Governance e sicurezza per i Istanza gestita di SQL abilitati per Azure Arc

Questo articolo fornisce considerazioni chiave sulla progettazione e procedure consigliate per la governance, la sicurezza e la conformità per pianificare e implementare distribuzioni di Istanza gestita di SQL abilitate per Azure Arc. Mentre la documentazione della zona di destinazione su scala aziendale illustra la governance e la sicurezza come argomenti separati, queste aree di progettazione critiche vengono consolidate in un unico argomento per le Istanza gestita di SQL abilitate per Arc.

Architettura

Il diagramma seguente illustra un'architettura di riferimento concettuale che illustra le aree di progettazione di sicurezza, conformità e governance per le Istanza gestita di SQL abilitate per Arc:

Considerazioni relative alla progettazione

Questa sezione contiene considerazioni sulla progettazione da tenere presenti durante la pianificazione della sicurezza e della governance delle Istanza gestita di SQL abilitate per Arc.

Esaminare le aree di progettazione della sicurezza e della governance delle zone di destinazione di Azure per valutare l'effetto delle Istanza gestita di SQL abilitate per Arc sui modelli di governance e sicurezza complessivi.

Discipline di governance

• Esaminare l'area di progettazione critica dell'organizzazione delle risorse per le procedure consigliate sull'applicazione della governance nella zona di destinazione.
• Esaminare e applicare la convenzione di denominazione dell'organizzazione per le risorse ibride, ad esempio le Istanza gestita di SQL abilitate per Arc, il titolare del trattamento dei dati e la posizione personalizzata.
• Esaminare i profili di configurazione predefiniti per la modalità indirettamente Connessione ed e decidere se sono necessari profili personalizzati in base all'infrastruttura Kubernetes.

Privacy e residenza dei dati

• Considerare le aree di Azure in cui si prevede di distribuire le Istanza gestita di SQL abilitate per Arc e i titolari dei dati in base ai requisiti di sicurezza e conformità, tenendo conto dei requisiti di sovranità dei dati. Comprendere i dati raccolti dalle risorse in modalità direttamente e indirettamente Connessione ed e pianificare di conseguenza in base ai requisiti di residenza dei dati dell'organizzazione.

Sicurezza del cluster

• Le Istanza gestita di SQL abilitate per Arc possono risiedere in cluster Kubernetes ibridi o multicloud. Esaminare le considerazioni sulla sicurezza e sulla governance per il provider di servizi cloud scelto e la distribuzione di Kubernetes.
• Esaminare le considerazioni sulla progettazione nell'area di progettazione delle discipline di progettazione di Kubernetes abilitate per Azure Arc.

Sicurezza di rete

• Esaminare l'area di progettazione critica della connettività di rete per le procedure consigliate e le linee guida.
• Decidere la modalità di connettività da usare per il Istanza gestita di SQL abilitato per Arc a seconda dei requisiti di sicurezza e conformità dell'organizzazione.
• A seconda della posizione in cui viene distribuito il cluster, prendere in considerazione le porte di rete e gli endpoint necessari per il monitoraggio delle Istanza gestita di SQL abilitate per Arc usando Grafana e Kibana.
• Quando si crea il controller di dati, decidere quale tipo di servizio si userà tra Kubernetes LoadBalancer o NodePort.

Gestione delle identità e dell'accesso

• Esaminare la gestione delle identità e degli accessi per le Istanza gestita di SQL abilitate per Arc per procedure consigliate e indicazioni.
• Considerando la separazione dei compiti e dei requisiti di accesso con privilegi minimi dell'organizzazione, definire l'amministrazione del cluster, le operazioni, l'amministrazione del database e i ruoli di sviluppatore all'interno dell'organizzazione. Il mapping di ogni team alle azioni e alle responsabilità determina i ruoli di controllo degli accessi in base al ruolo di Azure o il cluster KubernetesRoleBinding e RoleBinding a seconda della modalità di connettività usata.
• Prendere in considerazione l'uso di una matrice di parti responsabili, responsabili, consultate e informate (RACI) per supportare questo sforzo. Compilare i controlli nella gerarchia dell'ambito di gestione definiti in base alla coerenza delle risorse e alle linee guida per la gestione dell'inventario.
• La distribuzione di Azure Arc Data Controller richiede alcune autorizzazioni che possono essere considerate privilegi elevati, ad esempio la creazione di uno spazio dei nomi Kubernetes o la creazione di un ruolo del cluster. Comprendere le autorizzazioni necessarie per evitare privilegi eccessivi.
• Decidere il modello di autenticazione da usare all'interno dell'Istanza gestita di SQL abilitata per Arc, sia che si tratti dell'autenticazione Di Microsoft Entra o dell'autenticazione SQL. Esaminare l'area di progettazione della gestione delle identità e degli accessi per considerazioni sulla progettazione e consigli per scegliere la modalità di autenticazione corretta.
• Prendere in considerazione le differenze tra keytab gestito dal sistema e keytab gestito dal cliente per distribuire il connettore Azure Arc AD per supportare l'autenticazione di Microsoft Entra nei Istanza gestita di SQL abilitati per Arc. Entrambi i metodi hanno il vantaggio di operazioni semplificate rispetto al controllo completo dei clienti della gestione degli account del servizio e della keytab per il supporto per l'autenticazione di Microsoft Entra.

Sicurezza Istanza gestita di SQL abilitata per Azure Arc

• Decidere la modalità di connettività, considerando i compromessi tra avere e non avere una connessione diretta ad Azure e come può influire sulle istanze ibride e multicloud usando le funzionalità di sicurezza correnti e future abilitate da Azure.
• Esaminare le funzionalità di sicurezza disponibili nelle Istanza gestita di SQL abilitate per Arc per i carichi di lavoro dei dati.
• Definire la piattaforma di archiviazione da usare per i volumi permanenti all'interno dei cluster Kubernetes e comprendere le funzionalità di sicurezza disponibili per proteggere i dati che risiedono nei volumi persistenti. Esaminare l'area di progettazione critica delle discipline di archiviazione durante la progettazione per la zona di destinazione.
• Esaminare i requisiti e l'architettura di Transparent Data Encryption prima di abilitarlo nei Istanza gestita di SQL abilitati per Arc.
• Prendere in considerazione le diverse posizioni in cui è possibile archiviare le credenziali di Transparent Data Encryption in base ai criteri e alle procedure di gestione delle chiavi crittografiche dell'organizzazione.
• Quando si distribuisce un Istanza gestita di SQL abilitato per Arc indirettamente Connessione modalità, decidere l'autorità di certificazione che verrà usata per fornire il certificato gestito dall'utente in base ai requisiti di sicurezza e conformità dell'organizzazione.
• La distribuzione di Istanza gestita di SQL abilitate per Arc in modalità direttamente Connessione ed fornisce un certificato gestito dal sistema con funzionalità di rotazione automatica. Indirettamente Connessione modalità, è necessario l'intervento manuale per ruotare un certificato gestito dall'utente. Quando si sceglie la modalità di connettività da distribuire, prendere in considerazione le operazioni manuali e i requisiti di sicurezza.
• Prendere in considerazione la necessità di mantenere aggiornato l'Istanza gestita di SQL abilitata per Arc con le versioni più recenti, indipendentemente dal fatto che vengano distribuite in modalità direttamente o indirettamente Connessione ed. Per altre indicazioni, vedere l'area di progettazione critica delle discipline di aggiornamento.

Strategia di monitoraggio

• Esaminare la progettazione e la pianificazione dell'area di progettazione critica delle discipline di gestione per raccogliere metriche e log dalle risorse ibride in un'area di lavoro Log Analytics per ulteriori analisi, controllo e avvisi
• Comprendere le autorizzazioni con privilegi minimi necessarie per l'entità servizio per caricare log e metriche in Monitoraggio di Azure.

Suggerimenti per la progettazione

Sicurezza di rete

• Proteggere i dashboard di monitoraggio di Grafana e Kibana con certificati SSL/TLS per la sicurezza del livello di trasporto.
• Usare LoadBalancer kubernetes come tipo di servizio quando si distribuiscono Istanza gestita di SQL con abilitazione di Arc per una migliore disponibilità.

Gestione delle identità e dell'accesso

• Preferire l'uso dell'autenticazione di Microsoft Entra per eseguire l'offload della gestione del ciclo di vita degli utenti nei servizi directory e usare i gruppi di sicurezza in Microsoft Entra ID per gestire le autorizzazioni utente per accedere al database SQL.
• Usare la modalità keytab gestita dal sistema per il supporto dell'autenticazione di Microsoft Entra per eseguire l'offload dell'account di dominio e del sovraccarico di gestione keytab per semplificare le operazioni.
• Se si usa l'autenticazione SQL, adottare criteri password sicuri e abilitare il controllo per monitorare le identità utente SQL e le autorizzazioni concesse per accedere a database e server di database.
• Dedicare uno spazio dei nomi Kubernetes per la distribuzione di Azure Arc Data Controller e assegnare le autorizzazioni con privilegi minimi per distribuire e gestire.
• Creare password complesse per i dashboard di Grafana e Kibana e assicurarsi di controllare e ruotare regolarmente.
• Monitorare il log attività delle Istanza gestita di SQL abilitate per Arc e i titolari dei dati per controllare le diverse operazioni che si verificano sulle risorse ibride. Creare avvisi per gli eventi pertinenti e integrarsi con strumenti siem (Security Information and Event Management), ad esempio Microsoft Sentinel per il monitoraggio della sicurezza e la risposta agli eventi imprevisti.

Sicurezza Istanza gestita di SQL abilitata per Azure Arc

• Quando possibile, scegliere Modalità diretta Connessione ed in modalità indirettamente Connessione distribuzione dei servizi dati abilitati per Azure Arc e dei Istanza gestita di SQL abilitati per Arc per assicurarsi di ottenere tutti i vantaggi correnti e futuri delle funzionalità di sicurezza associati alla modalità direttamente Connessione ed.
• Abilitare Transparent Data Encryption ogni volta che è possibile crittografare i dati inattivi.
• Archiviare le credenziali di Transparent Data Encryption in volumi persistenti per migliorare la resilienza.
• Usare le funzionalità della piattaforma di archiviazione per crittografare volumi permanenti in base ai requisiti di sicurezza e conformità dell'organizzazione.
• Assicurarsi di disporre dei criteri di backup in base ai requisiti per il ripristino dalla perdita di dati. Per altre indicazioni, vedere l'area di progettazione critica per la continuità aziendale e il ripristino di emergenza.
• Quando si esegue la distribuzione indirettamente Connessione modalità, creare un processo per ruotare il certificato gestito dall'utente.
• Assicurarsi di disporre di un processo per mantenere aggiornato il Istanza gestita di SQL abilitato per Arc alle versioni più recenti, indipendentemente dalla modalità di connettività.

Strategia di monitoraggio

• Monitorare la scadenza delle credenziali o la modifica dell'entità servizio usata per caricare metriche e log in Azure.
• Creare un processo per ruotare le credenziali dell'entità servizio in base ai requisiti di sicurezza e conformità dell'organizzazione.

Passaggi successivi

Per altre informazioni sul percorso cloud ibrido e multicloud, vedere gli articoli seguenti:

• Esaminare le funzionalità di Servizi dati abilitati per Azure Arc.
• Esaminare le distribuzioni kubernetes convalidate per i servizi dati abilitati per Azure Arc.
• Vedere Gestire ambienti ibridi e multicloud.
• Altre informazioni sull'uso delle Istanza gestita di SQL abilitate per Arc con privilegi minimi.
• Esperienza degli scenari automatizzati con abilitazione di Arc Istanza gestita di SQL con Jumpstart di Azure Arc.
• Per altre informazioni su Azure Arc, vedere il percorso di apprendimento di Azure Arc in Microsoft Learn.