Criar servidor lógico do Banco de Dados SQL do Azure configurado com identidade gerenciada atribuída pelo usuário e CMK entre locatários para TDE

1. Vá para o hub SQL do Azure em aka.ms/azuresqlhub.

2. No painel do Banco de Dados SQL do Azure, selecione Mostrar opções.

3. Na janela de opções do Banco de Dados SQL do Azure , selecione Criar Banco de Dados SQL.

   

4. Na guia Noções básicas do formulário Criar Banco de Dados SQL, em Detalhes do projeto , selecione a Assinatura do Azure desejada.

5. Para o grupo de recursos , selecione Criar novo, introduza um nome para o seu grupo de recursos e selecione OK.

6. Para Nome do banco de dados insira um nome de banco de dados. Por exemplo, ContosoHR.

7. Para o servidor , selecione Criar novoe preencha o formulário Novo servidor com os seguintes valores:

   • Nome do servidor: Insira um nome de servidor exclusivo. Os nomes de servidor devem ser globalmente exclusivos para todos os servidores no Azure, não apenas exclusivos dentro de uma assinatura. Insira algo como mysqlserver135e o portal do Azure informará se ele está disponível ou não.
   • Login do administrador do servidor: Insira um nome de login de administrador, por exemplo: azureuser.
   • Palavra-passe: Introduza uma palavra-passe que cumpra os requisitos de segurança e introduza-a novamente no campo Confirmar palavra-passe.
   • Localização: Selecione um local na lista suspensa

8. Selecione Next: Networking para passar para a próxima etapa.

9. Na guia Rede , para o método de conectividade, selecione endpoint público.

10. Para regras de Firewall, configure Adicionar endereço IP do cliente atual para Sim. Deixe Permitir que os serviços e recursos do Azure acessem este servidor definido como Sem. O resto das seleções nesta página pode ser deixado como padrão.

11. Selecione Avançar: Segurança para passar para a próxima etapa.

12. Na aba Segurança, sob Identidade, selecione Configurar Identidades.

13. No menu Identidade, selecione Desativar para Identidade gerida atribuída ao sistema e, em seguida, selecione Adicionar em Identidade gerida atribuída ao utilizador. Selecione a Subscrição pretendida e, em seguida, na Identidades geridas atribuídas pelo utilizador, selecione a identidade gerida atribuída pelo utilizador a partir da subscrição selecionada. Em seguida, selecione o botão Adicionar.

14. Em identidade principal, selecione a mesma identidade gerida atribuída ao utilizador selecionada na etapa anterior.

15. Para Federated client identity, selecione a opção Alterar identidade e procure a aplicação multilocatário que criou nos Pré-requisitos.

    

    Observação

    Se o aplicativo multilocatário não tiver sido adicionado à política de acesso ao cofre de chaves com as permissões necessárias (Get, Wrap Key, Unwrap Key), usar este aplicativo para federação de identidades no portal do Azure mostrará um erro. Certifique-se de que as permissões estão configuradas corretamente antes de configurar a identidade do cliente federado.

16. Selecione Aplicar.

17. Na guia Segurança, em Gerenciamento transparente de chaves de criptografia de dados, você pode configurar uma chave no nível do servidor ou uma chave no nível do banco de dados. O padrão para uma chave de nível de servidor é uma chave gerenciada por serviço. Selecione Configurar criptografia de dados transparente se quiser configurar uma chave gerenciada pelo cliente para o servidor.

18. Na página Criptografia de dados transparente , selecione Chave gerenciada pelo cliente e uma opção para Inserir um identificador de chave será exibida. Adicione o Identificador de Chave obtido a partir da chave no segundo locatário.

    

    Para obter informações sobre como configurar uma chave no nível do banco de dados, consulte Gerenciamento de identidades e chaves para TDE com chaves gerenciadas pelo cliente no nível do banco de dados.

19. Selecione Aplicar.

20. Selecione Seguinte: Configurações adicionais.

21. Selecione Next: Tags.

22. Considere usar tags do Azure. Por exemplo, a tag "Owner" ou "CreatedBy" para identificar quem criou o recurso e a tag Environment para identificar se esse recurso está em Produção, Desenvolvimento, etc. Para obter mais informações, consulte Desenvolver sua estratégia de nomenclatura e marcação para recursos do Azure.

23. Selecione Verificar + criar.

24. Na página Rever e criar, depois de rever, selecione Criar.

Para obter informações sobre como instalar a versão atual da CLI do Azure, consulte o artigo Instalar a CLI do Azure.

Crie um servidor configurado com identidade gerida atribuída pelo utilizador e TDE gerida pelo cliente multi-inquilino usando o comando az sql server create. O Identificador de Chave do segundo locatário pode ser usado no campo key-id. O ID do Aplicativo da aplicação multilocatária pode ser usado no campo federated-client-id.

az sql server create \
    --name $serverName \
    --resource-group $resourceGroupName \
    --location $location  \
    --admin-user $adminlogin \
    --admin-password $password \
    --assign-identity \
    --identity-type $identitytype \
    --user-assigned-identity-id $identityid \
    --primary-user-assigned-identity-id $primaryidentityid \
    --key-id $keyid \
    --federated-client-id $federatedid

Crie um banco de dados com o comando az sql db create.

az sql db create \
    --resource-group $resourceGroupName \
    --server $serverName \
    --name mySampleDatabase \
    --sample-name AdventureWorksLT \
    --edition GeneralPurpose \
    --compute-model Serverless \
    --family Gen5 \
    --capacity 2

Crie um servidor configurado com identidade gerida atribuída pelo utilizador e TDE gerida pelo cliente em multilocação usando o PowerShell.

Para obter instruções de instalação do módulo Az PowerShell, consulte Instalar o Azure PowerShell.

Utilize o cmdlet New-AzSqlServer.

Substitua os seguintes valores no exemplo:

• <ResourceGroupName>: Nome do grupo de recursos para seu servidor lógico SQL do Azure
• <Location>: Localização do servidor, como West US, ou Central US
• <ServerName>: Usar um nome de servidor lógico SQL exclusivo do Azure
• <ServerAdminName>: O logon do administrador SQL
• <ServerAdminPassword>: A senha do administrador SQL
• <IdentityType>: Tipo de identidade a ser atribuída ao servidor. Os valores possíveis são SystemAssigned, UserAssigned, SystemAssigned,UserAssigned e Nenhum
• <UserAssignedIdentityId>: A lista de identidades gerenciadas atribuídas pelo usuário a serem atribuídas ao servidor (pode ser uma ou várias)
• <PrimaryUserAssignedIdentityId>: A identidade gerenciada atribuída pelo usuário que deve ser usada como principal ou padrão neste servidor
• <CustomerManagedKeyId>: O identificador de chave do segundo tenant Azure Key Vault
• <FederatedClientId>: A ID do aplicativo da aplicação multilocatária

Para obter a sua identidade atribuída gerida pelo usuário ID de Recurso, pesquise por as Identidades Gerenciadas no portal do Azure. Encontre sua identidade gerenciada e vá para Propriedades. Um exemplo do ID de Recurso UMI parece-se com /subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<managedIdentity>

# create a server with user-assigned managed identity and cross-tenant customer-managed TDE
$params = @{
    ResourceGroupName = "<ResourceGroupName>"
    Location = "<Location>"
    ServerName = "<ServerName>"
    ServerVersion = "12.0"
    SqlAdministratorCredentials = (Get-Credential)
    SqlAdministratorLogin = "<ServerAdminName>"
    SqlAdministratorPassword = "<ServerAdminPassword>"
    AssignIdentity = $true
    IdentityType = "<IdentityType>"
    UserAssignedIdentityId = "<UserAssignedIdentityId>"
    PrimaryUserAssignedIdentityId = "<PrimaryUserAssignedIdentityId>"
    KeyId = "<CustomerManagedKeyId>"
    FederatedClientId = "<FederatedClientId>"
}

New-AzSqlServer @params

Aqui está um exemplo de um modelo ARM que cria um servidor lógico SQL do Azure com uma identidade gerenciada atribuída pelo usuário e TDE gerenciada pelo cliente. Para uma CMK entre locatários, use o Identificador de Chave do Cofre de Chaves do Azure do segundo locatário e o Identificador de Aplicação da aplicação multitenant.

O modelo também adiciona um conjunto de administradores do Microsoft Entra para o servidor e habilita a autenticação somente do Microsoft Entra com o Azure SQL, mas isso pode ser removido do exemplo de modelo.

Para obter mais informações e modelos ARM, consulte Modelos do Azure Resource Manager para o Banco de Dados SQL do Azure.

Use uma implementação personalizada no portal do Azuree construa o seu próprio modelo no editor. Em seguida, Guardar a configuração depois de a colar no exemplo.

Para obter a sua identidade atribuída gerida pelo usuário ID de Recurso, pesquise por as Identidades Gerenciadas no portal do Azure. Encontre sua identidade gerenciada e vá para Propriedades. Um exemplo do seu ID de Recurso UMI parece-se com /subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<managedIdentity>.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "server": {
            "type": "String"
        },
        "location": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL server."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        },
        "user_identity_resource_id": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The Resource ID of the user-assigned managed identity."
            }
        },
        "federated_clientid": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The Application ID of the multi-tenant application."
            }
        },
        "keyvault_url": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The key vault URI."
            }
        },
        "AdminLogin": {
            "minLength": 1,
            "type": "String"
        },
        "AdminLoginPassword": {
            "type": "SecureString"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers",
            "apiVersion": "2022-05-01-preview",
            "name": "[parameters('server')]",
            "location": "[parameters('location')]",
            "identity": {
                "type": "UserAssigned",
                "UserAssignedIdentities": {
                    "[parameters('user_identity_resource_id')]": {}
                }
            },
            "properties": {
                "administratorLogin": "[parameters('AdminLogin')]",
                "administratorLoginPassword": "[parameters('AdminLoginPassword')]",
                "PrimaryUserAssignedIdentityId": "[parameters('user_identity_resource_id')]",
                "federatedClientId": "[parameters('federated_clientid')]",
                "KeyId": "[parameters('keyvault_url')]",
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}