将漏洞评估扫描结果存储在可从防火墙和 VNet 后面访问的存储帐户中

适用于： Azure SQL 数据库 Azure SQL 托管实例 Azure Synapse Analytics

如果要限制某些 VNet 或服务对 Azure 中的存储帐户的访问，需要启用相应的配置，以便对 SQL 数据库或 Azure SQL 托管实例的漏洞评估 (VA) 扫描可以访问该存储帐户。

注意

使用快速配置时不需要这些设置。

先决条件

SQL 漏洞评估服务需要具有对存储帐户的权限才能保存基线和扫描结果。

使用 SQL Server 托管标识：

SQL Server 必须具有托管标识。
存储帐户必须有 SQL 托管标识的角色分配作为存储 Blob 数据参与者。
应用设置时，VA 字段 storageContainerSasKey 和 storageAccountAccessKey 必须为空（使用存储帐户密钥或存储 SAS 密钥的配置对此方案无效）。

当你使用 Azure 门户保存 SQL VA 设置时，Azure 会检查你是否有权为托管标识分配一个新的角色分配作为存储上的存储 Blob 数据参与者。如果分配了权限，Azure 将使用 SQL Server 托管标识，否则 Azure 将使用密钥方法（此方案不支持此方法）。

注意

如果已将 VA 存储帐户配置为仅可由某些网络或服务访问，需要确保 Azure SQL 数据库的 VA 扫描能够在存储帐户上存储扫描。可以使用现有存储帐户，也可以创建新的存储帐户来存储逻辑 SQL Server 上所有数据库的 VA 扫描结果。

注意

漏洞评估服务在存储帐户需要存储访问密钥的情况下，无法访问受防火墙或 VNet 保护的存储帐户。

转到包含存储帐户的“资源组”，然后访问“存储帐户”窗格。在“设置”下，选择“防火墙和虚拟网络”。

确保已选中“允许受信任的 Microsoft 服务访问此存储帐户”。

显示“防火墙和虚拟网络”对话框的屏幕截图，其中选中了“允许受信任的 Microsoft 服务访问此存储帐户”。

若要了解正在使用的存储帐户，请执行以下步骤：

显示设置漏洞评估的屏幕截图。

由于 Azure SQL 托管实例不是受信任的 Microsoft 服务，并且具有与存储帐户不同的 VNet，执行 VA 扫描将导致错误。

若要在 Azure SQL 托管实例上支持 VA 扫描，请执行以下步骤：

在“SQL 托管实例”窗格的“概述”标题下，单击“虚拟网络/子网”链接。这会转到“虚拟网络”窗格。
在“设置”下，选择“子网”。在新窗格中单击“+ 子网”以添加子网。有关详细信息，请参阅管理子网。
从默认托管实例子网到 Azure Resource Manager 的流量必须通过互联网进行路由。因此，必须为托管实例所在的子网分配下一个跃点是互联网且目的地标签是 Azure Resource Manager 地址范围相应 UDR 标签的路由。虽然会自动将此路由添加到新部署中，但如果之前已删除，则需要再次添加。
新子网应具有以下配置：
- NAT 网关：无
- 网络安全组：无
- 路由表：无
- 服务终结点 - 服务：已选择“无”
- 子网委派 - 将子网委派给服务：无
转到 SQL VA 配置为存储扫描结果的存储帐户，单击“专用终结点连接”选项卡，然后单击“+ 专用终结点”
选择专用终结点的详细信息（建议将其放在同一 RG 和同一区域中）。
为目标子资源选择 Blob
选择 SQL MI 的虚拟网络（步骤 1）并选择你创建的子网（步骤 3），选择“与专用 DNS 区域集成”（应该是默认设置），选择其他默认值：
继续转到“查看 + 创建”选项卡，单击“创建”。部署完成后，应会在存储帐户的“网络”部分下的“专用终结点连接”选项卡中看到：