Настройка службы синхронизации MIM с помощью Sql Server Azure

Обычное развертывание службы синхронизации MIM требует, чтобы Windows Server размещал программное обеспечение MIM и базу данных SQL Server для размещения конфигурации и данных. В этой статье описывается альтернативный вариант развертывания, использующий SQL Azure вместо локального экземпляра SQL Server.

В этой статье описано, как создать группу ресурсов Azure, настроить виртуальную машину, развернуть базу данных SQL Azure с подключением к частной конечной точке и настроить проверку подлинности управляемого удостоверения.

Необходимые условия

• Активная подписка Microsoft Azure.
• Группа ресурсов Azure. Если необходимо создать ее, см. статью "Создание групп ресурсов".

Настройте роли и управляемое удостоверение

Убедитесь, что у вас есть необходимые роли в группе ресурсов, а затем настройте управляемое удостоверение для проверки подлинности в Azure SQL Server.

1. Убедитесь, что в группе ресурсов назначены по крайней мере роли участника и администратора доступа пользователей . Эти роли необходимы для создания ресурсов и назначения управляемого удостоверения. Если необходимо использовать роль владельца, рекомендуется использовать Privileged Identity Management (PIM) для получения доступа по запросу.

2. Выберите метод проверки подлинности SQL Azure. Можно использовать любой из следующих вариантов:

   • Вариант 1. Назначенное пользователем управляемое удостоверение (рекомендуется): создание управляемого удостоверения, назначаемого пользователем, в группе ресурсов. Это удостоверение используется для проверки подлинности службы синхронизации MIM в экземпляре SQL Server Azure. Например, назовите его contoso-mim-uami.

   • Вариант 2 - Управляемое удостоверение, назначаемое системой: включите управляемое удостоверение, назначаемое системой, для виртуальной машины службы синхронизации MIM позже, во время создания виртуальной машины.

Создание виртуальной машины службы синхронизации MIM

Настройте виртуальную машину Windows Server для размещения программного обеспечения службы синхронизации MIM.

1. Создайте виртуальную машину на основе Windows Server 2019 или более поздней версии. Рекомендуется использовать Windows Server 2022. Минимальный рекомендуемый размер — Standard_DS2_v2 (2 виртуальных ЦП, 7 ГБ ОЗУ).

2. Во время создания виртуальной машины выберите создание новой виртуальной сети. Вам потребуется эта виртуальная сеть позже, чтобы добавить Azure SQL Server в ту же сеть или настроить пиринг между виртуальной машиной службы синхронизации MIM и виртуальной сетью SQL Server Azure.

3. Настройте управляемое удостоверение для виртуальной машины на основе выбранного ранее параметра:

   • Если выбран вариант 1 (назначаемое пользователем управляемое удостоверение): после создания виртуальной машины перейдите на вкладку "Удостоверения " в разделе "Параметры " и добавьте созданное ранее управляемое удостоверение (например, contoso-mim-uami).

   • Если выбран вариант 2 (управляемое удостоверение, назначенное системой ): во время создания виртуальной машины включите параметр управляемого удостоверения, назначаемого системой, чтобы разрешить проверку подлинности без пароля из этой виртуальной машины в экземпляр SQL Server Azure.

4. (Optional) Включите вход с использованием Microsoft Entra ID для авторизации на виртуальной машине с вашей учетной записью Microsoft Entra ID.

5. (Необязательно) Вместо включения доступа RDP из Интернета ограничьте доступ RDP к подсети VPN и настройте статический маршрут к общедоступному IP-адресу виртуальной машины службы синхронизации MIM через VPN-туннель.

6. Выберите "Рецензирование" и "Создать ", чтобы создать виртуальную машину.

7. (Необязательно) После создания виртуальной машины перейдите к элементу управления доступом (IAM) и добавьте назначение роли. Выберите имя входа администратора виртуальной машины и назначьте его учетной записи, используемой для входа в виртуальную машину.

Создание базы данных Azure SQL

Разверните базу данных SQL Azure с подключением к частной конечной точке для безопасного подключения к виртуальной машине службы синхронизации MIM.

1. Создайте новый экземпляр SQL Server Azure в группе ресурсов. Выберите отдельную базу данных в качестве параметра развертывания SQL.

2. Введите имя базы данных и выберите создать новый сервер.

3. Укажите имя и расположение SQL Server Azure.

4. Выберите microsoft Entra-only в качестве метода проверки подлинности.

5. Добавьте учетную запись, используемую для подключения к виртуальной машине службы синхронизации MIM в качестве администратора Microsoft Entra для Sql Server Azure.

   Important

   Хотя ниже определены рекомендуемые параметры конфигурации службы синхронизации MIM Windows Server и Azure SQL Server, пользователи должны протестировать эти параметры в предварительной среде, чтобы определить, что оптимально для их транзакционной нагрузки перед развертыванием в рабочей среде

6. Выберите среду рабочей нагрузки (например, разработка) для размера экземпляра SQL Server Azure. Настройте конфигурацию базы данных по мере необходимости, например добавление дополнительных виртуальных ядер или увеличение максимального размера хранилища. Для тестирования можно сохранить оставшиеся параметры по умолчанию.

7. На вкладке "Сеть" выберите частную конечную точку в качестве метода подключения и нажмите кнопку "Добавить частную конечную точку".

8. Убедитесь, что выбрана та же группа ресурсов и расположение, а также укажите имя частной конечной точки.

9. Выберите ту же виртуальную сеть, которая использовалась при создании виртуальной машины службы синхронизации MIM (или планируете настроить пиринг между сетями позже).

10. Включите интеграцию с частным DNS и нажмите кнопку "Добавить".

11. Сохраните политику подключения по умолчанию и минимальную версию TLS 1.2, а затем создайте базу данных SQL Server и SQL.

Настройка разрешений для базы данных SQL Azure

Настройте управляемое удостоверение в качестве пользователя базы данных с соответствующей ролью, чтобы разрешить службе синхронизации MIM доступ к базе данных.

Откройте редактор SQL-запросов для новой базы данных и выполните следующие команды SQL. Замените <managed-identity-name> именем назначаемого пользователем управляемого удостоверения или управляемого удостоверения, назначаемого системой.

create user [<managed-identity-name>] from external provider;
alter role db_owner add member [<managed-identity-name>];

Следующий шаг