Управление трафиком в Управляемом экземпляре SQL Azure

В этой статье описывается, как Управляемый экземпляр SQL Azure управляет разницей в трафике между управляемым пользователем и управляемым службой трафиком.

Обзор

Как платформа как услуга (PaaS), управляемый экземпляр SQL управляет его сетевым трафиком. В традиционной локальной среде SQL Server регулярные обновления трафика, обслуживание и мониторинг обычно работают в той же сети, что и клиентские данные. В управляемом экземпляре SQL эти потоки проходят через внутренние сети Azure, чтобы обеспечить автоматизированное, бесшовное, безопасное и контролируемое управление службами.

Внутренний трафик, управляемый службой, отличается от трафика пользователей (известного как управляемый пользователем трафик), чтобы обеспечить, чтобы операции службы не влияли на рабочие нагрузки пользователей и наоборот. Трафик разделяется на эти две категории, как показано на следующей схеме:

Схема разделения управляемого пользователем трафика и управляемого службой трафика в Управляемом экземпляре SQL Azure.

Управляемый пользователем трафик

Управляемый пользователем трафик устанавливается по запросу между клиентами ИЛИ приложениями SQL и Управляемым экземпляром SQL Azure. Он состоит из:

  • Весь входящий трафик, направленный на конечные точки управляемого экземпляра SQL в виртуальной сети
  • Весь исходящий трафик, исходящий из управляемых экземпляров SQL в виртуальной сети

Управляемый пользователем трафик исходит из и завершает работу виртуальных сетей, принадлежащих пользователю Управляемого экземпляра SQL, что делает его предметом сетевой конфигурации этой виртуальной сети. Это означает, что стандартные механизмы управления сетями и конфигурации также применяются к трафику управляемого экземпляра SQL, включая брандмауэры, правила группы безопасности сети, таблицы маршрутов, разрешение доменных имен и многое другое. Таким образом, это ответственность пользователей Управляемого экземпляра SQL, чтобы гарантировать, что управляемый пользователем трафик фактически может достичь своего назначения. Эта ответственность особенно важна для трафика к локальной конечной точке виртуальной сети. Исходящий трафик, исходящий из управляемых экземпляров SQL, управляется аналогичным образом.

Как защищенный управляемый пользователем трафик?

Так как управляемый пользователем трафик проходит через виртуальную сеть, которая принадлежит вам и управляется, она подвергается массиву средств безопасности, аудита, мониторинга и наблюдаемости, доступных в Azure. Дополнительные сведения о рекомендациях и элементах управления см. в следующем разделе:

Управляемый службой трафик

Управляемый экземпляр SQL использует управляемый службой трафик для выполнения действий по обслуживанию, таких как регулярное резервное копирование, создание телеметрии службы и получение обновлений программного обеспечения.

Управляемый службой трафик включает два самолета:

  • Контрольная плоскость
  • Внутренняя плоскость данных

Контрольная плоскость

Плоскость управления состоит из компонентов, которые управляют конфигурацией и поведением службы PaaS, например получение и хранение сведений о работоспособности службы, мониторинге, масштабировании и развертывании. Например, при развертывании нового экземпляра компоненты в плоскости управления управляют подготовкой ресурсов и их конфигурацией. Трафик плоскости управления отвечает за компонент данных этих действий.

Внутренняя плоскость данных

Компоненты внутренней плоскости данных оркеструют операции с пользовательскими данными, чтобы обеспечить их устойчивость, высокий уровень доступности и непрерывность работы ваших данных. В отличие от плоскости управления, которая не содержит пользовательских данных, внутренняя плоскость данных передает данные, хранящиеся в базах данных. Как и плоскость управления, конечные точки и службы в внутренней плоскости данных управляются и защищаются корпорацией Майкрософт.

Внутренний канал передачи данных упрощает регулярное резервное копирование, трафик репликации между репликами доступности, инициализацию данных, георепликацию в группах аварийного переключения и другие потоки данных, которые включают фактические пользовательские данные. Примеры внутреннего трафика плоскости передачи данных:

  • Трафик из управляемого экземпляра SQL в учетные записи хранения, в которых хранятся автоматические резервные копии.
  • Трафик к конечным точкам телеметрии.
  • Аутентификация и обмен секретами с Microsoft Entra ID и Azure Key Vault.
  • Трафик к конечным точкам загрузки образов виртуальной машины и службе центра обновления Windows.
  • Операции передачи данных, инициированные и управляемые службой, такие как резервные копии данных, и некоторые репликации данных между репликами.
  • Отражение трафика в сети fabric.

Как обеспечивается защита трафика, управляемого службой?

Управляемый службой трафик является неотъемлемой частью непрерывной работы PaaS и достижения целей уровня обслуживания (SLO). По этой причине корпорация Майкрософт гарантирует, что этот трафик не прерывается, непрерывно доступен, отслеживается и защищается.

Сетевой трафик между компонентами в плоскости управления и в внутренней плоскости данных шифруется. Все подключения проходят проверку подлинности, а операции разрешены в соответствии с принципом наименьших привилегий.

Брандмауэры L3/L4 защищают внутренние сетевые среды, где находятся компоненты управления и внутренние компоненты данных. Эти брандмауэры разрешают входящий и исходящий трафик только из известных источников и назначений.

Когда другие службы Azure участвуют в управляемом службой трафике (например, службе хранилища Azure или Azure Key Vault), управляемый экземпляр SQL обращается к ним через механизмы доступа к локальной сети, такие как частный канал Azure и конечные точки службы, чтобы свести к минимуму область воздействия сети. Проверка подлинности и авторизация выполняются с помощью субъектов, принадлежащих Майкрософт, уникальных для каждого клиента. Эти субъекты назначаются строго ограниченные наборы разрешений в соответствии с принципом наименьших привилегий.

Дополнительные сведения о возможностях безопасности Управляемого экземпляра SQL Azure см. в следующих статье:

Связанный контент

  • Last updated on