Aktivieren von SQL Insights (Vorschau)

Gilt für: Azure SQL Database Azure SQL Managed Instance

In diesem Artikel wird beschrieben, wie Sie SQL Insights (Vorschau) zum Überwachen Ihrer SQL-Bereitstellungen aktivieren. Die Überwachung erfolgt über einen virtuellen Azure-Computer, der eine Verbindung mit Ihren SQL-Bereitstellungen herstellt und dynamische Verwaltungssichten (Dynamic Management Views, DMVs) verwendet, um Überwachungsdaten zu erfassen. Sie können mithilfe eines Überwachungsprofils steuern, welche Datasets mit welcher Häufigkeit gesammelt werden.

Informationen zum Aktivieren von SQL Insights (Vorschau) durch Erstellen des Überwachungsprofils und des virtuellen Computers mithilfe einer Resource Manager-Vorlage finden Sie unter Beispiele für Resource Manager-Vorlagen für SQL Insights (Vorschau).

Erstellen eines Log Analytics-Arbeitsbereichs

SQL Insights speichert die Daten in mindestens einem Log Analytics-Arbeitsbereich. Bevor Sie SQL Insights aktivieren können, müssen Sie entweder einen Arbeitsbereich erstellen oder einen vorhandenen auswählen. Ein einzelner Arbeitsbereich kann mit mehreren Überwachungsprofilen verwendet werden, aber der Arbeitsbereich und die Profile müssen sich in derselben Azure-Region befinden. Um die Features in SQL Insights aktivieren und darauf zugreifen zu können, müssen Sie im Arbeitsbereich über die Rolle Log Analytics-Mitwirkender verfügen.

Erstellen eines Überwachungsbenutzers

Sie benötigen einen Benutzer (Anmeldname) für die SQL-Bereitstellungen, die Sie überwachen möchten. Führen Sie die folgenden Verfahren für verschiedene Arten von SQL-Bereitstellungen aus.

Die folgenden Anweisungen beziehen sich auf den Prozess pro SQL-Typ, den Sie überwachen können. Um dies mit einem Skript für mehrere SQL-Ressourcen gleichzeitig zu erreichen, lesen Sie die folgende README-Datei und das Beispielskript.

CREATE USER [user] WITH PASSWORD = N'mystrongpassword'; 
GO 
GRANT VIEW DATABASE STATE TO [user]; 
GO 

select name as username,
       create_date,
       modify_date,
       type_desc as type,
       authentication_type_desc as authentication_type
from sys.database_principals
where type not in ('A', 'G', 'R', 'X')
       and sid is not null
order by username

USE master; 
GO 
CREATE LOGIN [user] WITH PASSWORD = N'mystrongpassword'; 
GO 
GRANT VIEW SERVER STATE TO [user]; 
GO 
GRANT VIEW ANY DEFINITION TO [user]; 
GO 

USE master; 
GO 
CREATE LOGIN [user] WITH PASSWORD = N'mystrongpassword'; 
GO 
GRANT VIEW SERVER STATE TO [user]; 
GO 
GRANT VIEW ANY DEFINITION TO [user]; 
GO

select name as username,
       create_date,
       modify_date,
       type_desc as type
from sys.server_principals
where type not in ('A', 'G', 'R', 'X')
       and sid is not null
order by username

Erstellen eines virtuellen Azure-Computers

Sie müssen mindestens einen virtuellen Azure-Computer erstellen, der zum Sammeln von Daten zum Überwachen von SQL verwendet wird.

Anforderungen für virtuelle Azure-Maschinen

Für den virtuellen Azure-Computer gelten folgende Anforderungen:

• Betriebssystem: Ubuntu 18.04 mit Azure Marketplace-Image. Benutzerdefinierte Images werden nicht unterstützt. Um die Extended Security Maintenance (ESM) für diese Version von Ubuntu zu erhalten, empfehlen wir die Verwendung des Ubuntu Pro 18.04 LTS Marketplace-Images. Unter Support für Linux und Open-Source-Technologie in Azure finden Sie weitere Informationen.
• Empfohlene Mindestgrößen für virtuelle Azure-Computer: Standard_B2s (2 CPUs, 4 GiB Arbeitsspeicher)
• Bereitstellung in einer beliebigen Azure-Region , die vom Azure Monitor-Agent unterstützt wird , und Erfüllung aller Voraussetzungen des Azure Monitor-Agents.

Abhängig von den Netzwerkeinstellungen Ihrer SQL-Ressourcen müssen die virtuellen Maschinen möglicherweise in dasselbe virtuelle Netzwerk wie Ihre SQL-Ressourcen platziert werden, damit sie Netzwerkverbindungen herstellen können, um Überwachungsdaten zu sammeln.

Konfigurieren der Netzwerkeinstellungen

Jeder SQL-Typ bietet Methoden, mit denen der virtuelle Computer für die Überwachung sicher auf SQL zugreifen können. In den folgenden Abschnitten werden die Optionen basierend auf dem SQL-Bereitstellungstyp behandelt.

Speichern des Überwachungskennworts in Azure Key Vault

Aus Sicherheitsgründen wird dringend empfohlen, die Kennwörter für SQL-Benutzer (Anmeldename) in einem Key Vault zu speichern, anstatt sie direkt in die Verbindungszeichenfolgen Ihres Überwachungsprofils einzugeben.

Wenn Sie Ihr Profil für die SQL-Überwachung einrichten, benötigen Sie eine der folgenden Berechtigungen für die Key Vault-Ressource, die Sie verwenden möchten:

• Microsoft.Authorization/roleAssignments/write
• Microsoft.Authorization/roleAssignments/delete

Beim Erstellen des SQL-Überwachungsprofils, das die von Ihnen angegebene Key Vault-Instanz verwendet, wird automatisch eine neue Zugriffsrichtlinie erstellt.

Erstellen eines SQL-Überwachungsprofils

Sie können SQL Insights (Vorschau) durch Auswählen von SQL (Vorschau) im Bereich Insights des Menüs Azure Monitor im Azure-Portal öffnen. Klicken Sie auf Neues Profil erstellen.

Im Profil werden die Informationen gespeichert, die Sie aus Ihren SQL-Systemen erfassen möchten. Es bietet spezifische Einstellungen für:

• Azure SQL-Datenbank
• Verwaltete Azure SQL-Instanz
• SQL Server auf Azure VMs

Sie können z. B. ein Profil mit dem Namen SQL-Produktion und ein anderes namens SQL-Staging mit anderen Einstellungen für die Häufigkeit der Datensammlung, die zu sammelnden Daten und den Arbeitsbereich, an den die Daten gesendet werden sollen, erstellen.

Das Profil wird als Datensammlungsregel-Ressource in dem Abonnement und der Ressourcengruppe Ihrer Wahl gespeichert. Für jedes Profil ist Folgendes erforderlich:

• Name. Kann nach der Erstellung nicht mehr bearbeitet werden.
• Der Standort. Dies ist eine Azure-Region.
• Log Analytics-Arbeitsbereich zum Speichern von Überwachungsdaten.
• Sammlungseinstellungen für die Häufigkeit und den Typ der zu sammelnden SQL-Überwachungsdaten.

Wählen Sie Überwachungsprofil erstellen aus, nachdem Sie die Details für Ihr Überwachungsprofil eingegeben haben. Es kann bis zu einer Minute dauern, bis das Profil bereitgestellt wird. Wenn das neue Profil nicht im Kombinationsfeld Überwachungsprofil angezeigt wird, wählen Sie die Schaltfläche „Aktualisieren“ aus, die nach Abschluss der Bereitstellung angezeigt werden sollte. Nachdem Sie das neue Profil ausgewählt haben, wählen Sie die Registerkarte Profil verwalten aus, um einen Überwachungscomputer hinzuzufügen, der dem Profil zugeordnet wird.

Hinzufügen des Überwachungscomputers

Wählen Sie Überwachungscomputer hinzufügen aus, um einen Add monitoring virtual machine Kontextbereich zu öffnen und den virtuellen Computer auszuwählen, den Sie zum Überwachen Ihrer SQL-Instanzen einrichten möchten. Geben Sie auch die Verbindungszeichenfolgen an.

Wählen Sie das Abonnement und den Namen des virtuellen Computers zur Überwachung aus. Wenn Sie den Schlüsseltresor zum Speichern von Kennwörtern für die Überwachungsanmeldungen verwenden (dringend empfohlen), wählen Sie unter Key vault subscriptions das Abonnement dieses Schlüsseltresors und dann unter KeyVault den Schlüsseltresor, in dem geheime Schlüssel gespeichert werden. Geben Sie in das Feld Connection strings den Tresor-URI und den geheimen Namen für jedes Kennwort ein, das in den Verbindungszeichenfolgen verwendet werden soll.

Wenn z. B. der Schlüsseltresor-URI https://mykeyvault.vault.azure.net/ lautet und die geheimen Namen sqlPassword1 und sqlPassword2 sind, enthält der JSON-Code im Feld Connection strings Folgendes:

{
   "secrets": {
      "telegrafPassword1": {
         "keyvault": "https://mykeyvault.vault.azure.net/",
         "name": "sqlPassword1"
      },
      "telegrafPassword2": {
         "keyvault": "https://mykeyvault.vault.azure.net/",
         "name": "sqlPassword2"
      }
   }
}

Sie können nun im Feld Connection strings auf diese geheimen Schlüssel weiter verweisen. Im folgenden Beispiel verweisen die beiden Verbindungszeichenfolgen auf die zuvor definierten geheimen Schlüssel telegrafPassword1 und telegrafPassword2:

{
   "sqlAzureConnections": [
      "Server=mysqlserver.database.windows.net;Port=1433;Database=mydatabase;User Id=telegraf;Password=$telegrafPassword1;"
   ],
   "sqlVmConnections": [
      "Server=mysqlserver1;Port=1433;Database=master;User Id=telegraf;Password=$telegrafPassword2;"
   ]
}

Weitere Informationen zum Identifizieren der Verbindungszeichenfolge für verschiedene SQL-Bereitstellungen finden Sie im nächsten Abschnitt.

Hinzufügen von Verbindungszeichenfolgen

Die Verbindungszeichenfolge gibt den Anmeldenamen an, den SQL Insights (Vorschau) bei der Anmeldung bei SQL zum Erfassen von Überwachungsdaten verwenden soll. Wenn Sie einen Key Vault verwenden, um das Kennwort für den Überwachungsbenutzer zu speichern, geben Sie den URI für den Key Vault und den Namen des Geheimnisses an, das das Kennwort enthält.

Die Verbindungszeichenfolge ist für jeden SQL-Ressourcentyp unterschiedlich:

"sqlAzureConnections": [
   "Server=mysqlserver1.database.windows.net;Port=1433;Database=mydatabase;User Id=$username;Password=$password;",
   "Server=mysqlserver2.database.windows.net;Port=1433;Database=mydatabase;User Id=$username;Password=$password;"
]

"sqlManagedInstanceConnections": [
   "Server= mysqlserver1.<dns_zone>.database.windows.net;Port=1433;User Id=$username;Password=$password;",
   "Server= mysqlserver2.<dns_zone>.database.windows.net;Port=1433;User Id=$username;Password=$password;" 
] 

"sqlVmConnections": [
   "Server=SQLServerInstanceIPAddress1;Port=1433;User Id=$username;Password=$password;",
   "Server=SQLServerInstanceIPAddress2;Port=1433;User Id=$username;Password=$password;"
] 

SELECT DISTINCT local_net_address, local_tcp_port
FROM sys.dm_exec_connections
WHERE net_transport = 'TCP'
      AND
      protocol_type = 'TSQL';