Настройка общедоступных конечных точек в Управляемый экземпляр SQL Azure

Область применения: Управляемый экземпляр SQL Azure

Общедоступные конечные точки для Управляемого экземпляра SQL Azure позволяют получать доступ к управляемому экземпляру SQL за пределами виртуальной сети. Вы можете получить доступ к управляемому экземпляру SQL из мультитенантных служб Azure, таких как Power BI, Служба приложений Azure или локальная сеть. Используя общедоступную конечную точку в управляемом экземпляре SQL, вам не нужно использовать VPN, что может помочь избежать проблем с пропускной способностью VPN.

Вы узнаете, как выполнять следующие задачи:

Включение или отключение общедоступной конечной точки для управляемого экземпляра SQL
Настройте группу безопасности сети управляемого экземпляра SQL (NSG), чтобы разрешить трафик к общедоступной конечной точке управляемого экземпляра SQL.
Получите строку подключения к общедоступной конечной точке управляемого экземпляра SQL

Разрешения

Из-за конфиденциальности данных в управляемом экземпляре SQL конфигурация для включения общедоступной конечной точки управляемого экземпляра SQL требует двухфакторного процесса. Эта мера безопасности придерживается принципа разделения обязанностей (SoD):

Администратор управляемого экземпляра SQL должен включить общедоступную конечную точку в управляемом экземпляре SQL. Администратор управляемого экземпляра SQL находится на странице Обзора ресурса управляемого экземпляра SQL.
Администратор сети должен разрешить трафик управляемому экземпляру SQL с помощью группы безопасности сети (NSG). Дополнительные сведения см. в разделе "Разрешения группы безопасности сети".

Включить общедоступную конечную точку

Вы можете включить общедоступную конечную точку для Управляемый экземпляр SQL с помощью портал Azure, Azure PowerShell или Azure CLI.

Чтобы включить общедоступную конечную точку для Управляемый экземпляр SQL в портал Azure, выполните следующие действия.

Переход на портал Azure.
Откройте группу ресурсов с управляемым экземпляром SQL и выберите управляемый экземпляр SQL , на который необходимо настроить общедоступную конечную точку.
На вкладке "Параметры безопасности " выберите вкладку "Сеть ".
На странице конфигурации виртуальной сети нажмите кнопку "Включить", а затем значок "Сохранить ", чтобы обновить конфигурацию.

Снимок экрана: страница

Чтобы включить общедоступную конечную точку с помощью PowerShell, установите значение -PublicDataEndpointEnabledtrue при обновлении свойств экземпляра с помощью Set-AzSqlInstance.

Используйте пример скрипта PowerShell, чтобы включить общедоступную конечную точку для Управляемый экземпляр SQL. Измените следующие значения:

идентификатор подписки с идентификатором подписки
rg-name с группой ресурсов вашего управляемого экземпляра SQL
mi-name с именем управляемого экземпляра SQL

Чтобы включить общедоступную конечную точку с помощью PowerShell, выполните следующий сценарий:

Install-Module -Name Az

Import-Module Az.Accounts
Import-Module Az.Sql

Connect-AzAccount

# Use your subscription ID in place of subscription-id below

Select-AzSubscription -SubscriptionId {subscription-id}

# Replace rg-name with the resource group for your SQL managed instance, and replace mi-name with the name of your SQL managed instance

$mi = Get-AzSqlInstance -ResourceGroupName {rg-name} -Name {mi-name}

$mi = $mi | Set-AzSqlInstance -PublicDataEndpointEnabled $true -force

Чтобы включить общедоступную конечную точку с помощью Azure CLI, установите --public-data-endpoint-enabled на true при обновлении свойств экземпляра с az sql mi update.

Используйте пример команды Azure CLI, чтобы включить общедоступную конечную точку для Управляемый экземпляр SQL. Измените следующие значения:

подписка с идентификатором подписки
rg-name с группой ресурсов вашего управляемого экземпляра SQL
mi-name с именем управляемого экземпляра SQL

Чтобы включить общедоступную конечную точку с помощью Azure CLI, выполните следующую команду:

az sql mi update --subscription {subscription-id} --resource-group {rg-name} --name {mi-name} --public-data-endpoint-enabled true

Отключение общедоступной конечной точки

Вы можете отключить общедоступную конечную точку для Управляемый экземпляр SQL с помощью портал Azure, Azure PowerShell и Azure CLI.

Чтобы отключить общедоступную конечную точку с помощью портал Azure, выполните следующие действия.

Переход на портал Azure.
Откройте группу ресурсов с управляемым экземпляром SQL и выберите управляемый экземпляр SQL , на который необходимо настроить общедоступную конечную точку.
На вкладке "Параметры безопасности " выберите вкладку "Сеть ".
На странице конфигурации виртуальной сети выберите "Отключить", а затем значок "Сохранить ", чтобы обновить конфигурацию.

Чтобы отключить общедоступную конечную точку с помощью PowerShell, установите значение -PublicDataEndpointEnabledfalse при обновлении свойств экземпляра с помощью Set-AzSqlInstance.

Используйте Azure PowerShell, чтобы отключить общедоступную конечную точку для Управляемый экземпляр SQL. Не забудьте также закрыть правило безопасности для входящего трафика для порта 3342 в группе безопасности сети (NSG), если вы настроили его.

Чтобы отключить общедоступную конечную точку, используйте следующую команду:

Set-AzSqlInstance -PublicDataEndpointEnabled $false -force

Чтобы отключить общедоступную конечную точку с помощью Azure CLI, установите значение --public-data-endpoint-enabled на false при обновлении свойств экземпляра командой az sql mi update.

Используйте Azure CLI, чтобы отключить общедоступную конечную точку для Управляемый экземпляр SQL. Измените следующие значения:

подписка с идентификатором подписки
rg-name с группой ресурсов вашего управляемого экземпляра SQL
mi-name с именем управляемого экземпляра SQL.

Не забудьте также закрыть правило безопасности для входящего трафика для порта 3342 в группе безопасности сети (NSG), если вы настроили его.

Чтобы отключить общедоступную конечную точку, используйте следующую команду:

az sql mi update --subscription {subscription-id} --resource-group {rg-name} --name {mi-name} --public-data-endpoint-enabled false

Разрешить трафик общедоступной конечной точки в группе безопасности сети

Используйте портал Azure, чтобы разрешить общедоступный трафик в группе безопасности сети. Выполните следующие действия:

Перейдите на страницу обзора Управляемый экземпляр SQL в портал Azure.
Выберите ссылку "Виртуальная сеть или подсеть ", которая перейдет на страницу конфигурации виртуальной сети.
Перейдите на вкладку "Подсети" в области конфигурации виртуальной сети и запишите имя ГРУППЫ БЕЗОПАСНОСТИ для управляемого экземпляра SQL.
Вернитесь в группу ресурсов, содержащую управляемый экземпляр SQL. Вы увидите имя группы безопасности сети, указанное ранее. Выберите имя группы безопасности сети, чтобы открыть страницу конфигурации группы безопасности сети.

Выберите вкладку правил безопасности для входящего трафика и добавьте правило, которое имеет более высокий приоритет, чем правило deny_all_inbound с помощью следующих параметров:

Параметр	Предлагаемое значение	Description
Источник	Любой IP-адрес или тег службы	Для служб Azure, например Power BI, выберите тег облачной службы Azure. Для компьютера или виртуальной машины Azure используйте IP-адрес NAT.
Диапазоны исходных портов	*	Оставьте это значение * (любой) как исходные порты обычно динамически выделяются и, как это, непредсказуемые
Назначение	Любые	Оставляем пункт назначения как 'Любой', чтобы разрешить трафик в подсеть управляемого экземпляра SQL.
Диапазоны портов назначения	3342	Установите порт назначения 3342, который служит общедоступной конечной точкой TDS для управляемого экземпляра SQL
Протокол	TCP	Управляемый экземпляр SQL использует протокол TCP для TDS.
Действие	Allow	Разрешить входящий трафик в управляемый экземпляр SQL через общедоступную конечную точку
Приоритет	1300	Убедитесь, что это правило имеет более высокий приоритет, чем правило deny_all_inbound.

Снимок экрана: правила безопасности для входящего трафика с новым правилом public_endpoint_inbound над правилом deny_all_inbound.

Примечание.

Порт 3342 используется для подключений общедоступной конечной точки к управляемому экземпляру SQL и в настоящее время не может быть изменен.

Убедитесь, что маршрутизация настроена правильно

Маршрут с префиксом адреса 0.0.0.0/0 указывает Azure, как маршрутизировать трафик, предназначенный для IP-адреса, который не находится в префиксе адреса любого другого маршрута в таблице маршрутов подсети. При создании подсети Azure создает маршрут по умолчанию с префиксом адреса 0.0.0.0/0 и типом следующего прыжка Интернет.

Переопределение этого маршрута по умолчанию без добавления необходимых маршрутов, чтобы убедиться, что трафик общедоступной конечной точки направляется непосредственно в Интернет , может вызвать асимметричные проблемы с маршрутизацией, так как входящий трафик не передается через виртуальный модуль или шлюз виртуальной сети. Убедитесь, что весь трафик, поступающий к управляемому экземпляру SQL через общедоступный Интернет, также возвращается через общедоступный Интернет. Для этого можно создать конкретные маршруты для каждого источника или установить маршрут по умолчанию с префиксом адреса 0.0.0.0/0 обратно в Интернет в качестве типа следующего узла.

Дополнительные сведения о влиянии изменений на этот маршрут по умолчанию см. в префиксе адреса 0.0.0.0/0.

Получение общедоступной конечной точки строка подключения

Перейдите на страницу конфигурации управляемого экземпляра SQL, которая была включена для общедоступной конечной точки. В разделе конфигурации Параметры перейдите на вкладку Строки подключения.
Имя узла общедоступной конечной точки имеет формат <mi_name>.public.<dns_zone>.database.windows.net, а порт, используемый для подключения, равен 3342. Ниже приведен пример строки подключения, обозначающей порт общедоступной конечной точки, который можно использовать в подключениях SQL Server Management Studio: <mi_name>.public.<dns_zone>.database.windows.net,3342

Следующий шаг

Безопасное использование управляемого экземпляра SQL Azure с общедоступными конечными точками

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2025-09-11