创建配置了用户分配的托管标识和跨租户 CMK 用于 TDE 的 Azure SQL 数据库逻辑服务器

若要在 Azure 门户中创建新的 Azure SQL 数据库，请执行以下操作：

1. 转到 Azure SQL 中心。

2. 在资源菜单中，展开 Azure SQL 数据库 并选择 SQL 数据库。

3. 在 + 创建 下拉菜单中，选择 SQL 数据库。

   

4. 在“创建 SQL 数据库”窗体的“基本信息”选项卡上的“项目详细信息”下，选择所需的 Azure订阅 。

5. 对于“资源组”，请选择“新建”，输入资源组的名称，然后选择“确定” 。

6. 输入数据库名称。 例如，ContosoHR。

7. 对于“服务器”，选择“新建”，并使用以下值填写“新服务器”窗体 ：

   • 服务器名称：输入唯一的服务器名称。 对于 Azure 中的所有服务器，服务器名称必须全局唯一，而不只是在订阅中唯一。 输入类似 mysqlserver135 的值，Azure 门户将告知你的输入内容是否可用。
   • 服务器管理员登录名：输入管理员登录名，例如：。
   • 密码：输入符合密码要求的密码，然后在“确认密码”字段中再次输入该密码。
   • 位置：从下拉列表中选择一个位置

   重要

   不要在服务器管理员登录名字段中包括任何个人、敏感或机密信息。 在此字段中输入的数据不被视为 客户数据。

8. 选择“ 下一步：网络 ”移动到下一步。

9. 在“网络”选项卡上，对于“连接方法”，选择“公共终结点” 。

10. 对于“防火墙规则”，将“添加当前客户端 IP 地址”设置为“是” 。 将“允许 Azure 服务和资源访问此服务器”设置保留为“否” 。 此页面上的其余选择可以保留为默认值。

11. 选择“ 下一步：安全性 ”移动到下一步。

12. 在“安全”选项卡的“身份”下，选择“配置身份”。

13. 在“标识”菜单上，为“系统分配的托管标识”选择“关闭”，然后在“用户分配的托管标识”下选择“添加”。 选择所需的订阅，然后在“用户分配的托管标识”下，从所选订阅中选择所需的用户分配的托管标识。 然后选择“添加”按钮。

14. 在“主要标识”下，选择在上一步中选择的相同用户指定的托管标识。

15. 对于“联合客户端标识”，请选择“更改标识”选项，并搜索在先决条件中创建的多租户应用程序。

    

    注意

    如果多租户应用程序尚未添加到具有所需权限（获取、包装密钥、解包密钥）的密钥保管库访问策略，在 Azure 门户中使用此应用程序进行联合身份验证将显示错误。 在配置联合客户端标识之前，请确保正确配置权限。

16. 选择应用。

17. 在“安全”选项卡上的 “透明数据加密密钥管理”下，可以配置 服务器级密钥 或 数据库级密钥。 服务器级别密钥的默认值为服务管理的密钥。 如果要为服务器配置客户管理的密钥，请选择“ 配置透明数据加密 ”。

18. 在 “透明数据加密 ”页中，选择 “客户管理的密钥”，并显示一个选项，用于 输入密钥标识符 。 添加从第二个租户中的密钥获取的密钥标识符。

    

    有关配置数据库级别密钥的信息，请参阅 具有数据库级客户管理的密钥的 TDE 的标识和密钥管理。

19. 选择应用。

20. 选择“下一步: 其他设置”。

21. 选择下一步：标签。

22. 考虑使用 Azure 标记。 例如，用于标识谁创建了资源的“所有者”或“CreatedBy”标记，以及用于标识此资源是否在生产、开发等环境中的环境标记。

23. 选择“查看 + 创建”。

24. 在“查看 + 创建”页上，查看后选择“创建”。

有关安装当前版本的 Azure CLI 的信息，请参阅安装 Azure CLI 一文。

使用 az sql server create 命令创建配置了用户自定义管理标识和跨租户客户管理的 TDE 的服务器。 第二个租户中的密钥标识符可以在key-id字段中被使用。 可在 字段中使用多租户应用程序的应用程序 ID。

az sql server create \
    --name $serverName \
    --resource-group $resourceGroupName \
    --location $location  \
    --admin-user $adminlogin \
    --admin-password $password \
    --assign-identity \
    --identity-type $identitytype \
    --user-assigned-identity-id $identityid \
    --primary-user-assigned-identity-id $primaryidentityid \
    --key-id $keyid \
    --federated-client-id $federatedid

使用 az sql db create 命令创建数据库。

az sql db create \
    --resource-group $resourceGroupName \
    --server $serverName \
    --name mySampleDatabase \
    --sample-name AdventureWorksLT \
    --edition GeneralPurpose \
    --compute-model Serverless \
    --family Gen5 \
    --capacity 2

使用 PowerShell 创建配置了用户分配的托管标识和跨租户客户托管的 TDE 的服务器。

有关 Az PowerShell 模块安装说明，请参阅安装 Azure PowerShell。

使用 New-AzSqlServer cmdlet。

替换示例中的以下值：

• <ResourceGroupName>：Azure SQL 逻辑服务器的资源组名称
• <Location>：服务器的位置，例如 China North 3
• <ServerName>：使用唯一的 Azure SQL 逻辑服务器名称
• <ServerAdminName>：SQL 管理员登录名
• <ServerAdminPassword>：SQL 管理员密码
• <IdentityType>：要分配给服务器的身份类型。 可能的值为 SystemAssigned、UserAssigned、SystemAssigned,UserAssigned 和 None
• <UserAssignedIdentityId>：分配给服务器的用户分配的托管身份列表（可以是一个或多个）
• <PrimaryUserAssignedIdentityId>：用户分配的托管标识，应作为此服务器上的主要或默认标识使用
• <CustomerManagedKeyId>：第二个租户的 Azure 密钥保管库中的密钥标识符
• <FederatedClientId>：多租户应用程序的应用程序 ID

若要获取用户分配的托管标识资源 ID，请在 Azure 门户中搜索托管标识。 找到你的托管身份，然后转到属性。 你的 UMI 资源 ID 示例如 所示

# create a server with user-assigned managed identity and cross-tenant customer-managed TDE
$params = @{
    ResourceGroupName = "<ResourceGroupName>"
    Location = "<Location>"
    ServerName = "<ServerName>"
    ServerVersion = "12.0"
    SqlAdministratorCredentials = (Get-Credential)
    SqlAdministratorLogin = "<ServerAdminName>"
    SqlAdministratorPassword = "<ServerAdminPassword>"
    AssignIdentity = $true
    IdentityType = "<IdentityType>"
    UserAssignedIdentityId = "<UserAssignedIdentityId>"
    PrimaryUserAssignedIdentityId = "<PrimaryUserAssignedIdentityId>"
    KeyId = "<CustomerManagedKeyId>"
    FederatedClientId = "<FederatedClientId>"
}

New-AzSqlServer @params

下面是一个 ARM 模板示例，该模板使用用户分配的托管标识和客户管理的 TDE 创建一个 Azure SQL 逻辑服务器。 对于跨租户 CMK，请使用来自第二个租户 Azure 密钥保管库 的 密钥标识符 和来自多租户应用程序的 应用程序 ID 。

该模板还会为服务器添加一个 Microsoft Entra 管理员组，并为 Azure SQL 启用仅限 Microsoft Entra 的身份验证，不过可以在模板示例中去除此身份验证。

有关 ARM 模板的详细信息，请参阅 Azure SQL 数据库的 Azure 资源管理器模板。

使用 Azure 门户中的自定义部署，在编辑器中生成自己的模板。 接下来，粘贴示例后保存配置。

若要获取用户分配的托管标识资源 ID，请在 Azure 门户中搜索托管标识。 找到你的托管身份，然后转到属性。 UMI 资源 ID 的示例如 /subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<managedIdentity> 所示。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "server": {
            "type": "String"
        },
        "location": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL server."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        },
        "user_identity_resource_id": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The Resource ID of the user-assigned managed identity."
            }
        },
        "federated_clientid": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The Application ID of the multi-tenant application."
            }
        },
        "keyvault_url": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The key vault URI."
            }
        },
        "AdminLogin": {
            "minLength": 1,
            "type": "String"
        },
        "AdminLoginPassword": {
            "type": "SecureString"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers",
            "apiVersion": "2022-05-01-preview",
            "name": "[parameters('server')]",
            "location": "[parameters('location')]",
            "identity": {
                "type": "UserAssigned",
                "UserAssignedIdentities": {
                    "[parameters('user_identity_resource_id')]": {}
                }
            },
            "properties": {
                "administratorLogin": "[parameters('AdminLogin')]",
                "administratorLoginPassword": "[parameters('AdminLoginPassword')]",
                "PrimaryUserAssignedIdentityId": "[parameters('user_identity_resource_id')]",
                "federatedClientId": "[parameters('federated_clientid')]",
                "KeyId": "[parameters('keyvault_url')]",
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}