サービス カタログからワークロードにAzure SQLをデプロイする

この記事では、あなたが次のことを行います。

  • ポータルから既存のワークロードにAzure SQL用のサービス カタログ テンプレートをデプロイします。

Note

このサンプルデプロイはデモ目的のものであり、ネットワーク、システム、またはアプリケーションの管理に関するすべてのベスト プラクティスを表すわけではありません。

始める前の準備

前提条件

エンクレーブ リソースが Customer-Managed キー (CMK) 暗号化を使用していることを確認するには、エンクレーブにガードレール要件があります。 これには、エンクレーブ内からキーにアクセスできるようにするためのキーと ID が必要です。 共通依存関係サービス カタログ テンプレートで CMK (省略可能なKey Vault) とマネージド ID を作成する

  1. プライベート エンドポイントのサブネット: エンクレーブの作成時にサブネットを作成するか、エンクレーブの作成後に 新しいサブネットを作成 することができます。
  2. 次に作成した内容に基づいて、これらの プライベート DNS Zones をすばやく作成します。
    • Key VaultこのテンプレートからKey Vaultを作成する場合、またはよりカスタマイズ可能なKey Vault テンプレートを作成する場合に必要です。
    • Storage File、 Storage Queue、 Storage Blob、および Storage Table は、このテンプレートまたはよりカスタマイズ可能なストレージ アカウント テンプレートからストレージ アカウントを作成するときに必要です。
    • Azure SQLこれは、Azure SQLプライベートにアクセスするために必要です。
  3. このテンプレートには、Key Vault、カスタマー マネージド キー (CMK)、およびマネージド ID が必要です。 Common Dependencies サービス カタログのクイック スタートで、Key Vault、CMK、およびマネージド ID を作成するか、独自の ID を作成します。
    • これらのリソースは、 ワークロード リソース グループ内に作成する必要があります。
    • ユーザー マネージド ID を作成した後、CMK キーにアクセスできることを確認します
      • 次の手順を使用して、キー コンテナーをスコープとするマネージド ID に Key Vault Crypto Service Encryption User RBAC ロールを割り当てます。 これにより、マネージド ID を仮想マシンなどの別のリソースに割り当てることができ、その仮想マシンは、最小限の特権に従ってキー コンテナーに対して他の操作を行うアクセス許可を持たずに、キー コンテナー内の CMK を使用してオペレーティング システム ディスクを暗号化できます。
  4. [管理者] タブにはサインイン情報が必要です。 いくつかの入力の例を次に示します。
    • Microsoft Entra ユーザーサインイン:core-enclave-admins
    • Microsoft Entra ユーザー SID: c0a11793-2fa9-4d7f-894f-0f7f72615a97
    • Microsoft Entra ユーザー テナント ID:af783a57-4134-41d8-bea4-fdaaecef6bcc
    • Microsoft Entra ユーザー プリンシパル タイプ: Group

テンプレートをデプロイする

  1. 対象のデプロイのワークロードに移動します。
  2. [ +Add an Azure Service ] ボタンを選択します。
  3. Azure SQLドロップダウンから サービス テンプレートを選択し、必要なバージョン (既定: latest) を確認し、Nextを選択します。

サービス カタログの一覧から選択されたAzure SQL テンプレートを示すスクリーンショット。

  1. 各タブを移動し、必要なすべてのパラメーターを入力します。
  2. 必要に応じて、事前設定されたパラメーターのいずれかを調整します。
  3. Review + Create選択し、Createします。

すべてのリソースの作成が完了するまでに最大 30 分かかる場合があります。 デプロイされたリソース内でアクションを実行する前に、デプロイが正常に完了するまで待ちます。

デプロイメントを検証する

指定したリソース グループに移動して、目的のリソースが作成されたことを確認します。

デプロイメントを削除する

これらのリソースを保持する予定がない場合は、不要なリソースをクリーンアップして、Azure料金を回避します。 リソース グループに他のデプロイが存在しない場合は、リソース グループ全体を削除できます。

Recommendations

  • サービス カタログのデプロイにタグを追加して、次のようなそのリソースの重要な情報を追跡します。
    • 所有者: <main POC>
    • デプロイヤー： <yourName>
    • 目的： <prod SQL data>
    • サービス カタログ名: <Azure SQL>
    • サービス カタログのバージョン: <version you deployed>
  • タグを適用して継承するAzure Policyを追加することを検討してください
  • Last updated on