。

必要條件

您需要作用中的 Azure 訂用帳戶。 如果您沒有訂用帳戶，請建立免費帳戶。

權限

若要透過 Transact-SQL 建立資料庫： CREATE DATABASE 需要權限。 若要建立資料庫，登入必須是伺服器管理員登入 (佈建 Azure SQL 資料庫邏輯伺服器時建立)、伺服器的 Microsoft Entra 管理員、 中 dbmanager 資料庫角色的成員、目前資料庫中 db_owner 資料庫角色的成員，或資料庫的 master。 如需詳細資訊，請參閱 CREATE DATABASE。

若要透過Azure 入口網站、PowerShell、Azure CLI 或 REST API︰調整資料庫，則需要 Azure RBAC 權限，特別是參與者、SQL DB 參與者角色或 SQL Server 參與者 Azure RBAC 角色。 如需詳細資訊，請參閱 Azure RBAC：內建角色。

建立總帳資料庫並設定摘要儲存體

在無伺服器計算層中建立單一總賬資料庫，並設定將總帳摘要上傳至 Azure 儲存體帳戶。

入口網站

要建立單一資料庫，則使用 Azure 入口網站。

1. 瀏覽至 [選取 SQL 部署選項] 頁面。

2. 在 SQL 資料庫下，將資源類型設定為單一資料庫，然後選取 [建立]。

   

3. 在 [建立 SQL 資料庫] 表單的 [基本] 索引標籤上，選取 [專案詳細資料] 底下您想要使用的 Azure 訂閱。

4. 針對資源群組選取 [建立新的]，輸入 myResourceGroup，然後選取 [確定]。

5. 在 [資料庫名稱]的部分輸入 demo。

6. 針對 [伺服器]，選取 [新建]。 在 [新伺服器]表單中填入下列值︰

   • 伺服器名稱：輸入 mysqlserver 並新增一些字元來表示唯一性。 由於伺服器名稱必須是 Azure 中所有伺服器的全域唯一名稱，而不只是訂用帳戶中的唯一名稱，因此我們無法提供要使用的確切伺服器名稱。 請輸入類似 mysqlserver12345 的值，入口網站會讓您知道輸入的值是否可以使用。
   • 伺服器管理員登入：輸入 azureuser。
   • 密碼: 輸入符合需求的密碼。 在 [確認密碼] 方塊中再次輸入。
   • 位置：從下拉式清單中選取位置。
   • 允許 Azure 服務存取此伺服器：選取此選項可啟用摘要儲存體的存取權。

   選取 [確定]。

7. 將您要使用 SQL 彈性集區設為否。

8. 在計算 + 儲存體下，選取 [設定資料庫]。

9. 本快速入門會使用無伺服器資料庫，因此請選取 [無伺服器]，然後選取 [套用]。

10. 在網路功能索引標籤的連線方法中，選取 [公用端點]。

11. 針對 [防火牆規則]，將 [新增目前的用戶端 IP 位址] 設定為 [是]。 將 [允許 Azure 服務和資源存取此伺服器] 設定為 [否]。

12. 選取頁面底部的 [下一步：安全性]。

    

13. 在 [安全性] 索引標籤的 [總帳] 區段中，選取 [設定總帳] 選項。

    

14. 在 [設定總帳] 窗格的 [總帳] 區段中，選取 [針對此資料庫中的所有未來資料表啟用] 核取方塊。 此設定可確保資料庫中的所有未來資料表都會是總帳資料表。 基於這個理由，資料庫中的所有資料都會顯示任何竄改證據。 根據預設，即使您未在 CREATE TABLE 中指定 LEDGER = ON，新資料表也會建立為可更新的總帳資料表。 您也可以取消選取此選項。 取消選取之後，當您使用 Transact-SQL 建立新的資料表時，都需要針對每個資料表啟用總帳功能。

15. [摘要儲存體] 區段中的 [Enable automatic digest storage] (啟用自動摘要儲存體) 會自動選取。 接下來會隨即建立新的 Azure 儲存體帳戶和容器，用以儲存您的摘要。

16. 選取 [套用]。

    

17. 選取頁面底部的 [檢閱 + 建立] 。

    

18. 檢閱 [檢閱 + 建立] 頁面之後，選取 [建立]。

Azure CLI

您將建立資源群組、邏輯資料庫伺服器、單一總賬資料庫，以及使用 Azure CLI 設定上傳總帳摘要。

啟動 Azure Cloud Shell

Azure Cloud Shell 是免費的互動式 Shell，可讓您用來執行本文中的步驟。 它具有預先安裝和設定的共用 Azure 工具，可與您的帳戶搭配使用。

若要開啟 Cloud Shell，請選取程式碼區塊右上角的 [試試看]。 您也可以移至 https://shell.azure.com ，從另一個瀏覽器索引標籤啟動 Cloud Shell。 選取 [複製] 即可複製程式碼區塊，將它貼到 Cloud Shell 中，然後按 Enter 鍵加以執行。

設定參數值

後續的命令會使用下列值來建立資料庫和所需的資源。 伺服器名稱在所有 Azure 中必須是全域唯一的名稱，因此會使用 $RANDOM 函式來建立伺服器和儲存體帳戶名稱。

資源名稱在您的訂閱內必須是唯一的。 以唯一的名稱取代 <your resource group name>，並以您的訂閱識別碼取代 <your subscription ID>。

取代 IP 位址範圍中的 0.0.0.0 值，以符合您的特定環境。

以您慣用的 Azure 區域名稱取代 westeurope。

resourceGroupName="<your resource group name>"
location="westeurope"
serverName="mysqlserver"-$RANDOM
databaseName="myLedgerDatabase"
storageAccountName="mystorage"$RANDOM
subscription="<your subscription ID>"
adminLogin=azureuser
adminPassword=<password>
serverResourceId="/subscriptions/$subscription/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName"

# The ip address range that you want to allow to access your server
startIP=0.0.0.0
endIP=0.0.0.0

# Set variables for your digest storage location
storageAccountName="mystorage"$RANDOM
storageAccountURL1="https://"
storageAccountURL3=".blob.core.windows.net"
storageAccountURL=$storageAccountURL1$storageAccountName$storageAccountURL3
storageAccountResourceId="/subscriptions/$subscription/resourceGroups/$resourceGroupName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

# Show resource names
echo "Resource group name is" $resourceGroupName
echo "Server name is" $serverName
echo "Database name is" $databaseName
echo "Storage account name is" $storageAccountName

建立資源群組

使用 az group create 命令來建立資源群組。 Azure 資源群組是在其中部署與管理 Azure 資源的邏輯容器。

az group create --name $resourceGroupName --location $location

建立受控識別的伺服器

使用 az sql server create 命令建立伺服器。 此命令會建立已指派受控識別的伺服器。

az sql server create \
    --name $serverName \
    --resource-group $resourceGroupName \
    --location $location \
    --admin-user $adminLogin \
    --admin-password $adminPassword \
    --assign-identity

此命令會將識別碼儲存在變數中，稍後會用來授與伺服器上傳總帳摘要的許可權限。

# Retrieves the assigned identity to be used when granting the server access to the storage account
principalId=`az sql server show \
    --name $serverName \
    --resource-group $resourceGroupName \
    --query identity.principalId \
    --output tsv`

設定伺服器的防火牆規則

使用 az sql server firewall-rule create 命令建立防火牆規則。

az sql server firewall-rule create \
    --resource-group $resourceGroupName \
    --server $serverName \
    -n AllowYourIp \
    --start-ip-address $startIP \
    --end-ip-address $endIP

建立單一總賬資料庫

使用 az sql db create 命令建立總帳資料庫。 下列命令會建立已啟用總帳的無伺服器資料庫。

az sql db create \
    --resource-group $resourceGroupName \
    --server $serverName \
    --name $databaseName \
    --edition GeneralPurpose \
    --family Gen5 \
    --capacity 2 \
    --compute-model Serverless \
    --ledger-on

建立儲存體帳戶

使用 [az storage account create] 建立儲存體帳戶以儲存總帳摘要。

az storage account create \
    --name $storageAccountName \
    --resource-group $resourceGroupName \
    --location $location \
    --sku Standard_GRS \
    --kind StorageV2

授與伺服器寫入總帳摘要的許可權限

使用 az role assignment create 命令，將伺服器的受控識別指派給儲存體 Blob 資料參與者角色。 這會為 SQL 伺服器提供適當的許可權限，以將資料庫摘要發佈至儲存體帳戶。

az role assignment create \
    --assignee-object-id $principalId \
    --assignee-principal-type "ServicePrincipal" \
    --role "Storage Blob Data Contributor" \
    --scope $storageAccountResourceId

啟用資料庫摘要上傳

使用 [az sql db ledger-digest-uploads enable] 命令，更新資料庫以開始將總帳摘要上傳至儲存體帳戶。

az sql db ledger-digest-uploads enable \
    --name $databaseName \
    --resource-group $resourceGroupName \
    --server $serverName \
    --endpoint $storageAccountURL

設定以時間為基礎的保留原則

若要保護摘要免於遭到刪除或更新，建議您使用 az storage container immutability-policy create 和 az storage container immutability-policy lock 命令，在 sqldbledgerdigests 容器上設定以時間為基礎的保留原則。 原則必須允許受保護的附加 Blob 寫入。 這可確保資料庫伺服器可以將包含新摘要的區塊新增至現有的 Blob，同時刪除或更新摘要會在指定的不變性期間停用。

重要

下列範例使用的不變性期間值為 1 天。 在生產環境中，您應該使用更大的值。

注意

一旦資料庫摘要開始上傳至儲存體帳戶，您就無法刪除儲存體帳戶，直到不變性原則到期為止。 如果您打算在此快速入門之後立即清除資源，則可以略過設定不變性原則。

如需容器以時間為基礎的保留原則的詳細資訊，請參閱設定容器的不變性原則。

az storage container immutability-policy create \
    --resource-group $resourceGroupName \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --period 1 \
    --allow-protected-append-writes true

# Retrieves the etag value of the policy to be used when the policy is locked
etag=`az storage container immutability-policy show \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --query etag \
    --output tsv`
etag="${etag/$'\r'/}"

az storage container immutability-policy lock \
    --resource-group $resourceGroupName \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --if-match $etag

PowerShell

您將建立資源群組、邏輯資料庫伺服器、單一總賬資料庫，以及使用 Windows PowerShell 設定上傳總帳摘要。

啟動 Azure Cloud Shell

Azure Cloud Shell 是免費的互動式 Shell，可讓您用來執行本文中的步驟。 它具有預先安裝和設定的共用 Azure 工具，可與您的帳戶搭配使用。

若要開啟 Cloud Shell，請選取程式碼區塊右上角的 [試試看]。 您也可以移至 https://shell.azure.com ，從另一個瀏覽器索引標籤啟動 Cloud Shell。 選取 [複製] 即可複製程式碼區塊，將它貼到 Cloud Shell 中，然後按 Enter 鍵加以執行。

設定參數值

後續的命令會使用下列值來建立資料庫和所需的資源。 伺服器名稱和儲存體帳戶在所有 Azure 中必須是全域唯一的名稱，因此會使用 Get-Random cmdlet 來建立伺服器和儲存體帳戶名稱。

資源名稱在您的訂閱內必須是唯一的。 將 <your resource group name> 更換為唯一名稱。

取代 IP 位址範圍中的 0.0.0.0 值，以符合您的特定環境。

以您慣用的 Azure 區域名稱取代 westeurope。

# Set variables for your server and database
$resourceGroupName = "<your resource group name>"
$location = "westeurope"
$serverName = "mysqlserver-$(Get-Random)"
$databaseName = "myLedgerDatabase"
$storageAccountName = "mystorage$(Get-Random)"

# The ip address range that you want to allow to access your server
$startIP = "0.0.0.0"
$endIP = "0.0.0.0"

# Show resource names
Write-host "Resource group name is" $resourceGroupName
Write-host "Server name is" $serverName
Write-host "Storage account name is" $storageAccountName

建立資源群組

使用 New-AzResourceGroup 來建立 Azure 資源群組。 資源群組是在其中部署與管理 Azure 資源的邏輯容器。

Write-host "Creating resource group..."
$resourceGroup = New-AzResourceGroup `
    -Name $resourceGroupName `
    -Location $location
$resourceGroup

建立伺服器

使用 New-AzSqlServer Cmdlet 建立伺服器。

此 Cmdlet 會使用指派的受控識別來建立伺服器，稍後您需要用以授與伺服器上傳總帳摘要的許可權。

出現提示時，輸入 SQL 伺服器系統管理員名稱和密碼。

Write-host "Creating primary server..."
$server = New-AzSqlServer `
    -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -Location $location `
    -AssignIdentity `
    -SqlAdministratorCredentials (Get-Credential)
$server

建立防火牆規則

使用 New-AzSqlServerFirewallRule Cmdlet 建立伺服器防火牆規則。

Write-host "Configuring server firewall rule..."
$serverFirewallRule = New-AzSqlServerFirewallRule -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -FirewallRuleName "AllowedIPs" -StartIpAddress $startIP -EndIpAddress $endIP
$serverFirewallRule

建立單一總賬資料庫

使用 New-AzSqlDatabase Cmdlet 建立單一總帳資料庫。

下列範例會建立無伺服器資料庫。

Write-host "Creating a gen5 2 vCore serverless ledger database..."
$database = New-AzSqlDatabase  -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -DatabaseName $databaseName `
    -Edition GeneralPurpose `
    -ComputeModel Serverless `
    -ComputeGeneration Gen5 `
    -VCore 2 `
    -MinimumCapacity 2 `
    -EnableLedger
$database

建立儲存體帳戶

使用 New-AzStorageAccount Cmdlet 建立儲存體帳戶來儲存總帳摘要。

Write-host "Creating a storage account for ledger digests..."
$storage = New-AzStorageAccount -ResourceGroupName $resourceGroupName `
   -Name $storageAccountName `
   -Location $location `
   -SkuName Standard_RAGRS `
   -Kind StorageV2 `
   -AccessTier Hot
$storage

授與伺服器寫入總帳摘要的許可權限

使用 az role assignment create Cmdlet，將伺服器的受控識別指派給儲存體 Blob 資料參與者角色。 這會為 SQL 伺服器提供適當的許可權限，以將資料庫摘要發佈至儲存體帳戶。

Write-host "Granting the server access to the storage account..."
$assignment = New-AzRoleAssignment `
    -ObjectId $server.Identity.PrincipalId `
    -RoleDefinitionName "Storage Blob Data Contributor" `
    -ResourceGroupName $resourceGroupName `
    -ResourceType "Microsoft.Storage/storageAccounts" `
    -ResourceName $storageAccountName  
$assignment

啟用資料庫摘要上傳

使用 Enable-AzSqlDatabaseLedgerDigestUpload Cmdlet，更新資料庫以開始將總帳摘要上傳至儲存體帳戶。 資料庫伺服器會在儲存體帳戶內建立名為 sqldbledgerdigests 的新容器，並開始將總帳摘要寫入容器。

Write-host "Enabling ledger digest upload..." 
$ledgerDigestUploadConfig = Enable-AzSqlDatabaseLedgerDigestUpload `
     -ResourceGroupName $resourceGroupName `
     -ServerName $serverName `
     -DatabaseName $databaseName `
     -Endpoint $storage.PrimaryEndpoints.Blob
$ledgerDigestUploadConfig

設定以時間為基礎的保留原則

若要保護摘要免於遭到刪除或更新，建議您使用 Set-AzRmStorageContainerImmutabilityPolicy 和 Lock-AzRmStorageContainerImmutabilityPolicy Cmdlet，在 sqldbledgerdigests 容器上設定以時間為基礎的保留原則。 原則必須允許受保護的附加 Blob 寫入。 這可確保資料庫伺服器可以將包含新摘要的區塊新增至現有的 Blob，同時刪除或更新摘要會在指定的不變性期間停用。

重要

下列範例使用的不變性期間值為 1 天。 在生產環境中，您應該使用更大的值。

注意

在指定的不變期間，您將無法刪除容器或儲存體帳戶。

如需容器以時間為基礎的保留原則的詳細資訊，請參閱設定容器的不變性原則。

Write-host "Configuring a time-based retention policy..." 
$immutabilityPerdiod = 1
$containerName = "sqldbledgerdigests"
$policy = Set-AzRmStorageContainerImmutabilityPolicy `
   -ResourceGroupName $resourceGroupName `
    -StorageAccountName $storageAccountName `
    -ContainerName $containerName `
    -AllowProtectedAppendWrite $true `
    -ImmutabilityPeriod $immutabilityPerdiod

Lock-AzRmStorageContainerImmutabilityPolicy `
   -ResourceGroupName $resourceGroupName `
    -StorageAccountName $storageAccountName `
    -ContainerName $containerName `
    -Etag $policy.Etag

清除資源

針對後續步驟，保留資源群組、伺服器和單一資料庫。 您將瞭解如何使用不同的方法使用資料庫的總帳功能。

這些資源使用完畢後，您可以刪除建立的資源群組。 此動作也會刪除其中的伺服器和單一資料庫，以及儲存體帳戶。

注意

如果您已在容器上設定並鎖定以時間為基礎的保留原則，您必須等到指定的不變性期間結束，才能刪除儲存體帳戶。

入口網站

使用 Azure 入口網站來刪除 [myResourceGroup] 和其所有資源：

1. 在 Azure 入口網站中，搜尋並選取 [資源群組]。 從清單中選取 [myResourceGroup]。
2. 在 [資源群組] 頁面中，選取 [刪除資源群組]。
3. 在 [輸入資源群組名稱] 底下，輸入 myResourceGroup，然後選取 [刪除]。

Azure CLI

若要刪除資源群組及其所有資源，請使用您的資源組名稱來執行下列 Azure CLI Cmdlet：

az group delete -n resourceGroupName

PowerShell

若要刪除資源群組及其所有資源，請使用您的資源組名稱來執行下列 PowerShell Cmdlet：

Remove-AzResourceGroup -Name $resourceGroupName

相關內容

• 建立和使用可更新的總帳資料表
• 建立和使用僅附加的總帳資料表