Создать сервер, настроенный с управляемым удостоверением, назначаемым пользователем, и межтенантным ключом шифрования клиента (CMK) для TDE

1. Перейдите на страницу Выберите вариант развертывания SQL на портале Azure.

2. Если вы еще не вошли на портал Azure, выполните вход при появлении соответствующего запроса.

3. В разделе Базы данных SQL оставьте для параметра Тип ресурса значение Отдельная база данных и нажмите кнопку Создать.

4. На вкладке Основные сведения формы Создание базы данных SQL в разделе Сведения о проекте выберите подходящую подписку Azure.

5. В разделе Группа ресурсов щелкните Создать новую, введите имя группы ресурсов и нажмите ОК.

6. Для имени базы данных введите имя базы данных. Например, ContosoHR.

7. В группе Сервер выберите Создать и заполните форму Новый сервер следующим образом:

   • В поле Имя сервера введите уникальное имя сервера. Имена серверов должны быть глобально уникальными для всех серверов в Azure, а не только в рамках подписки. Введите, например mysqlserver135, и портал Azure проинформирует о доступности этого имени.
   • Имя для входа администратора сервера. Введите имя для входа администратора, например azureuser.
   • Пароль. Введите пароль, соответствующий требованиям, а затем введите его еще раз в поле Подтверждение пароля.
   • Расположение. Выберите расположение из раскрывающегося списка.

8. В нижней части страницы нажмите кнопку Далее: сети.

9. На вкладке Сеть в разделе Метод подключения выберите Общедоступная конечная точка.

10. В разделе Правила брандмауэра установите переключатель Добавить текущий IP-адрес клиента в положение Да. Оставьте значение Нет для параметра Разрешить доступ к серверу службам и ресурсам Azure. Остальные выбранные элементы на этой странице можно оставить как по умолчанию.

    

11. Выберите Далее: безопасность доступа в нижней части страницы.

12. На вкладке "Безопасность" в разделе "Удостоверение" выберите "Настройка удостоверений".

    

13. На меню "Удостоверение" выберите "Выкл" для назначенное системой управляемое удостоверение, затем выберите "Добавить" в разделе назначаемое пользователем управляемое удостоверение. Выберите нужную подписку, а затем в разделе "Назначаемые пользователем управляемые удостоверения" выберите требуемое управляемое удостоверение, назначаемое пользователем, из выбранной подписки. Теперь нажмите кнопку Добавить.

14. В разделе Основное удостоверение выберите то же управляемое удостоверение, назначаемое пользователем, которое было выбрано на предыдущем шаге.

    

15. Для федеративного удостоверения клиентавыберите вариант Изменить удостоверение и найдите мультитенантное приложение, созданное в предварительных требованиях.

    

    Примечание.

    Если мультитенантное приложение не добавлено в политику доступа к хранилищу ключей с необходимыми разрешениями (Get, Wrap Key, Unwrap Key), то при его использовании для федерации удостоверений на портале Azure будет показано сообщение об ошибке. Убедитесь, что разрешения настроены правильно перед настройкой федеративного удостоверения клиента.

16. Нажмите кнопку Применить.

17. На вкладке "Безопасность" в разделе "Прозрачное шифрование данных" выберите "Настроить прозрачное шифрование данных". Выберите ключ, управляемый клиентом, и появится параметр ввести идентификатор ключа. Добавьте идентификатор ключа, полученный из ключа у второго арендатора.

    

18. Нажмите кнопку Применить.

19. В нижней части страницы щелкните Просмотреть и создать.

20. На странице Просмотр и создание после проверки нажмите кнопку Создать.

Сведения об установке текущего выпуска Azure CLI см. в статье Установка Azure CLI.

Создайте сервер, настроенный с помощью управляемого удостоверения, назначаемого пользователем, и управляемого клиентом кросстенантного TDE с помощью команды az sql server create. Идентификатор ключа второго клиента можно использовать в поле key-id. Идентификатор приложения мультитенантного приложения можно использовать в поле federated-client-id.

az sql server create \
    --name $serverName \
    --resource-group $resourceGroupName \
    --location $location  \
    --admin-user $adminlogin \
    --admin-password $password \
    --assign-identity \
    --identity-type $identitytype \
    --user-assigned-identity-id $identityid \
    --primary-user-assigned-identity-id $primaryidentityid \
    --key-id $keyid \
    --federated-client-id $federatedid
 

Создайте базу данных с помощью команды az sql db create.

az sql db create \
    --resource-group $resourceGroupName \
    --server $serverName \
    --name mySampleDatabase \
    --sample-name AdventureWorksLT \
    --edition GeneralPurpose \
    --compute-model Serverless \
    --family Gen5 \
    --capacity 2

Создайте сервер, настроенный с пользовательским управляемым удостоверением и TDE, управляемым клиентом в межтенантной среде, с помощью PowerShell.

Инструкции по установке модуля Az PowerShell см. в разделе "Установка Azure PowerShell".

Используйте командлет New-AzSqlServer.

Замените в примере приведенные ниже значения.

• <ResourceGroupName>: имя группы ресурсов для логического сервера Azure SQL.
• <Location>: расположение сервера, например West US или Central US.
• <ServerName>: используйте уникальное имя логического сервера Azure SQL.
• <ServerAdminName> — логин администратора SQL.
• <ServerAdminPassword> — пароль администратора SQL.
• <IdentityType> — тип идентификации, который будет назначен серверу. Возможные значения: SystemAssigned, UserAssigned, SystemAssigned,UserAssigned и None.
• <UserAssignedIdentityId> — список управляемых удостоверений, назначаемых пользователем, для назначения серверу (может быть одно или несколько).
• <PrimaryUserAssignedIdentityId> — управляемое удостоверение, назначаемое пользователем, которое следует использовать в качестве основного удостоверения или удостоверения по умолчанию на этом сервере.
• <CustomerManagedKeyId>: Ключевой идентификатор из второго хранилища ключей арендатора
• <FederatedClientId>: идентификатор приложения мультитенантного приложения

Чтобы получить идентификатор ресурса назначенного пользователем управляемого удостоверения, выполните поиск по запросу Управляемые удостоверения на портале Azure. Найдите свое управляемое удостоверение и перейдите в раздел Свойства. Пример идентификатора ресурса UMI выглядит следующим образом./subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<managedIdentity>

# create a server with user-assigned managed identity and cross-tenant customer-managed TDE
$params = @{
    ResourceGroupName = "<ResourceGroupName>"
    Location = "<Location>"
    ServerName = "<ServerName>"
    ServerVersion = "12.0"
    SqlAdministratorCredentials = (Get-Credential)
    SqlAdministratorLogin = "<ServerAdminName>"
    SqlAdministratorPassword = "<ServerAdminPassword>"
    AssignIdentity = $true
    IdentityType = "<IdentityType>"
    UserAssignedIdentityId = "<UserAssignedIdentityId>"
    PrimaryUserAssignedIdentityId = "<PrimaryUserAssignedIdentityId>"
    KeyId = "<CustomerManagedKeyId>"
    FederatedClientId = "<FederatedClientId>"
}

New-AzSqlServer @params

Вот пример шаблона ARM, который создает логический сервер Azure SQL с управляемым удостоверением, назначаемым пользователем, и TDE, управляемым клиентом. Для межарендного CMK используйте идентификатор ключа из второго хранилища ключей клиента и идентификатор приложения из мультитенантного приложения.

Шаблон также добавляет набор администраторов Microsoft Entra для сервера и включает проверку подлинности только для Microsoft Entra, но это можно удалить из примера шаблона.

Дополнительные сведения и шаблоны ARM см. в разделе о шаблонах Azure Resource Manager для Базы данных SQL Azure и Управляемого экземпляра SQL.

Используйте пользовательское развертывание на портале Azure и создайте собственный шаблон в редакторе. Затем необходимо сохранить конфигурацию после того, как вставлен пример.

Чтобы получить идентификатор ресурса управляемого удостоверения, назначаемого пользователем, выполните поиск по запросу Управляемые удостоверения на портале Azure. Найдите ваше управляемое удостоверение и перейдите на вкладку Свойства. Пример идентификатора ресурса UMI выглядит следующим образом/subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<managedIdentity>.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "server": {
            "type": "String"
        },
        "location": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL server."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        },
        "user_identity_resource_id": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The Resource ID of the user-assigned managed identity."
            }
        },
        "federated_clientid": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The Application ID of the multi-tenant application."
            }
        },
        "keyvault_url": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The key vault URI."
            }
        },
        "AdminLogin": {
            "minLength": 1,
            "type": "String"
        },
        "AdminLoginPassword": {
            "type": "SecureString"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers",
            "apiVersion": "2022-05-01-preview",
            "name": "[parameters('server')]",
            "location": "[parameters('location')]",
            "identity": {
                "type": "UserAssigned",
                "UserAssignedIdentities": {
                    "[parameters('user_identity_resource_id')]": {}
                }
            },
            "properties": {
                "administratorLogin": "[parameters('AdminLogin')]",
                "administratorLoginPassword": "[parameters('AdminLoginPassword')]",
                "PrimaryUserAssignedIdentityId": "[parameters('user_identity_resource_id')]",
                "federatedClientId": "[parameters('federated_clientid')]",
                "KeyId": "[parameters('keyvault_url')]",
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}