Preparar o seu ambiente para um link - Instância Gerenciada de SQL do Azure

Aplica-se a: Instância Gerenciada de SQL do Azure

Este artigo ensina como preparar seu ambiente para uma vinculação de instância gerenciada para que você possa duplicar entre o SQL Server instalado no Windows ou Linux e a Instância Gerenciada de SQL do Azure.

Pré-requisitos

Para criar um link entre o SQL Server e a Instância Gerenciada de SQL do Azure, você precisa dos seguintes pré-requisitos:

• Uma assinatura ativa do Azure. Se você não tiver uma, crie uma conta gratuita.
• Versão com suporte do SQL Server com a atualização de serviço necessária.
• Instância Gerenciada de SQL do Azure. Caso não a tenha, confira a introdução.
• Decida qual servidor você pretende que seja o primário inicial para determinar de onde você deve criar o link.
  • A configuração de um link da Instância Gerenciada de SQL primária para o SQL Server secundário tem suporte somente a partir da atualização cumulativa 10 do SQL Server 2022 e para instâncias configuradas com a política de atualizações do SQL Server 2022.

Permissões

No SQL Server, você deve ter permissões sysadmin.

Na Instância Gerenciada de SQL do Azure, você deve ser membro do Colaborador de Instância Gerenciada de SQL ou ter as seguintes permissões para uma função personalizada:

Prepare sua instância do SQL Server

Para preparar a instância do SQL Server, você precisará validar isso:

• Você tem a versão mínima com suporte.
• Você habilitou o recurso de grupos de disponibilidade.
• Você adicionou os sinalizadores de rastreamento apropriados na inicialização.
• Seus bancos de dados estão no modelo de recuperação completa e o backup foi feito.

Será necessário reiniciar o SQL Server para que essas alterações entrem em vigor.

Instalar atualizações de serviço

Certifique-se de que sua versão do SQL Server tenha a atualização de serviço apropriada instalada, conforme listado na tabela de compatibilidade de versão. Se precisar instalar atualizações, reinicie a instância do SQL Server durante a atualização.

Para verificar sua versão do SQL Server, execute o seguinte script de Transact-SQL (T-SQL) no SQL Server:

-- Run on SQL Server
-- Shows the version and CU of the SQL Server
USE master;
GO
SELECT @@VERSION as 'SQL Server version';

Criar uma chave mestra de banco de dados no banco de dados master

Crie uma chave mestra de banco de dados no banco de dados master, se ainda não houver uma. Insira sua senha no lugar de <strong_password> no script a seguir e guarde-a em um lugar confidencial e seguro. Execute este script T-SQL no SQL Server:

-- Run on SQL Server
-- Create a master key
USE master;
GO
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<strong_password>';

Para certificar-se de que você tem uma chave mestra do banco de dados, use o seguinte script T-SQL no SQL Server:

-- Run on SQL Server
USE master;
GO
SELECT * FROM sys.symmetric_keys WHERE name LIKE '%DatabaseMasterKey%';

Habilitar os grupos de disponibilidade

O recurso de link depende do recurso de grupos de disponibilidade Always On, que está desabilitado por padrão. Para obter mais informações, confira Habilitar o recurso de grupos de disponibilidade Always On.

Para confirmar que o recurso de grupos de disponibilidade está habilitado, execute o seguinte script de T-SQL no SQL Server:

-- Run on SQL Server
-- Is the availability groups feature enabled on this SQL Server
DECLARE @IsHadrEnabled sql_variant = (select SERVERPROPERTY('IsHadrEnabled'))
SELECT
    @IsHadrEnabled as 'Is HADR enabled',
    CASE @IsHadrEnabled
        WHEN 0 THEN 'Availability groups DISABLED.'
        WHEN 1 THEN 'Availability groups ENABLED.'
        ELSE 'Unknown status.'
    END
    as 'HADR status'

Se o recurso de grupos de disponibilidade não estiver habilitado, siga estas etapas para habilitá-lo:

1. Abra o SQL Server Configuration Manager.

2. Selecione Serviços do SQL Server no painel à esquerda.

3. Clique com o botão direito do mouse no serviço do SQL Server e selecione Propriedades.

   

4. Vá para a aba Grupos de Disponibilidade Always On.

5. Marque a caixa de seleção Habilitar os grupos de disponibilidade AlwaysOn e selecione OK.

   

   • Se estiver usando o SQL Server 2016 (13.x) e se a opção Habilitar grupos de disponibilidade AlwaysOn estiver desabilitada com a mensagem This computer is not a node in a failover cluster., siga as etapas extras descritas em Preparar os pré-requisitos do SQL Server 2016 - link da Instância Gerenciada de SQL do Azure. Depois de concluir essas outras etapas, volte e repita esta etapa novamente.

6. Selecione OK na caixa de diálogo.

7. Reinicie o serviço SQL Server.

Habilitar sinalizadores de rastreamento na inicialização

Para otimizar o desempenho do link, é recomendável habilitar os seguintes sinalizadores de rastreamento na inicialização:

• -T1800: esse sinalizador de rastreamento otimiza o desempenho quando os arquivos de log para as réplicas primária e secundária em um grupo de disponibilidade são hospedadas em discos com tamanhos diferentes de setor, como 512 bytes e 4 KB. Se tanto as réplicas primárias quanto as secundárias tiverem um tamanho de setor de disco de 4 KB, esse sinalizador de rastreamento não será necessário. Para obter mais informações, consulte KB3009974.
• -T9567: esse sinalizador de rastreamento habilita a compactação do fluxo de dados para grupos de disponibilidade durante a propagação automática. A compactação aumenta a carga no processador, mas pode reduzir consideravelmente o tempo de transferência durante a propagação.

Para habilitar esses sinalizadores de rastreamento na inicialização, use as etapas a seguir:

1. Abra o SQL Server Configuration Manager.

2. Selecione Serviços do SQL Server no painel à esquerda.

3. Clique com o botão direito do mouse no serviço do SQL Server e selecione Propriedades.

   

4. Vá para a guia Parâmetros de inicialização. Em Especificar um parâmetro de inicialização, insira -T1800 e selecione Adicionar para adicionar o parâmetro de inicialização. Em seguida, insira -T9567 e selecione adicionar para adicionar o outro sinalizador de rastreamento. Selecione Aplicar para salvar as alterações.

   

5. Clique em OK para fechar a janela Propriedades.

Para obter mais informações, consulte a sintaxe para habilitar os sinalizadores de rastreamento.

Reiniciar o SQL Server e validar a configuração

Após se certificar de que está em uma versão com suporte do SQL Server, habilitou o recurso Grupos de Disponibilidade AlwaysOn e adicionou os sinalizadores de rastreamento na inicialização, reinicie sua instância do SQL Server para aplicar todas essas alterações:

1. Abra o SQL Server Configuration Manager.

2. Selecione Serviços do SQL Server no painel à esquerda.

3. Clique com o botão direito do mouse no serviço do SQL Server e selecione Reiniciar.

   

Após a reinicialização, execute o seguinte script T-SQL no SQL Server para validar a configuração de sua instância do SQL Server:

-- Run on SQL Server
-- Shows the version and CU of SQL Server
USE master;
GO
SELECT @@VERSION as 'SQL Server version';
GO
-- Shows if the Always On availability groups feature is enabled
SELECT SERVERPROPERTY ('IsHadrEnabled') as 'Is Always On enabled? (1 true, 0 false)';
GO
-- Lists all trace flags enabled on SQL Server
DBCC TRACESTATUS;

Sua versão do SQL Server deve ser uma das versões compatíveis aplicadas com as atualizações de serviço apropriadas, e tanto o recurso de grupos de disponibilidade Always On quanto os sinalizadores de rastreamento -T1800 e -T9567 devem estar habilitados. A captura de tela a seguir é um exemplo do resultado esperado para uma instância do SQL Server que foi configurada corretamente:

Configurar a conectividade de rede

Para que o link funcione, você deve ter conectividade de rede entre o SQL Server e a Instância Gerenciada de SQL. A opção de rede escolhida depende se sua instância do SQL Server está ou não em uma rede do Azure.

SQL Server em Máquinas Virtuais do Azure

Implantar o SQL Server em Máquinas Virtuais do Azure na mesma rede virtual do Azure que hospeda a Instância Gerenciada do SQL é o método mais simples, porque a conectividade de rede existirá automaticamente entre as duas instâncias. Para obter mais informações, confira Início Rápido: Configure uma VM do Azure para conectar à Instância Gerenciada de SQL do Azure.

Se a instância do SQL Server em Máquinas Virtuais do Azure estiver em uma rede virtual diferente da sua instância gerenciada, você precisará criar uma conexão entre as duas redes virtuais. As redes virtuais não precisam estar na mesma assinatura para que esse cenário funcione.

Há duas opções para conectar redes virtuais:

• Emparelhamento de rede virtual do Azure
• Gateway de VPN VNET a VNET (portal do Azure, PowerShell, CLI do Azure)

O emparelhamento é preferível porque usa a rede de backbone da Microsoft. Portanto, da perspectiva de conectividade, não há nenhuma diferença perceptível na latência entre as máquinas virtuais na rede virtual emparelhada e na mesma rede virtual. O emparelhamento de rede virtual tem suporte entre as redes na mesma região. Há suporte para emparelhamento de rede virtual global para instâncias hospedadas em sub-redes criadas após 22 de setembro de 2020. Para obter mais informações, confira as Perguntas frequentes.

SQL Server fora do Azure

Se a instância do SQL Server estiver hospedada fora do Azure, estabeleça uma conexão VPN entre o SQL Server e a Instância Gerenciada do SQL usando uma das seguintes opções:

• Conexão VPN site a site
• Conexão do Azure ExpressRoute

Portas de rede entre os ambientes

Independentemente do mecanismo de conectividade, há requisitos a serem atendidos para que o tráfego de rede flua entre os ambientes:

As regras do NSG (Grupo de Segurança de Rede) na sub-rede que hospeda a instância gerenciada precisam permitir o seguinte:

• Porta de entrada 5022 e intervalo de portas 11000-11999 para receber tráfego do IP de SQL Server de origem
• Porta de saída 5022 para enviar tráfego para o IP de SQL Server de destino

Todos os firewalls na rede que hospeda o SQL Server e o sistema operacional host precisam permitir o seguinte:

• Porta de entrada 5022 aberta para receber tráfego do intervalo de IP de origem da sub-rede MI /24 (por exemplo, 10.0.0.0/24)
• As portas de saída 5022 e o intervalo de portas 11000-11999 foram abertos para enviar tráfego para o intervalo de IP de destino da sub-rede MI (exemplo 10.0.0.0/24)

A tabela a seguir descreve as ações da porta para cada ambiente:

Use o seguinte script do PowerShell no sistema operacional de host do Windows da instância do SQL Server para abrir portas no firewall do Windows:

New-NetFirewallRule -DisplayName "Allow TCP port 5022 inbound" -Direction inbound -Profile Any -Action Allow -LocalPort 5022 -Protocol TCP
New-NetFirewallRule -DisplayName "Allow TCP port 5022 outbound" -Direction outbound -Profile Any -Action Allow -LocalPort 5022 -Protocol TCP

O diagrama a seguir mostra um exemplo de um ambiente de rede local, indicando que todos os firewalls no ambiente precisam ter portas abertas, incluindo o firewall do sistema operacional que hospeda o SQL Server, bem como todos os firewalls corporativos e gateways:

Adicionar URLs à lista de permissões

Dependendo das configurações de segurança de rede, pode ser necessário adicionar URLs para o FQDN da Instância Gerenciada do SQL e alguns dos pontos de extremidade do Gerenciamento de Recursos usados pelo Azure à sua lista de permissões.

A lista a seguir lista os recursos que devem ser adicionados à sua lista de permissões:

• FQDN (nome de domínio totalmente qualificado) da Instância Gerenciada de SQL. Por exemplo: "managedinstance1.6d710bcf372b.database.windows.net".
• Autoridade do Microsoft Entra
• ID do recurso de ponto de extremidade do Microsoft Entra
• Ponto de Extremidade do Resource Manager
• Ponto de Extremidade do Serviço

Siga as etapas na seção Configurar o SSMS para nuvens governamentais para acessar a interface de Ferramentas no SQL Server Management Studio (SSMS) e identificar as URLs específicas para os recursos na nuvem que você precisa adicionar à sua lista de permissões.

Testar a conectividade de rede

A conectividade de rede bidirecional entre o SQL Server e a Instância Gerenciada de SQL é necessária para que o link funcione. Depois de abrir as portas no lado do SQL Server e configurar uma regra NSG no lado da Instância Gerenciada de SQL, teste a conectividade usando o SQL Server Management Studio (SSMS) ou o Transact-SQL.

Teste a rede criando um trabalho temporário do SQL Agent no SQL Server e na Instância Gerenciada de SQL para verificar a conexão entre as duas instâncias. Quando você usa o Verificador de Rede no SSMS, o trabalho é criado automaticamente para você e excluído após a conclusão do teste. Você precisará excluir manualmente o trabalho do SQL Agent se testar sua rede usando T-SQL.

Para usar o SQL Agent para testar a conectividade de rede, você precisará cumprir os seguintes requisitos:

• O usuário que faz o teste deve ter permissões para criar um trabalho (seja como um sysadmin ou pertencendo à função SQLAgentOperator para msdb) tanto para o SQL Server quanto para a Instância Gerenciada de SQL.
• O serviço SQL Server Agent deve estar em execução no SQL Server. Como o agente está ativado por padrão na Instância Gerenciada de SQL, nenhuma ação adicional é necessária.

-- Run on SQL Server
-- Create the certificate needed for the test endpoint
USE MASTER
CREATE CERTIFICATE TEST_CERT
WITH SUBJECT = N'Certificate for SQL Server',
EXPIRY_DATE = N'3/30/2051'
GO

-- Create the test endpoint on SQL Server
USE MASTER
CREATE ENDPOINT TEST_ENDPOINT
    STATE=STARTED
    AS TCP (LISTENER_PORT=5022, LISTENER_IP = ALL)
    FOR DATABASE_MIRRORING (
        ROLE=ALL,
        AUTHENTICATION = CERTIFICATE TEST_CERT,
        ENCRYPTION = REQUIRED ALGORITHM AES
    )

tnc localhost -port 5022

-- Run on SQL managed instance
-- SQL_SERVER_IP_ADDRESS should be an IP address that could be accessed from the SQL Managed Instance host machine.
DECLARE @SQLServerIpAddress NVARCHAR(MAX) = '<SQL_SERVER_IP_ADDRESS>'; -- insert your SQL Server IP address in here
DECLARE @tncCommand NVARCHAR(MAX) = 'tnc ' + @SQLServerIpAddress + ' -port 5022 -InformationLevel Quiet';
DECLARE @jobId BINARY(16);

IF EXISTS (
        SELECT *
        FROM msdb.dbo.sysjobs
        WHERE name = 'NetHelper'
        ) THROW 70000,
    'Agent job NetHelper already exists. Please rename the job, or drop the existing job before creating it again.',
    1
    -- To delete NetHelper job run: EXEC msdb.dbo.sp_delete_job @job_name=N'NetHelper'
    EXEC msdb.dbo.sp_add_job @job_name = N'NetHelper',
        @enabled = 1,
        @description = N'Test SQL Managed Instance to SQL Server network connectivity on port 5022.',
        @category_name = N'[Uncategorized (Local)]',
        @owner_login_name = N'sa',
        @job_id = @jobId OUTPUT;

EXEC msdb.dbo.sp_add_jobstep @job_id = @jobId,
    @step_name = N'TNC network probe from SQL MI to SQL Server',
    @step_id = 1,
    @os_run_priority = 0,
    @subsystem = N'PowerShell',
    @command = @tncCommand,
    @database_name = N'master',
    @flags = 40;

EXEC msdb.dbo.sp_update_job @job_id = @jobId,
    @start_step_id = 1;

EXEC msdb.dbo.sp_add_jobserver @job_id = @jobId,
    @server_name = N'(local)';

-- Run on managed instance
IF EXISTS(SELECT * FROM sys.objects WHERE name = 'ExecuteNetHelper')
    THROW 70001, 'Stored procedure ExecuteNetHelper already exists. Rename or drop the existing procedure before creating it again.', 1
GO
CREATE PROCEDURE ExecuteNetHelper AS
-- To delete the procedure run: DROP PROCEDURE ExecuteNetHelper
BEGIN
    -- Start the job.
    DECLARE @NetHelperstartTimeUtc DATETIME = GETUTCDATE();
    DECLARE @stop_exec_date DATETIME = NULL;

    EXEC msdb.dbo.sp_start_job @job_name = N'NetHelper';

    -- Wait for job to complete and then see the outcome.
    WHILE (@stop_exec_date IS NULL)
    BEGIN
        -- Wait and see if the job has completed.
        WAITFOR DELAY '00:00:01'

        SELECT @stop_exec_date = sja.stop_execution_date
        FROM msdb.dbo.sysjobs sj
        INNER JOIN msdb.dbo.sysjobactivity sja
            ON sj.job_id = sja.job_id
        WHERE sj.name = 'NetHelper'

        -- If job has completed, get the outcome of the network test.
        IF (@stop_exec_date IS NOT NULL)
        BEGIN
            SELECT sj.name JobName,
                sjsl.date_modified AS 'Date executed',
                sjs.step_name AS 'Step executed',
                sjsl.log AS 'Connectivity status'
            FROM msdb.dbo.sysjobs sj
            LEFT JOIN msdb.dbo.sysjobsteps sjs
                ON sj.job_id = sjs.job_id
            LEFT JOIN msdb.dbo.sysjobstepslogs sjsl
                ON sjs.step_uid = sjsl.step_uid
            WHERE sj.name = 'NetHelper'
        END

        -- In case of operation timeout (90 seconds), print timeout message.
        IF (datediff(second, @NetHelperstartTimeUtc, getutcdate()) > 90)
        BEGIN
            SELECT 'NetHelper timed out during the network check. Please investigate SQL Agent logs for more information.'

            BREAK;
        END
    END
END;

-- Run on managed instance
EXEC ExecuteNetHelper;

-- Run on SQL Server
DROP ENDPOINT TEST_ENDPOINT;
GO
DROP CERTIFICATE TEST_CERT;
GO

Migrar um certificado de um banco de dados protegido por TDE (opcional)

Se você estiver migrando um banco de dados do SQL Server protegido por TDE (Transparent Data Encryption) para uma instância gerenciada, migre o certificado de criptografia correspondente da instância do SQL Server local ou da VM do Azure para a instância gerenciada antes de usar o link. Para etapas detalhadas, consulte Migrar um certificado de um banco de dados protegido por TDE-para a Instância Gerenciada de SQL do Azure.

Os bancos de dados da Instância Gerenciada de SQL criptografados com chaves TDE gerenciadas pelo serviço não podem ser vinculados ao SQL Server. Você só poderá vincular um banco de dados criptografado no SQL Server se ele tiver sido criptografado com uma chave gerenciada pelo cliente e o servidor de destino tiver acesso à mesma chave usada para criptografar o banco de dados. Para obter mais informações, confira Configurar SQL Server TDE com o Azure Key Vault.

Instalar SSMS

O SSMS (SQL Server Management Studio) é a maneira mais fácil de usar o link da Instância Gerenciada. Baixe o SSMS versão 19.0 ou posterior e instale-o no computador cliente.

Após concluir a instalação, abra o SSMS e conecte-se à instância de SQL Server com suporte. Clique com o botão direito do mouse em um banco de dados de usuário e valide que a opção link da Instância Gerenciada de SQL do Azure aparece no menu.

Configurar o SSMS para as nuvens governamentais

Se você quiser implantar a Instância Gerenciada de SQL em uma nuvem governamental, precisará modificar as configurações do SQL Server Management Studio (SSMS) para usar a nuvem correta. Se você não estiver implantando a Instância Gerenciada de SQL em uma nuvem governamental, ignore esta etapa.

Para atualizar as configurações do SSMS, siga estas etapas:

1. Abra o SSMS.
2. No menu, escolha Ferramentas e Opções.
3. Expanda Serviços do Azure e selecione Nuvem do Azure.
4. Em Selecionar uma nuvem do Azure, use a lista suspensa para escolher AzureUSGovernment ou outra nuvem do governo, como a AzureChinaCloud:

Se você quiser voltar para a nuvem pública, escolha AzureCloud na lista suspensa.

Conteúdo relacionado

Para usar o link:

• Configurar o link entre o SQL Server e a instância gerenciada do SQL com o SSMS
• Configurar o link entre o SQL Server e a instância gerenciada de SQL com os scripts
• Fazer failover do link
• Migrar com o link
• Práticas recomendadas para manter o link

Para saber mais sobre o link:

• Visão geral do Link da Instância Gerenciada
• Recuperação de desastre com link de instância gerenciada

Para outros cenários de replicação e migração, considere:

• Replicação transacional com a Instância Gerenciada de SQL
• LRS (Serviço de Reprodução de Log)