Azure SQL Managed Instance のフェールオーバー グループを構成する

Create virtual network

Azure portal でセカンダリ インスタンスの仮想ネットワークを作成するには、次の手順に従います。

1. プライマリ インスタンスのアドレス空間を確認します。 Azure portal でプライマリ インスタンスの仮想ネットワーク リソースに移動し、[設定] で [アドレス空間] を選択します。 [アドレス範囲] の範囲を確認します。

   

2. [仮想ネットワークの作成] ページに移動して、セカンダリ インスタンスに使用する予定の新しい仮想ネットワークを作成します。

3. [仮想ネットワークの作成] ページの [基本] タブで、次の操作を行います。

   1. セカンダリ インスタンスに使用するリソース グループを選択します。 新しいものが存在しない場合は作成します。
   2. 仮想ネットワークの名前 (vnet-sql-mi-secondary など) を指定します。
   3. プライマリ インスタンスがあるリージョンとペアになっているリージョンを選択します。

4. [仮想ネットワークの作成] ページの [IP アドレス] タブで、次の操作を行います。

   1. 既存の IPv4 アドレス スペースを削除するには、[アドレス空間の削除] を使用します。
   2. アドレス空間が削除されたら、[IPv4 アドレス空間の追加] を選択して新しい領域を追加し、プライマリ インスタンスの仮想ネットワークで使用されるアドレス空間とは異なる IP アドレス空間を指定します。 たとえば、現在のプライマリ インスタンスが 10.0.0.16 のアドレス空間を使用している場合は、セカンダリ インスタンスに使用する仮想ネットワークのアドレス空間に「10.1.0.0/16」を入力します。
   3. [+ サブネットの追加] を使用して、既定値を持つ既定のサブネットを追加します。
   4. [+ サブネットの追加] を使用して、既定のサブネットとは異なるアドレス範囲を使用して、セカンダリ インスタンス専用の ManagedInstance という名前の空のサブネットを追加します。 たとえば、プライマリ インスタンスでアドレス範囲 10.0.0.0 - 10.0.255.255 を使用している場合は、セカンダリ インスタンスのサブネットに 10.1.1.0 - 10.1.1.255 のサブネット範囲を指定します。

   

5. [確認と作成] を使用して設定を確認し、[作成] を使用して新しい仮想ネットワークを作成します。

セカンダリ インスタンスを作成する

仮想ネットワークの準備ができたら、次の手順に従って Azure portal でセカンダリ インスタンスを作成します。

1. Azure portal で、[Azure SQL Managed Instance の作成] に移動します。

2. [Azure SQL Managed Instance の作成] ページの [基本] タブで、以下を実行します。

   1. プライマリ インスタンスとペアになっているセカンダリ インスタンスのリージョンを選択します。
   2. プライマリ インスタンスのサービス レベルに一致するサービス レベルを選択します。

3. [Azure SQL Managed Instance の作成] ページの [ネットワーク] タブで、[仮想ネットワーク/サブネット] のドロップダウン リストを使用して、前に作成した仮想ネットワークとサブネットを選択します。

   

4. [Azure SQL Managed Instance の作成] ページの [追加設定] タブで、[フェールオーバー セカンダリとして使用する] に対して [はい] を選択し、ドロップダウン リストから適切なプライマリ インスタンスを選択します。

   

5. ビジネス ニーズに応じてインスタンスの残りの部分を構成し、[確認と作成] を使用して作成します。

PowerShell を使用して、仮想ネットワークとセカンダリ インスタンスの両方を作成できます。 両方を実行する完全な PowerShell スクリプト サンプルについては、「PowerShell を使用してインスタンスをフェールオーバー グループに追加する」を確認してください。

Azure PowerShell を使用してセカンダリ インスタンスを作成する場合は、必ずプライマリ インスタンスのゾーン ID を含む DnsZonePartner 値を指定してください。

Get-AzSqlInstance コマンドを使用してプライマリ インスタンスの DNS ゾーン ID をパラメーター化し、New-AzSqlInstance コマンドの DnsZonePartner パラメーターに渡すことができます。

# Get the DNS zone ID of the primary instance
$primaryManagedInstanceId = Get-AzSqlInstance -Name $primaryInstance -ResourceGroupName $resourceGroupName | Select-Object Id

1. Azure portal で、プライマリ マネージド インスタンスの仮想ネットワーク リソースに移動します。

2. [設定] で [ピアリング] を選択して [ピアリング] ページを開き、コマンド バーから [+ 追加] を使用して [ピアリングの追加] ページを開きます。

   

3. [ピアリングの追加] ページで、次の設定の値を入力または選択します。

   設定	説明
   リモート仮想ネットワークの概要
   [Peering link name](ピアリング リンク名)	ピアリングの名前は、仮想ネットワーク内で一意である必要があります。 この記事では、Fog-peering を使用します。
   仮想ネットワークのデプロイ モデル	[リソース マネージャー] を選択します。
   リソース ID を知っている	リソース ID がわかっている場合を除き、このチェック ボックスはオフのままにしておくことができます。
   サブスクリプション	ドロップダウン リストから、サブスクリプションを選択します。
   仮想ネットワーク	ドロップダウン リストからセカンダリ インスタンスの仮想ネットワークを選択します。
   リモート仮想ネットワーク ピアリングの設定
   "セカンダリ仮想ネットワーク" に "プライマリ仮想ネットワーク" へのアクセスを許可する	チェック ボックスをオンにして、2 つのネットワーク間の通信を許可します。 仮想ネットワーク間の通信を有効にすると、各仮想ネットワークに接続されているリソースは、同じ仮想ネットワークに接続されている場合と同様に、同じ帯域幅と待機時間で相互に通信できます。 2 つの仮想ネットワーク内のリソース間のすべての通信は、Azure プライベート ネットワーク経由で行われます。
   "セカンダリ仮想ネットワーク" が "プライマリ仮想ネットワーク" から転送されたトラフィックを受信することを許可する	このチェック ボックスをオンまたはオフにすることができ、どちらもこのガイドでは機能します。 詳細については、「ピアリングの作成」を参照してください。
   "セカンダリ仮想ネットワーク" 内のゲートウェイまたはルート サーバーが"プライマリ仮想ネットワーク" にトラフィックを転送することを許可する	このチェック ボックスをオンまたはオフにすることができ、どちらもこのガイドでは機能します。 詳細については、「ピアリングの作成」を参照してください。
   "セカンダリ仮想ネットワーク" を有効にして、"プライマリ仮想ネットワークのリモート ゲートウェイまたはルート サーバー" を使用する	このチェック ボックスはオフのままにします。 使用できるその他のオプションの詳細については、「ピアリングの作成」を参照してください。
   ローカル仮想ネットワークの概要
   [Peering link name](ピアリング リンク名)	リモート仮想ネットワークに使用されるのと同じピアリングの名前。 この記事では、Fog-peering を使用します。
   "プライマリ仮想ネットワーク" に "セカンダリ仮想ネットワーク" へのアクセスを許可する	チェック ボックスをオンにして、2 つのネットワーク間の通信を許可します。 仮想ネットワーク間の通信を有効にすると、各仮想ネットワークに接続されているリソースは、同じ仮想ネットワークに接続されている場合と同様に、同じ帯域幅と待機時間で相互に通信できます。 2 つの仮想ネットワーク内のリソース間のすべての通信は、Azure プライベート ネットワーク経由で行われます。
   "プライマリ仮想ネットワーク" が "セカンダリ仮想ネットワーク" から転送されたトラフィックを受信することを許可する	このチェック ボックスをオンまたはオフにすることができ、どちらもこのガイドでは機能します。 詳細については、「ピアリングの作成」を参照してください。
   "プライマリ仮想ネットワーク" 内のゲートウェイまたはルート サーバーが "セカンダリ仮想ネットワーク" にトラフィックを転送することを許可する	このチェック ボックスをオンまたはオフにすることができ、どちらもこのガイドでは機能します。 詳細については、「ピアリングの作成」を参照してください。
   "プライマリ仮想ネットワーク" を有効にして、"セカンダリ仮想ネットワーク" のリモート ゲートウェイまたはルート サーバーを使用する	このチェック ボックスはオフのままにします。 使用できるその他のオプションの詳細については、「ピアリングの作成」を参照してください。

4. [追加] を使用して、選択した仮想ネットワークとのピアリングを構成すると、自動的に [ピアリング] ページに戻り、2 つのネットワークが接続されていることが表示されます。

   

プライマリとセカンダリ マネージドインスタンスをホストする仮想ネットワーク間にグローバル仮想ネットワーク ピアリングを設定します。

# Create global virtual network peering
$primaryVirtualNetwork  = Get-AzVirtualNetwork `
                  -Name $primaryVNet `
                  -ResourceGroupName $resourceGroupName

$secondaryVirtualNetwork = Get-AzVirtualNetwork `
                  -Name $secondaryVNet `
                  -ResourceGroupName $resourceGroupName
                  
Write-host "Peering primary VNet to secondary VNet..."
Add-AzVirtualNetworkPeering `
 -Name primaryVnet-secondaryVNet1 `
 -VirtualNetwork $primaryVirtualNetwork `
 -RemoteVirtualNetworkId $secondaryVirtualNetwork.Id
 Write-host "Primary VNet peered to secondary VNet successfully."

Write-host "Peering secondary VNet to primary VNet..."
Add-AzVirtualNetworkPeering `
 -Name secondaryVNet-primaryVNet `
 -VirtualNetwork $secondaryVirtualNetwork `
 -RemoteVirtualNetworkId $primaryVirtualNetwork.Id
Write-host "Secondary VNet peered to primary VNet successfully."

Write-host "Checking peering state on the primary virtual network..."
Get-AzVirtualNetworkPeering `
-ResourceGroupName $resourceGroupName `
-VirtualNetworkName $primaryVNet `
| Select PeeringState

Write-host "Checking peering state on the secondary virtual network..."
Get-AzVirtualNetworkPeering `
-ResourceGroupName $resourceGroupName `
-VirtualNetworkName $secondaryVNet `
| Select PeeringState

このコード スニペットでは、次のコマンドを使用します。

Azure portal でネットワーク セキュリティ グループ (NSG) ポートを開くには、次の手順に従います。

1. プライマリ インスタンスのネットワーク セキュリティ グループ リソースに移動します。

2. [設定] で [受信セキュリティ規則] を選びます。 ポート 5022 と範囲 11000-11999 のトラフィックを許可する規則が既に存在するどうかを確認します。 既に存在し、ソースがビジネス ニーズを満たしている場合は、この手順をスキップします。 規則が存在しない場合、または別のソース (より安全な IP アドレスなど) を使用する場合は、既存の規則を削除し、コマンド バーから [ + 追加] を選択して、[受信セキュリティ規則の追加] ページを開きます。

   

3. [受信セキュリティ規則の追加] ページで、次の設定の値を入力または選択します。

   設定	推奨値	説明
   ソース	IP アドレスまたはサービス タグ	通信のソースのフィルター。 IP アドレスは最も安全であり、運用環境に推奨されます。 サービス タグは、非運用環境に適しています。
   発信元サービス タグ	ソースとして [サービス タグ] を選択した場合は、ソース タグとして VirtualNetwork を指定します。	既定のタグは、IP アドレスのカテゴリを表す定義済みの識別子です。 VirtualNetwork タグは、すべての仮想およびローカル ネットワーク アドレス空間を表します。
   ソース IP アドレス	ソースとして [IP アドレス] を選択した場合は、セカンダリ インスタンスの IP アドレスを指定します。	CIDR 表記 (192.168.99.0/24 や 2001:1234::/64 など) または IP アドレス (192.168.99.0 や 2001:1234:: など) を使用してアドレス範囲を指定します。 IPv4 または IPv6 を使用して、IP アドレスまたはアドレス範囲のコンマ区切りのリストを指定することもできます。
   ソース ポート範囲	5022	これは、この規則で許可されるポート トラフィックを指定します。
   サービス	Custom	このサービスでは、このルールの宛先プロトコルとポート範囲を指定します。
   宛先ポート範囲	5022	これは、この規則で許可されるポート トラフィックを指定します。 このポートは、ソース ポートの範囲と一致する必要があります。
   アクション	Allow	指定したポートで通信を許可します。
   Protocol	TCP	ポート通信のプロトコルを決定します。
   優先度	1200	規則は優先度順に処理されます。値が小さいほど、優先度は高くなります。
   Name	allow_geodr_inbound	ルールの名前です。
   説明	省略可能	説明を入力するか、このフィールドを空白のままにすることができます。

   [追加] を選択して設定を保存し、新しいルールを追加します。

4. これらの手順を繰り返して、allow_redirect_inbound などの名前と、5022 規則より少し高い優先順位 (1100 など) を使用して、ポート範囲 11000-11999 に対して別の受信セキュリティ規則を追加します。

5. [設定] で [送信セキュリティ規則] を選びます。 ポート 5022 と範囲 11000-11999 のトラフィックを許可する規則が既に存在するどうかを確認します。 既に存在し、ソースがビジネス ニーズを満たしている場合は、この手順をスキップします。 規則が存在しない場合、または別のソース (より安全な IP アドレスなど) を使用する場合は、既存の規則を削除し、コマンド バーから [+ 追加] を選択して、[送信セキュリティ規則の追加] ページを開きます。

6. [送信セキュリティ規則の追加] ページで、受信ポートの場合と同じ構成をポート 5022 に使用し、範囲 11000-11999 を使用します。

7. セカンダリ インスタンスのネットワーク セキュリティ グループに移動し、これらの手順を繰り返して、両方のネットワーク セキュリティ グループに次のルールが適用されるようにします。

   • ポート 5022 での受信トラフィックを許可する
   • ポート範囲 11000-11999 で受信トラフィックを許可する
   • ポート 5022 での送信トラフィックを許可する
   • ポート範囲 11000-11999 で送信トラフィックを許可する

Add-AzNetworkSecurityRuleConfig PowerShell コマンドを使用して既存のネットワーク セキュリティ グループを変更することで、両方の仮想ネットワークの NSG 規則を構成できます。 両方のネットワークを構成する完全な PowerShell スクリプト サンプルについては、「PowerShell を使用してインスタンスをフェールオーバー グループに追加する」を確認してください。

Azure portal を使用して、SQL Managed Instance のフェールオーバー グループを作成します。

1. Azure portal の左側のメニューで [Azure SQL] を選択します。 [Azure SQL] が一覧にない場合は、 [すべてのサービス] を選択し、検索ボックスに「Azure SQL」と入力します。 (省略可能) [Azure SQL] の横にある星を選択し、左側のナビゲーションにお気に入りの項目として追加します。

2. フェールオーバー グループに追加するプライマリ マネージド インスタンスを選択します。

3. [データ管理] で、[フェールオーバー グループ] を選択し、[グループの追加] を使用して [インスタンスのフェールオーバー グループ] ページを開きます。

   

4. [インスタンス フェールオーバー グループ] ページで、次の手順を実行します。

   1. [プライマリ マネージド インスタンス] が事前に選択されています。
   2. [フェールオーバー グループ名] に、フェールオーバー グループの名前を入力します。
   3. [セカンダリ マネージド インスタンス] で、フェールオーバー グループのセカンダリとして使用するマネージド インスタンスを選択します。
   4. ドロップダウン リストから [読み取り/書き込みフェールオーバー ポリシー] を選択します。 フェールオーバーを制御するには、[手動] をお勧めします。
   5. このレプリカをディザスター リカバリーのみに使用する場合を除き、[フェールオーバー権限を有効にする] は [オフ] のままにしておきます。
   6. [作成] を使用して設定を保存し、フェールオーバー グループを作成します。

   

5. フェールオーバー グループのデプロイが開始されると、[フェールオーバー グループ] ページに戻ります。 デプロイが完了すると、ページが更新され、新しいフェールオーバー グループが表示されます。

New-AzSqlDatabaseInstanceFailoverGroup を使用し、PowerShell を使用してマネージド インスタンスのフェールオーバー グループを作成します。

# Create failover group
Write-host "Creating the failover group..."
$failoverGroup = New-AzSqlDatabaseInstanceFailoverGroup -Name $failoverGroupName `
     -Location $location -ResourceGroupName $resourceGroupName -PrimaryManagedInstanceName $primaryInstance `
     -PartnerRegion $drLocation -PartnerManagedInstanceName $secondaryInstance `
     -FailoverPolicy Manual -GracePeriodWithDataLossHours 1
$failoverGroup

Azure portal を使用して、フェールオーバー グループのフェールオーバーをテストします。

1. Azure portal 内のプライマリまたはセカンダリ マネージド インスタンスに移動します。

2. [データ管理] で [フェールオーバー グループ] を選びます。

3. [フェールオーバー グループ] ページで、どのインスタンスがプライマリ インスタンスで、どのインスタンスがセカンダリ インスタンスであるかをメモします。

4. [フェールオーバー グループ] ページで、コマンド バーから [フェールオーバー] を選択します。 TDS セッションの切断に関する警告で [はい] を選択し、ライセンスへの影響をメモします。

   

5. [フェールオーバー グループ] ページで、フェールオーバーが成功した後、インスタンスはロールを切り替え、前のセカンダリが新しいプライマリになり、前のプライマリが新しいセカンダリになります。

   重要

   ロールが切り替わらなかった場合は、インスタンスと関連する NSG の間の接続とファイアウォール規則を確認します。 次のステップに進むのは、ロールが切り替わった後にしてください。

6. (省略可能) [フェールオーバー グループ] ページで、[フェールオーバー] を使用してロールを切り替え、元のプライマリが再びプライマリになるようにします。

PowerShell を使用してセカンダリ レプリカにフェールオーバーし、その後フェールバックして、計画フェールオーバーをテストします。

各インスタンスのロールを確認する

Get-AzSqlDatabaseInstanceFailoverGroup コマンドを使用して、各インスタンスのロールを確認します。

# Verify the current primary role
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName `
    -Location $location -Name $failoverGroupName

セカンダリ インスタンスにフェールオーバーする

Switch-AzSqlDatabaseFailoverGroup を使用して、セカンダリ インスタンスにフェールオーバーします。

# Failover the primary managed instance to the secondary role
Write-host "Failing primary over to the secondary location"
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName `
    -Location $drLocation -Name $failoverGroupName | Switch-AzSqlDatabaseInstanceFailoverGroup
Write-host "Successfully failed failover group to secondary location"

# Verify the current primary role
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName `
    -Location $drLocation -Name $failoverGroupName

各インスタンスのロールを確認する

Get-AzSqlDatabaseInstanceFailoverGroup コマンドを使用して、各インスタンスのロールを確認します。

# Verify the current primary role
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName `
    -Location $location -Name $failoverGroupName

フェールオーバー グループをプライマリ サーバーに戻す

必要に応じて、Switch-AzSqlDatabaseFailoverGroup コマンドを使用して、プライマリ インスタンスにフェールバックします。

# Fail primary managed instance back to primary role
Write-host "Failing primary back to primary role"
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName `
    -Location $location -Name $failoverGroupName | Switch-AzSqlDatabaseInstanceFailoverGroup
Write-host "Successfully failed failover group to primary location"

# Verify the current primary role
Get-AzSqlDatabaseInstanceFailoverGroup -ResourceGroupName $resourceGroupName `
    -Location $location -Name $failoverGroupName