快速入门：在 Azure SQL 数据库中创建启用了账本的数据库

Artículo
11/11/2024

在此快速入门中，你将在 Azure SQL 数据库中创建一个账本数据库，并使用 Azure 门户配置自动摘要存储。

先决条件

需要一个活动 Azure 订阅。如果没有订阅，请创建一个试用帐户。

权限

若要通过 Transact-SQL 创建数据库：需要 CREATE DATABASE 权限。若要创建数据库，登录名必须是服务器管理员登录名（预配 Azure SQL 数据库逻辑服务器时创建）、服务器的 Microsoft Entra 管理员、master 中 dbmanager 数据库角色的成员。有关详细信息，请参阅 CREATE DATABASE。

若要通过 Azure 门户、PowerShell、Azure CLI 或 REST API 创建数据库：需要 Azure RBAC 权限，特别是参与者、SQL DB 参与者或 SQL Server 参与者 Azure RBAC 角色。有关详细信息，请参阅 Azure RBAC 内置角色。

创建账本数据库并配置摘要存储

在无服务器计算层中创建单一账本数据库，并配置将账本摘要上传到 Azure 存储帐户。

在 Azure 门户中创建单一数据库：

浏览到“选择 SQL 部署选项”页。
在“SQL 数据库”下将“资源类型”设置保留为“单一数据库”，然后选择“创建” 。
在“创建 SQL 数据库”窗体的“基本信息”选项卡上的“项目详细信息”下，选择要使用的 Azure订阅。
对于“资源组”，选择“新建”，输入“myResourceGroup”，然后选择“确定” 。
对于“数据库名称”，请输入“demo”。
对于“服务器”，选择“新建”。使用以下值填写“新建服务器”窗体：
- 服务器名称：输入“mysqlserver”并添加一些字符以实现唯一性。我们无法提供要使用的确切服务器名称，因为对于 Azure 中的所有服务器，服务器名称必须全局唯一，而不只是在订阅中唯一。输入类似于 mysqlserver12345 的名称，然后门户会告知你是否可用。
- 服务器管理员登录名：输入“azureuser”。
- 密码：输入符合要求的密码。在“确认密码”框中再次输入。
- 位置：从下拉列表中选择一个位置。
- 允许 Azure 服务访问此服务器：选择此选项以启用对摘要存储的访问。
选择“确定”。
将“想要使用 SQL 弹性池”设置保留为“否” 。
在“计算 + 存储”下选择“配置数据库” 。
此快速入门使用无服务器数据库，因此请选择“无服务器”，然后选择“应用” 。
在“网络”选项卡上，对于“连接方法”，选择“公共终结点” 。
对于“防火墙规则”，将“添加当前客户端 IP 地址”设置为“是” 。将“允许 Azure 服务和资源访问此服务器”设置保留为“否” 。
在页面底部选择“下一步: 安全”。
在“安全”选项卡上的“账本”部分中，选择“配置账本”选项。
在“配置账本”窗格的“账本”部分中，选中“为此数据库中所有将来的表启用”复选框。此设置确保数据库中未来的所有表都是账本表。为此，数据库中的所有数据都将显示任何篡改证据。默认情况下，即使未在 CREATE TABLE 中指定 LEDGER = ON，新表也将被创建为可更新的账本表。也可以不选择此选项。使用 SQL Transact-SQL 创建新表时，需要在每个表的基础上启用账本功能。
在“摘要存储”部分，将自动选择“启用自动摘要存储”。然后，将创建一个新的 Azure 存储帐户和存储摘要的容器。
选择“应用”。
在页面底部选择“查看 + 创建”。
在“查看 + 创建”页上，查看后选择“创建”。

你将使用 Azure CLI 创建资源组、逻辑数据库服务器、单个账本数据库并配置上传账本摘要。

设置参数值

后续命令使用以下值来创建数据库和所需资源。服务器名称和存储帐户名称需要在整个 Azure 中全局唯一，因此，$RANDOM 函数将用于创建服务器名称和存储帐户名称。

资源名称必须在你的订阅中唯一。将 <your resource group name> 替换为唯一名称，将 <your subscription ID> 替换为你的订阅 ID。

替换 IP 地址范围中的 0.0.0.0 值，以匹配你的特定环境。

将 chinaeast2 替换为首选的 Azure 区域名称。

resourceGroupName="<your resource group name>"
location="chinaeast2"
serverName="mysqlserver"-$RANDOM
databaseName="myLedgerDatabase"
storageAccountName="mystorage"$RANDOM
subscription="<your subscription ID>"
adminLogin=azureuser
adminPassword=Azure1234567!
serverResourceId="/subscriptions/$subscription/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName"

# The ip address range that you want to allow to access your server
startIP=0.0.0.0
endIP=0.0.0.0

# Set variables for your digest storage location
storageAccountName="mystorage"$RANDOM
storageAccountURL1="https://"
storageAccountURL3=".blob.core.chinacloudapi.cn"
storageAccountURL=$storageAccountURL1$storageAccountName$storageAccountURL3
storageAccountResourceId="/subscriptions/$subscription/resourceGroups/$resourceGroupName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

# Show resource names
echo "Resource group name is" $resourceGroupName
echo "Server name is" $serverName
echo "Database name is" $databaseName
echo "Storage account name is" $storageAccountName

创建资源组

使用“az group create”命令创建资源组。 Azure 资源组是在其中部署和管理 Azure 资源的逻辑容器。

az group create --name $resourceGroupName --location $location

创建带有托管标识的服务器

使用 az sql server create 命令创建服务器。该命令创建分配有托管标识的服务器。

az sql server create \
    --name $serverName \
    --resource-group $resourceGroupName \
    --location $location \
    --admin-user $adminLogin \
    --admin-password $adminPassword \
    --assign-identity

此命令将 ID 存储在一个变量中，该变量稍后将用来向服务器授予上传账本摘要的权限。

# Retrieves the assigned identity to be used when granting the server access to the storage account
principalId=`az sql server show \
    --name $serverName \
    --resource-group $resourceGroupName \
    --query identity.principalId \
    --output tsv`

配置服务器的防火墙规则

使用 az sql server firewall-rule create 命令创建防火墙规则。

az sql server firewall-rule create \
    --resource-group $resourceGroupName \
    --server $serverName \
    -n AllowYourIp \
    --start-ip-address $startIP \
    --end-ip-address $endIP

创建单个账本数据库

使用 az sql db create 命令创建账本数据库。以下命令创建启用了账本的无服务器数据库。

az sql db create \
    --resource-group $resourceGroupName \
    --server $serverName \
    --name $databaseName \
    --edition GeneralPurpose \
    --family Gen5 \
    --capacity 2 \
    --compute-model Serverless \
    --ledger-on

创建存储帐户

使用 az storage account create 命令创建存储帐户来存储账本摘要。

az storage account create \
    --name $storageAccountName \
    --resource-group $resourceGroupName \
    --location $location \
    --sku Standard_GRS \
    --kind StorageV2

授予服务器写入账本摘要的权限

使用 az role assignment create 命令将服务器的托管标识分配给存储 Blob 数据参与者角色。这为 SQL 服务器提供了将数据库摘要发布到存储帐户的适当权限。

az role assignment create \
    --assignee-object-id $principalId \
    --assignee-principal-type "ServicePrincipal" \
    --role "Storage Blob Data Contributor" \
    --scope $storageAccountResourceId

启用数据库摘要上传

使用 az sql db ledger-digest-uploads enable 命令更新数据库，开始将账本摘要上传到存储帐户。

az sql db ledger-digest-uploads enable \
    --name $databaseName \
    --resource-group $resourceGroupName \
    --server $serverName \
    --endpoint $storageAccountURL

配置基于时间的保留策略

若要防止删除或更新摘要，建议使用 az storage container immutability-policy create 和 az storage container immutability-policy lock 命令在 sqldbledgerdigests 容器上配置基于时间的保留策略。该策略必须允许受保护的追加 Blob 写入操作。这会确保数据库服务器可将包含新摘要的块添加到现有 Blob，同时在指定的不可变性时段内禁止删除或更新摘要。

重要

以下示例使用的不可变性时段值为 1 天。在生产环境中，应该使用大得多的值。

备注

开始将数据库摘要上传到存储帐户后，将无法删除存储帐户，直到不可变性策略过期。如果计划在此快速入门之后立即清理资源，可以跳过设置不可变性策略。

若要详细了解容器的基于时间的保留策略，请参阅为容器配置不可变性策略。

az storage container immutability-policy create \
    --resource-group $resourceGroupName \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --period 1 \
    --allow-protected-append-writes true

# Retrieves the etag value of the policy to be used when the policy is locked
etag=`az storage container immutability-policy show \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --query etag \
    --output tsv`
etag="${etag/$'\r'/}"

az storage container immutability-policy lock \
    --resource-group $resourceGroupName \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --if-match $etag

你将使用 Windows PowerShell 创建资源组、逻辑数据库服务器、单个账本数据库并配置上传账本摘要。

设置参数值

后续命令使用以下值来创建数据库和所需资源。服务器名称和存储帐户名称需要在整个 Azure 中全局唯一，因此，Get-Random cmdlet 将用于创建服务器名称和存储帐户名称。

资源名称必须在你的订阅中唯一。将 <your resource group name> 替换为唯一名称。

替换 IP 地址范围中的 0.0.0.0 值，以匹配你的特定环境。

将 chinaeast2 替换为首选的 Azure 区域名称。

# Set variables for your server and database
$resourceGroupName = "<your resource group name>"
$location = "chinaeast2"
$serverName = "mysqlserver-$(Get-Random)"
$databaseName = "myLedgerDatabase"
$storageAccountName = "mystorage$(Get-Random)"

# The ip address range that you want to allow to access your server
$startIP = "0.0.0.0"
$endIP = "0.0.0.0"

# Show resource names
Write-host "Resource group name is" $resourceGroupName
Write-host "Server name is" $serverName
Write-host "Storage account name is" $storageAccountName

创建资源组

使用 New-AzResourceGroup 创建 Azure 资源组。资源组是在其中部署和管理 Azure 资源的逻辑容器。

Write-host "Creating resource group..."
$resourceGroup = New-AzResourceGroup `
    -Name $resourceGroupName `
    -Location $location
$resourceGroup

创建服务器

使用 New-AzSqlServer cmdlet 创建服务器。

该 cmdlet 创建分配有托管标识的服务器，你稍后需要向此服务器授予上传账本摘要的权限。

系统提示时，输入 SQL 管理员用户名和密码。

Write-host "Creating primary server..."
$server = New-AzSqlServer `
    -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -Location $location `
    -AssignIdentity `
    -SqlAdministratorCredentials (Get-Credential)
$server

创建防火墙规则

使用 New-AzSqlServerFirewallRule cmdlet 创建服务器防火墙规则。

Write-host "Configuring server firewall rule..."
$serverFirewallRule = New-AzSqlServerFirewallRule -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -FirewallRuleName "AllowedIPs" -StartIpAddress $startIP -EndIpAddress $endIP
$serverFirewallRule

创建单个账本数据库

使用 New-AzSqlDatabase cmdlet 创建单一账本数据库。

以下示例创建无服务器数据库。

Write-host "Creating a gen5 2 vCore serverless ledger database..."
$database = New-AzSqlDatabase  -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -DatabaseName $databaseName `
    -Edition GeneralPurpose `
    -ComputeModel Serverless `
    -ComputeGeneration Gen5 `
    -VCore 2 `
    -MinimumCapacity 2 `
    -EnableLedger
$database

创建存储帐户

使用 New-AzStorageAccount cmdlet 创建存储帐户来存储账本摘要。

Write-host "Creating a storage account for ledger digests..."
$storage = New-AzStorageAccount -ResourceGroupName $resourceGroupName `
   -Name $storageAccountName `
   -Location $location `
   -SkuName Standard_RAGRS `
   -Kind StorageV2 `
   -AccessTier Hot
$storage

授予服务器写入账本摘要的权限

使用 New-AzRoleAssignment cmdlet 将服务器的托管标识分配给存储 Blob 数据参与者角色。这为 SQL 服务器提供了将数据库摘要发布到存储帐户的适当权限。

Write-host "Granting the server access to the storage account..."
$assignment = New-AzRoleAssignment `
    -ObjectId $server.Identity.PrincipalId `
    -RoleDefinitionName "Storage Blob Data Contributor" `
    -ResourceGroupName $resourceGroupName `
    -ResourceType "Microsoft.Storage/storageAccounts" `
    -ResourceName $storageAccountName  
$assignment

启用数据库摘要上传

使用 Enable-AzSqlDatabaseLedgerDigestUpload cmdlet 更新数据库，开始将账本摘要上传到存储帐户。该数据库服务器将在存储帐户中创建名为 sqldbledgerdigests 的新容器，并开始将账本摘要写入容器。

Write-host "Enabling ledger digest upload..." 
$ledgerDigestUploadConfig = Enable-AzSqlDatabaseLedgerDigestUpload `
     -ResourceGroupName $resourceGroupName `
     -ServerName $serverName `
     -DatabaseName $databaseName `
     -Endpoint $storage.PrimaryEndpoints.Blob
$ledgerDigestUploadConfig

配置基于时间的保留策略

若要防止删除或更新摘要，建议使用 Set-AzRmStorageContainerImmutabilityPolicy 和 Lock-AzRmStorageContainerImmutabilityPolicy cmdlet 在 sqldbledgerdigests 容器上配置基于时间的保留策略。该策略必须允许受保护的追加 Blob 写入操作。这会确保数据库服务器可将包含新摘要的块添加到现有 Blob，同时在指定的不可变性时段内禁止删除或更新摘要。

重要

以下示例使用的不可变性时段值为 1 天。在生产环境中，应该使用大得多的值。

备注

在指定的不可变性时段内无法删除容器或存储帐户。

若要详细了解容器的基于时间的保留策略，请参阅为容器配置不可变性策略。

Write-host "Configuring a time-based retention policy..." 
$immutabilityPerdiod = 1
$containerName = "sqldbledgerdigests"
$policy = Set-AzRmStorageContainerImmutabilityPolicy `
   -ResourceGroupName $resourceGroupName `
    -StorageAccountName $storageAccountName `
    -ContainerName $containerName `
    -AllowProtectedAppendWrite $true `
    -ImmutabilityPeriod $immutabilityPerdiod

Lock-AzRmStorageContainerImmutabilityPolicy `
   -ResourceGroupName $resourceGroupName `
    -StorageAccountName $storageAccountName `
    -ContainerName $containerName `
    -Etag $policy.Etag

清理资源

保留资源组、服务器和单个数据库以供后续步骤使用。你将了解如何通过不同的方法使用数据库的账本功能。

使用完这些资源后，删除你创建的资源组。此操作还会删除服务器和该服务器中的单一数据库，以及存储帐户。

备注

如果已在容器上配置并锁定了基于时间的保留策略，则需要等到指定的不可变性时段结束，然后才能删除存储帐户。

若要使用 Azure 门户删除 myResourceGroup 及其包含的所有资源：

在门户中，搜索并选择“资源组”。然后从列表中选择“myResourceGroup”。
在资源组页上，选择“删除资源组”。
在“键入资源组名称”下输入 myResourceGroup，然后选择“删除”。

若要删除资源组及其所有资源，请使用该资源组的名称运行以下 Azure CLI cmdlet：

az group delete -n resourceGroupName

若要删除资源组及其包含所有资源，请使用该资源组的名称运行以下 PowerShell cmdlet：

Remove-AzResourceGroup -Name $resourceGroupName

Compartir a través de

快速入门：在 Azure SQL 数据库中创建启用了账本的数据库

先决条件

权限

创建账本数据库并配置摘要存储

设置参数值

创建资源组

创建带有托管标识的服务器

配置服务器的防火墙规则

创建单个账本数据库

创建存储帐户

授予服务器写入账本摘要的权限

启用数据库摘要上传

配置基于时间的保留策略

设置参数值

创建资源组

创建服务器

创建防火墙规则

创建单个账本数据库

创建存储帐户

授予服务器写入账本摘要的权限

启用数据库摘要上传

配置基于时间的保留策略

清理资源

Recursos adicionales

Compartir a través de

快速入门：在 Azure SQL 数据库中创建启用了账本的数据库

先决条件

权限

创建账本数据库并配置摘要存储

清理资源

相关内容

Recursos adicionales