Configurare endpoint pubblici in Istanza gestita di SQL di Azure

Si applica a:Istanza gestita di SQL di Azure SQL

Gli endpoint pubblici per Istanza gestita di SQL di Azure consentono l'accesso ai dati dell'istanza gestita dall'esterno della rete virtuale. È possibile accedere all'istanza gestita da servizi di Azure multi-tenant come Power BI, Servizio app di Azure o una rete locale. Se si usa l'endpoint pubblico in un'istanza gestita, non è necessario usare una VPN e questo può aiutare a evitare problemi di produttività della VPN.

In questo articolo vengono illustrate le operazioni seguenti:

• Abilitare o disabilitare un endpoint pubblico per l'istanza gestita
• Configurare il gruppo di sicurezza di rete (NSG) dell'istanza gestita per consentire il traffico verso l'endpoint pubblico dell'istanza gestita
• Ottenere la stringa di connessione dell'endpoint pubblico dell'istanza gestita

Autorizzazioni

A causa dell'importanza dei dati in un'istanza gestita, la configurazione per abilitare l'endpoint pubblico dell'istanza gestita richiede un processo in due passaggi. Questa misura di sicurezza rispetta la separazione dei compiti (SoD):

• L'amministratore dell'istanza gestita deve abilitare l'endpoint pubblico nell'istanza gestita. È possibile trovare l'amministratore dell'istanza gestita nella pagina Panoramica della risorsa dell'istanza gestita.
• Un amministratore di rete deve consentire il traffico verso l'istanza gestita usando un gruppo di sicurezza di rete (NSG). Per altre informazioni, vedere Autorizzazioni del gruppo di sicurezza di rete.

Abilita endpoint pubblico

È possibile abilitare l'endpoint pubblico per Istanza gestita di SQL con il portale di Azure, Azure PowerShell o l'interfaccia della riga di comando di Azure.

Azure portal

Per abilitare l'endpoint pubblico per Istanza gestita di SQL nel portale di Azure, seguire questa procedura:

1. Accedere al portale di Azure.
2. Aprire il gruppo di risorse con l'istanza gestita e selezionare l'istanza gestita di SQL in cui si vuole configurare l'endpoint pubblico.
3. Nelle impostazioni Sicurezza, selezionare la scheda Networking.
4. Nella pagina Configurazione della rete virtuale, selezionare Abilita e quindi l'icona Salva per aggiornare la configurazione.

Azure PowerShell

Usare lo script di PowerShell di esempio per abilitare l'endpoint pubblico per Istanza gestita di SQL. Sostituire i valori seguenti:

• subscription-id con l'ID sottoscrizione
• rg-name con il gruppo di risorse dell'istanza gestita
• mi-name con il nome dell'istanza gestita

Per abilitare l'endpoint pubblico con PowerShell, eseguire lo script seguente:

Install-Module -Name Az

Import-Module Az.Accounts
Import-Module Az.Sql

Connect-AzAccount

# Use your subscription ID in place of subscription-id below

Select-AzSubscription -SubscriptionId {subscription-id}

# Replace rg-name with the resource group for your managed instance, and replace mi-name with the name of your managed instance

$mi = Get-AzSqlInstance -ResourceGroupName {rg-name} -Name {mi-name}

$mi = $mi | Set-AzSqlInstance -PublicDataEndpointEnabled $true -force

Interfaccia della riga di comando di Azure

Usare il comando dell'interfaccia della riga di comando di Azure di esempio per abilitare l'endpoint pubblico per Istanza gestita di SQL. Sostituire i valori seguenti:

• subscription con l'ID sottoscrizione
• rg-name con il gruppo di risorse dell'istanza gestita
• mi-name con il nome dell'istanza gestita

Per abilitare l'endpoint pubblico usando l'interfaccia della riga di comando di Azure, eseguire il seguente comando:

az sql mi update --subscription {subscription-id} --resource-group {rg-name} --name {mi-name} --public-data-endpoint-enabled true

Disabilitare l'endpoint pubblico

È possibile disabilitare l'endpoint pubblico per Istanza gestita di SQL con il portale di Azure, Azure PowerShell e l'interfaccia della riga di comando di Azure.

Azure portal

Per disabilitare l'endpoint pubblico con il portale di Azure, seguire questa procedura:

1. Accedere al portale di Azure.
2. Aprire il gruppo di risorse con l'istanza gestita e selezionare l'istanza gestita di SQL in cui si vuole configurare l'endpoint pubblico.
3. Nelle impostazioni Sicurezza, selezionare la scheda Networking.
4. Nella pagina Configurazione rete virtuale, selezionare Disabilita e quindi l'icona Salva per aggiornare la configurazione.

Azure PowerShell

Usare Azure PowerShell per disabilitare l'endpoint pubblico per Istanza gestita di SQL. Ricordarsi anche di chiudere la regola di sicurezza in ingresso per la porta 3342 nel gruppo di sicurezza di rete (NSG), se è stata configurata.

Per disabilitare l'endpoint pubblico, usare il comando seguente:

Set-AzSqlInstance -PublicDataEndpointEnabled $false -force

Interfaccia della riga di comando di Azure

Usare l'interfaccia della riga di comando di Azure per disabilitare l'endpoint pubblico per Istanza gestita di SQL. Sostituire i valori seguenti:

• subscription con l'ID sottoscrizione
• rg-name con il gruppo di risorse dell'istanza gestita
• mi-name con il nome dell'istanza gestita.

Ricordarsi anche di chiudere la regola di sicurezza in ingresso per la porta 3342 nel gruppo di sicurezza di rete (NSG), se è stata configurata.

Per disabilitare l'endpoint pubblico, usare il comando seguente:

az sql mi update --subscription {subscription-id} --resource-group {rg-name} --name {mi-name} --public-data-endpoint-enabled false

Consentire il traffico dell'endpoint pubblico nel gruppo di sicurezza di rete

Usare il portale di Azure per consentire il traffico pubblico all'interno del gruppo di sicurezza di rete. Seguire questa procedura:

1. Passare alla pagina Panoramica di Istanza gestita di SQL nel portale di Azure.

2. Selezionare il collegamento Rete virtuale/subnet che consente di visualizzare la pagina Configurazione rete virtuale.

   

3. Selezionare la scheda Subnet nel riquadro di configurazione della rete virtuale e prendere nota del nome SECURITY GROUP per l'istanza gestita.

   

4. Tornare al gruppo di risorse che contiene l'istanza gestita. Verrà visualizzato il nome Gruppo di sicurezza di rete annotato in precedenza. Selezionare il nome Gruppo di sicurezza di rete per aprire la pagina di configurazione del Gruppo di sicurezza di rete.

5. Selezionare la scheda Regole di sicurezza in ingresso e Aggiungere una regola con priorità più alta rispetto alla regola deny_all_inbound con le impostazioni seguenti:
   
   

   Impostazione	Valore suggerito	Descrizione
   Origine	Qualsiasi indirizzo IP o tag del servizio	Per i servizi Azure come Power BI, selezionare il tag del servizio cloud di Azure Per il computer o la macchina virtuale Azure, usare l'indirizzo IP NAT
   Intervalli porte di origine	*	Lasciare questa opzione su * (qualsiasi) perché le porte di origine vengono in genere allocate in modo dinamico e, di conseguenza, sono imprevedibili
   Destinazione	Any	Lasciare la destinazione come Qualsiasi per consentire il traffico nella subnet dell'istanza gestita
   Intervalli porte di destinazione	3342	Definire l'ambito della porta di destinazione a 3342, che è l'endpoint TDS pubblico dell'istanza gestita
   Protocollo	TCP	Istanza gestita di SQL usa il protocollo TCP per TDS
   Azione	Consenti	Consentire il traffico in ingresso all'istanza gestita tramite l'endpoint pubblico
   Priorità	1300	Assicurarsi che questa regola abbia priorità più alta rispetto alla regola deny_all_inbound

   

   Nota

   La porta 3342 viene usata per le connessioni dell'endpoint pubblico all'istanza gestita e non può essere modificata attualmente.

Confermare che il routing sia configurato correttamente

Una route con prefisso degli indirizzi 0.0.0.0/0 indica ad Azure come instradare il traffico destinato a un indirizzo IP che non è incluso nel prefisso degli indirizzi di qualsiasi altra route presente nella tabella di route della subnet. Quando si crea una subnet, Azure crea una route predefinita per il prefisso degli indirizzi 0.0.0.0/0, con tipo di hop successivo Internet.

La sostituzione di questa route predefinita senza aggiungere le route necessarie per garantire che il traffico dell'endpoint pubblico venga instradato direttamente a Internet può causare problemi di routing asimmetrico perché il traffico in ingresso non viene trasmesso tramite il gateway di appliance virtuale/rete virtuale. Assicurarsi che tutto il traffico che raggiunge l'istanza gestita tramite Internet pubblico venga anche restituito tramite Internet pubblico aggiungendo route specifiche per ogni origine o impostando la route predefinita sul prefisso degli indirizzi 0.0.0.0/0 su Internet come tipo di hop successivo.

Per altre informazioni dettagliate sull'impatto delle modifiche su questa route predefinita, vedere prefisso degli indirizzi 0.0.0.0/0.

Ottenere la stringa di connessione dell'endpoint pubblico

1. Passare alla pagina di configurazione dell'istanza gestita che è stata abilitata per l'endpoint pubblico. Selezionare la scheda Stringhe di connessione nella configurazione Impostazioni.

2. Il nome host dell'endpoint pubblico presenta il formato <mi_name>.public.<dns_zone>.database.windows.net e per la connessione viene usata la porta 3342. Di seguito è riportato un esempio di valore del server della stringa di connessione che indica la porta dell'endpoint pubblico che può essere usata nelle connessioni SQL Server Management Studio o Azure Data Studio: <mi_name>.public.<dns_zone>.database.windows.net,3342

   

Passaggi successivi

Informazioni sull'uso di Istanza gestita di SQL di Azure in modo sicuro con l'endpoint pubblico.