Azure SQL を保護するためのセキュリティを実装する

9 分

移行中やその他の Azure SQL リソースを確実に保護するには、サーバーとデータベースのファイアウォール規則と Microsoft Defender for SQL を理解し、効果的に管理することが不可欠です。

サーバーとデータベースのファイアウォール規則を構成する

Azure SQL Database では、サーバーレベルとデータベースレベルの両方でファイアウォール規則を構成できます。

サーバーレベルのファイアウォール規則

サーバーレベルのファイアウォール規則、より広範なレベルで Azure SQL Database へのアクセスを制御し、サーバーに接続できる IP アドレスを決定します。それに対して

サーバーレベルのファイアウォール規則を使用すると、ユーザーはすべてのサーバーデータベースに接続できます。一方、データベースレベルのファイアウォールは、個々のデータベースへの特定の IP アドレスへのアクセスを制御します。

サーバーレベルのファイアウォール規則は、Azure portal を使用するか、マスター データベース内の sp_set_firewall_rule ストアドプロシージャを使用して構成できます。

注

[Azure サービスおよびリソースにこのサーバーへのアクセスを許可する] のサーバー設定は、有効にされている場合、1 つのファイアウォール規則としてカウントされます。既定では、すべてのアクセスをブロックし、必要な場合にのみ開きます。

データベースレベルのファイアウォール規則

データベースレベルのルールは、個々のデータベース内でより具体的な制御を提供します。 T-SQL を使用してデータベースレベルのファイアウォール規則を構成できるのは、ユーザーデータベース内の sp_set_database_firewall_rule ストアドプロシージャを使用する場合のみです。

接続時に、Azure SQL Database は、指定されたデータベース名に固有のデータベースレベルのファイアウォール規則をチェックします。その規則が見つからない場合は、サーバー上のすべてのデータベースに適用されるサーバーレベルの IP ファイアウォール規則を確認します。いずれかのルールが存在する場合は、接続が確立されます。

どちらの規則も存在しない場合、ユーザーが SQL Server Management Studio または Azure Data Studio を使用して接続している場合は、ファイアウォール規則の作成を求められます。

サーバーレベルのファイアウォール規則とデータベースレベルのファイアウォール規則の詳細については、「Azure SQL Database と Azure Synapse IP ファイアウォール規則を参照してください。

Microsoft Defender for SQL

Microsoft Defender for SQL は、Azure SQL Database、Azure SQL Managed Instance、および Azure VM 上の SQL Server 用の包括的なセキュリティソリューションです。データベースのセキュリティを継続的に監視および評価し、それを強化するためのカスタマイズされた推奨事項を提供します。

また、SQL 脆弱性評価や Advanced Threat Protection など、高度なセキュリティ機能を提供して、データの状態を事前に保護します。このオールインワンソリューションは、SQL 環境で高レベルのセキュリティを維持するのに役立ちます。

Microsoft Defender for SQL を有効にする方法は 2 つあります。

メソッド	説明
サブスクリプションレベル (推奨)	サブスクリプションレベルで有効にして、Azure SQL Database と Azure SQL Managed Instance 内のすべてのデータベースを包括的に保護します。必要に応じて、個別に無効にすることができます。
リソースレベルの	または、特定のデータベースの保護を手動で管理する場合は、リソースレベルで有効にすることもできます。

SQL 脆弱性評価

SQL 脆弱性評価は、Microsoft のベストプラクティスに基づくルールのナレッジベースを使用します。セキュリティの脆弱性、構成の誤り、過剰なアクセス許可、保護されていない機密データにフラグを設定します。

SQL 脆弱性評価には、次の 2 つの構成オプションがあります。

Express Configuration: これは既定のオプションであり、ベースラインとスキャンの結果に外部ストレージは必要ありません。
クラシック構成: ベースラインデータとスキャン結果データを格納するための Azure ストレージアカウントを管理する必要があります。

高度な脅威保護

Advanced Threat Protection は、異常または潜在的に有害なデータベースアクセス試行を検出して対応することで、Azure SQL のセキュリティを強化します。

疑わしいデータベースアクティビティ、潜在的な脆弱性、SQL インジェクション攻撃、および Microsoft Defender for Cloud と統合された異常なアクセスパターンに対するセキュリティアラートを提供します。この統合により、脅威を調査および軽減するための分析情報と推奨されるアクションが提供され、セキュリティ専門家以外の専門家がアクセスできるようになります。

アラートの一覧については、Microsoft Defender for Cloud の SQL Database および Azure Synapse Analytics のアラートに関するセクションを参照してください。