Skapa en logisk server för Azure SQL Database, konfigurerad med en användartilldelad hanterad identitet och en CMK för flera klienter för TDE.

1. Gå till Azure SQL Hub på aka.ms/azuresqlhub.

2. I fönstret för Azure SQL Database väljer du Visa alternativ.

3. I fönstret Azure SQL Database-alternativ väljer du Skapa SQL Database.

   

4. På fliken Grundläggande i formuläret Skapa SQL Database går du till Projektinformationoch väljer önskad Azure -prenumeration.

5. För Resursgruppväljer du Skapa ny, anger ett namn för resursgruppen och väljer OK.

6. För databasnamn anger ett databasnamn. Till exempel ContosoHR.

7. För Serverväljer du Skapa nyoch fyller i formuläret Ny server med följande värden:

   • Servernamn: Ange ett unikt servernamn. Servernamn måste vara globalt unika för alla servrar i Azure, inte bara unika i en prenumeration. Ange något i stil med mysqlserver135, så meddelar Azure-portalen dig om det är tillgängligt eller inte.
   • Inloggning för serveradministratör: Ange ett inloggningsnamn för administratör, till exempel: azureuser.
   • Lösenord: Ange ett lösenord som uppfyller lösenordskraven och ange det igen i fältet Bekräfta lösenord.
   • Plats: Välj en plats i listrutan

8. Välj Nästa: Nätverk för att gå vidare till nästa steg.

9. På fliken Nätverk väljer du offentlig slutpunktför Anslutningsmetod.

10. För brandväggsregleranger du Lägg till aktuell klient-IP-adress till Ja. Låt Tillåt att Azure-tjänster och resurser får åtkomst till den här servern anges till Nej. Resten av valen på den här sidan kan lämnas som standard.

11. Välj Nästa: Säkerhet för att gå vidare till nästa steg.

12. På fliken Säkerhet går du till Identityoch väljer Konfigurera identiteter.

13. På menyn Identity väljer du Av för Systemtilldelad hanterad identitet och väljer sedan Lägg till under Användartilldelad hanterad identitet. Välj önskad Prenumeration och under Användartilldelade hanterade identiteterväljer du önskad användartilldelad hanterad identitet från den valda prenumerationen. Välj sedan knappen Lägg till.

14. Under Primär identitetväljer du samma användartilldelade hanterade identitet som valdes i föregående steg.

15. För federerad klientidentitetväljer du alternativet Ändra identitet och söker efter den multitenant applikation du skapade i Förutsättningar.

    

    Not

    Om programmet för flera klienter inte har lagts till i åtkomstprincipen för nyckelvalvet med de nödvändiga behörigheterna (Hämta, Omsluta nyckel, Packa upp nyckel), kommer ett felmeddelande att visas när programmet används för identitetsfederation i Azure-portalen. Kontrollera att behörigheterna är korrekt konfigurerade innan du konfigurerar den federerade klientidentiteten.

16. Välj Använd.

17. På fliken Säkerhet under Transparent datakrypteringsnyckelhantering kan du konfigurera en nyckel på servernivå eller en nyckel på databasnivå. Standardvärdet för en servernivånyckel är en tjänsthanterad nyckel. Välj Konfigurera transparent datakryptering om du vill konfigurera en kundhanterad nyckel för servern.

18. På sidan Transparent datakryptering väljer du Kundhanterad nyckel och ett alternativ för Att ange en nyckelidentifierare visas. Lägg till nyckelidentifierare hämtad från nyckeln i den andra klientorganisationen.

    

    Information om hur du konfigurerar en nyckel på databasnivå finns i Identitets- och nyckelhantering för TDE med kundhanterade nycklar på databasnivå.

19. Välj Använd.

20. Välj Nästa: Ytterligare inställningar.

21. Välj Nästa: Taggar.

22. Överväg att använda Azure-taggar. Till exempel taggen "Ägare" eller "CreatedBy" för att identifiera vem som skapade resursen och taggen Miljö för att identifiera om den här resursen finns i Produktion, Utveckling osv. Mer information finns i Utveckla din namngivnings- och taggningsstrategi för Azure-resurser.

23. Välj Förhandsgranska + skapa.

24. På sidan Granska + skapa, efter granskning, väljer du Skapa.

Information om hur du installerar den aktuella versionen av Azure CLI finns i artikeln Installera Azure CLI.

Skapa en server med hjälp av kommandot az sql server create, konfigurerad med användartilldelad hanterad identitet och kundadministrerad TDE över klientorganisationer. nyckel-ID från den andra klienten kan användas i fältet key-id. Program-ID:t för multitenant-applikationen kan användas i fältet federated-client-id.

az sql server create \
    --name $serverName \
    --resource-group $resourceGroupName \
    --location $location  \
    --admin-user $adminlogin \
    --admin-password $password \
    --assign-identity \
    --identity-type $identitytype \
    --user-assigned-identity-id $identityid \
    --primary-user-assigned-identity-id $primaryidentityid \
    --key-id $keyid \
    --federated-client-id $federatedid

Skapa en databas med kommandot az sql db create.

az sql db create \
    --resource-group $resourceGroupName \
    --server $serverName \
    --name mySampleDatabase \
    --sample-name AdventureWorksLT \
    --edition GeneralPurpose \
    --compute-model Serverless \
    --family Gen5 \
    --capacity 2

Skapa en server som konfigurerats med användartilldelad hanterad identitet och kundhanterad TDE mellan klientorganisationer med hjälp av PowerShell.

Installationsinstruktioner för Az PowerShell-moduler finns i Installera Azure PowerShell.

Använd cmdleten New-AzSqlServer.

Ersätt följande värden i exemplet:

• <ResourceGroupName>: Namnet på resursgruppen för din logiska Azure SQL-server
• <Location>: Plats för servern, till exempel West USeller Central US
• <ServerName>: Använd ett unikt namn på den logiska Azure SQL-servern
• <ServerAdminName>: SQL-administratörsinloggningen
• <ServerAdminPassword>: SQL-administratörslösenordet
• <IdentityType>: Typ av identitet som ska tilldelas till servern. Möjliga värden är SystemAssigned, UserAssigned, SystemAssigned,UserAssigned och None
• <UserAssignedIdentityId>: Listan över användartilldelade hanterade identiteter som ska tilldelas till servern (kan vara en eller flera)
• <PrimaryUserAssignedIdentityId>: Den användartilldelade hanterade identiteten som ska användas som primär eller standard på den här servern
• <CustomerManagedKeyId>: Nyckelidentifieraren från den andra klientens Azure Key Vault
• <FederatedClientId>: program-ID för programmet för flera klientorganisationer

Om du vill hämta din användartilldelade hanterade identitet resurs-IDsöker du efter Hanterade Identiteter i Azure-Portalen. Hitta din hanterade identitet och gå till Egenskaper. Ett exempel på ditt resurs-ID för UMI ser ut som /subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<managedIdentity>

# create a server with user-assigned managed identity and cross-tenant customer-managed TDE
$params = @{
    ResourceGroupName = "<ResourceGroupName>"
    Location = "<Location>"
    ServerName = "<ServerName>"
    ServerVersion = "12.0"
    SqlAdministratorCredentials = (Get-Credential)
    SqlAdministratorLogin = "<ServerAdminName>"
    SqlAdministratorPassword = "<ServerAdminPassword>"
    AssignIdentity = $true
    IdentityType = "<IdentityType>"
    UserAssignedIdentityId = "<UserAssignedIdentityId>"
    PrimaryUserAssignedIdentityId = "<PrimaryUserAssignedIdentityId>"
    KeyId = "<CustomerManagedKeyId>"
    FederatedClientId = "<FederatedClientId>"
}

New-AzSqlServer @params

Här är ett exempel på en ARM-mall som skapar en logisk Azure SQL-server med en användartilldelad hanterad identitet och kundhanterad TDE. För en cmk för flera klientorganisationer använder du nyckelidentifieraren från den andra klientorganisationen Azure Key Vault och program-ID:t från programmet för flera klienter.

Mallen lägger också till en Microsoft Entra-administratörsuppsättning för servern och aktiverar endast Microsoft Entra-autentisering med Azure SQL, men detta kan tas bort från mallexemplet.

Mer information och ARM-mallar finns i Azure Resource Manager-mallar för Azure SQL Database.

Använd en anpassad distribution i Azure-portalenoch Skapa en egen mall i redigeraren. Sedan Spara konfigurationen efter att du har klistrat in den i exemplet.

Om du vill hämta din användartilldelade hanterade identitet resurs-IDsöker du efter Hanterade Identiteter i Azure-Portalen. Hitta din hanterade identitet och gå till Egenskaper. Ett exempel på ditt UMI-resurs-ID ser ut som /subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<managedIdentity>.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "server": {
            "type": "String"
        },
        "location": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL server."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        },
        "user_identity_resource_id": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The Resource ID of the user-assigned managed identity."
            }
        },
        "federated_clientid": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The Application ID of the multi-tenant application."
            }
        },
        "keyvault_url": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The key vault URI."
            }
        },
        "AdminLogin": {
            "minLength": 1,
            "type": "String"
        },
        "AdminLoginPassword": {
            "type": "SecureString"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers",
            "apiVersion": "2022-05-01-preview",
            "name": "[parameters('server')]",
            "location": "[parameters('location')]",
            "identity": {
                "type": "UserAssigned",
                "UserAssignedIdentities": {
                    "[parameters('user_identity_resource_id')]": {}
                }
            },
            "properties": {
                "administratorLogin": "[parameters('AdminLogin')]",
                "administratorLoginPassword": "[parameters('AdminLoginPassword')]",
                "PrimaryUserAssignedIdentityId": "[parameters('user_identity_resource_id')]",
                "federatedClientId": "[parameters('federated_clientid')]",
                "KeyId": "[parameters('keyvault_url')]",
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}