Onderhoudsbewerkingen voor SQL-resourceproviders

De SQL-resourceprovider wordt uitgevoerd op een vergrendelde virtuele machine (VM). Als u onderhoudsbewerkingen wilt inschakelen, moet u de beveiliging van de VIRTUELE machine bijwerken. Gebruik hiervoor het principe van Least Privilege door PowerShell Just Enough Administration (JEA) eindpunt DBAdapterMaintenance te gebruiken. Het installatiepakket van de resourceprovider bevat een script voor deze actie.

De Windows Defender-definities van de VIRTUELE machine bijwerken

Deze instructies zijn alleen van toepassing op SQL RP V1 die wordt uitgevoerd op geïntegreerde Azure Stack Hub-systemen.

De Windows Defender-definities bijwerken:

1. Download de update voor Windows Defender-definities van beveiligingsupdates voor Windows Defender.

   Schuif op de pagina definities bijwerken omlaag naar 'De update handmatig downloaden'. Download het 64-bits bestand 'Windows Defender Antivirus voor Windows 10 en Windows 8.1'.

   U kunt deze directe koppeling ook gebruiken om het fpam-fe.exe-bestand te downloaden/uit te voeren.

2. Maak een PowerShell-sessie naar het onderhoudseindpunt van de SQL-resourceprovideradapter-VM.

3. Kopieer het updatebestand voor definities naar de VIRTUELE machine met behulp van de sessie met het onderhoudseindpunt.

4. Voer in de PowerShell-sessie voor onderhoud de opdracht Update-DBAdapterWindowsDefenderDefinitions uit.

5. Nadat u de definities hebt geïnstalleerd, wordt u aangeraden het updatebestand voor definities te verwijderen met behulp van de opdracht Remove-ItemOnUserDrive .

PowerShell-voorbeeldscript voor het bijwerken van definities

U kunt het volgende script bewerken en uitvoeren om de Defender-definities bij te werken. Vervang waarden in het script door waarden uit uw omgeving.

# Set credentials for local admin on the resource provider VM.
$vmLocalAdminPass = ConvertTo-SecureString '<local admin user password>' -AsPlainText -Force
$vmLocalAdminUser = "<local admin user name>"
$vmLocalAdminCreds = New-Object System.Management.Automation.PSCredential `
    ($vmLocalAdminUser, $vmLocalAdminPass)

# Provide the public IP address for the adapter VM.
$databaseRPMachine  = "<RP VM IP address>"
$localPathToDefenderUpdate = "C:\DefenderUpdates\mpam-fe.exe"

# Download the Windows Defender update definitions file from https://www.microsoft.com/wdsi/definitions.
Invoke-WebRequest -Uri 'https://go.microsoft.com/fwlink/?LinkID=121721&arch=x64' `
    -Outfile $localPathToDefenderUpdate

# Create a session to the maintenance endpoint.
$session = New-PSSession -ComputerName $databaseRPMachine `
    -Credential $vmLocalAdminCreds -ConfigurationName DBAdapterMaintenance `
    -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)
# Copy the defender update file to the adapter VM.
Copy-Item -ToSession $session -Path $localPathToDefenderUpdate `
     -Destination "User:\"
# Install the update definitions.
Invoke-Command -Session $session -ScriptBlock `
    {Update-AzSDBAdapterWindowsDefenderDefinition -DefinitionsUpdatePackageFile "User:\mpam-fe.exe"}
# Cleanup the definitions package file and session.
Invoke-Command -Session $session -ScriptBlock `
    {Remove-AzSItemOnUserDrive -ItemPath "User:\mpam-fe.exe"}
$session | Remove-PSSession

Azure Diagnostics-extensie configureren voor SQL-resourceprovider

Deze instructies zijn alleen van toepassing op SQL RP V1 die wordt uitgevoerd op geïntegreerde Azure Stack Hub-systemen.

De Azure Diagnostics-extensie is standaard geïnstalleerd op de VM van de SQL-resourceprovideradapter. De volgende stappen laten zien hoe u de extensie kunt aanpassen voor het verzamelen van de operationele gebeurtenislogboeken van de SQL-resourceprovider en IIS-logboeken voor probleemoplossing en controledoeleinden.

1. Meld u aan bij de Azure Stack Hub-beheerdersportal.

2. Selecteer virtuele machines in het deelvenster aan de linkerkant, zoek naar de VM van de SQL-resourceprovideradapter en selecteer de VM.

3. Ga in diagnostische instellingen van de virtuele machine naar het tabblad Logboeken en kies Aangepast om gebeurtenislogboeken aan te passen die worden verzameld.

4. Voeg Microsoft-AzureStack-DatabaseAdapter/Operational!* toe om operationele gebeurtenislogboeken van de SQL-resourceprovider te verzamelen.

5. Als u het verzamelen van IIS-logboeken wilt inschakelen, controleert u IIS-logboeken en mislukte aanvraaglogboeken.

6. Selecteer Ten slotte Opslaan om alle diagnostische instellingen op te slaan.

Zodra de gebeurtenislogboeken en de verzameling IIS-logboeken zijn geconfigureerd voor de SQL-resourceprovider, zijn de logboeken te vinden in een systeemopslagaccount met de naam sqladapterdiagaccount.

Zie wat is de Azure Diagnostics-extensie voor meer informatie over de Azure Diagnostics-extensie.

Deze instructies zijn alleen van toepassing op SQL RP V1 die wordt uitgevoerd op geïntegreerde Azure Stack Hub-systemen.

Wanneer u de SQL- en MySQL-resourceproviders gebruikt met geïntegreerde Systemen van Azure Stack Hub, is de Azure Stack Hub-operator verantwoordelijk voor het roteren van de volgende infrastructuurgeheimen van de resourceprovider om ervoor te zorgen dat ze niet verlopen:

• Extern SSL-certificaat dat tijdens de implementatie is opgegeven.
• Het wachtwoord voor het lokale beheerdersaccount van de resourceprovider-VM dat is opgegeven tijdens de implementatie.
• Diagnostisch gebruikerswachtwoord van resourceprovider (dbadapterdiag).
• (version >= 1.1.47.0) Key Vault-certificaat dat tijdens de implementatie is gegenereerd.

PowerShell-voorbeelden voor het roteren van geheimen

Wijzig alle geheimen tegelijk.

.\SecretRotationSQLProvider.ps1 `
    -Privilegedendpoint $Privilegedendpoint `
    -CloudAdminCredential $cloudCreds `
    -AzCredential $adminCreds `
    -DiagnosticsUserPassword $passwd `
    -DependencyFilesLocalPath $certPath `
    -DefaultSSLCertificatePassword $certPasswd  `
    -VMLocalCredential $localCreds `
    -KeyVaultPfxPassword $keyvaultCertPasswd

Wijzig het wachtwoord van de diagnostische gebruiker.

.\SecretRotationSQLProvider.ps1 `
    -Privilegedendpoint $Privilegedendpoint `
    -CloudAdminCredential $cloudCreds `
    -AzCredential $adminCreds `
    -DiagnosticsUserPassword  $passwd

Wijzig het wachtwoord van het lokale beheerdersaccount van de VIRTUELE machine.

.\SecretRotationSQLProvider.ps1 `
    -Privilegedendpoint $Privilegedendpoint `
    -CloudAdminCredential $cloudCreds `
    -AzCredential $adminCreds `
    -VMLocalCredential $localCreds

Het SSL-certificaat vernieuwen

.\SecretRotationSQLProvider.ps1 `
    -Privilegedendpoint $Privilegedendpoint `
    -CloudAdminCredential $cloudCreds `
    -AzCredential $adminCreds `
    -DependencyFilesLocalPath $certPath `
    -DefaultSSLCertificatePassword $certPasswd

Het Key Vault-certificaat roteren

.\SecretRotationSQLProvider.ps1 `
    -Privilegedendpoint $Privilegedendpoint `
    -CloudAdminCredential $cloudCreds `
    -AzCredential $adminCreds `
    -KeyVaultPfxPassword $keyvaultCertPasswd

SecretRotationSQLProvider.ps1 parameters

Deze instructies zijn alleen van toepassing op SQL RP V2 die wordt uitgevoerd op geïntegreerde Azure Stack Hub-systemen.

Net als bij de Azure Stack Hub-infrastructuur gebruiken waarde-toevoegende resourceproviders zowel interne als externe geheimen. Als operator bent u verantwoordelijk voor:

• Het leveren van bijgewerkte externe geheimen, zoals een nieuw TLS-certificaat dat wordt gebruikt voor het beveiligen van eindpunten van de resourceprovider.
• Het beheer van de regelmatige rotatie van geheimen bij de resourceprovider.

Wanneer geheimen bijna verlopen, worden de volgende waarschuwingen gegenereerd in de beheerportal. Wanneer je de geheimrotatie voltooit, zijn deze waarschuwingen opgelost:

• In afwachting van interne certificaatvervaldatum
• Verwachte vervaldatum van extern certificaat

Vereiste voorwaarden

Ter voorbereiding op het rotatieproces:

1. Als u dat nog niet hebt gedaan, installeert u de Az-module van PowerShell voor Azure Stack Hub voordat u doorgaat. Versie 2.0.2-preview of hoger is vereist voor het rouleren van geheimen van Azure Stack Hub. Zie Migreren van AzureRM naar Azure PowerShell Az in Azure Stack Hub voor meer informatie.

2. Installeer modules voor Azs.Deployment.Admin 1.0.0: PowerShell Gallery | Azs.Deployment.Admin 1.0.0

Install-Module -Name Azs.Deployment.Admin

3. Als het externe certificaat bijna verloopt, controleert u de PKI-certificaatvereisten (Public Key Infrastructure) van Azure Stack Hub voor belangrijke vereiste informatie voordat u uw X509-certificaat aanschaft/verlengt, inclusief details over de vereiste PFX-indeling. Bekijk ook de vereisten die zijn opgegeven in de sectie Optionele PaaS-certificaten voor uw specifieke resourceprovider voor het toevoegen van waarden.

Een nieuw TLS-certificaat voorbereiden voor het rouleren van externe certificaten

Maak of vernieuw vervolgens uw TLS-certificaat om de toegevoegde waarde-eindpunten van de resourceprovider te beveiligen.

1. Voer de stappen in CDR's (Certificaatondertekeningsaanvragen genereren) voor certificaatvernieuwing voor uw resourceprovider uit. Hier gebruikt u het hulpprogramma Azure Stack Hub Readiness Checker om de CSR te maken. Zorg ervoor dat u de juiste cmdlet voor uw resourceprovider uitvoert in de stap Certificaataanvragen genereren voor andere Azure Stack Hub-services. Wordt bijvoorbeeld New-AzsDbAdapterCertificateSigningRequest gebruikt voor SQL- en MySQL-RPS's. Wanneer u klaar bent, verzendt u de gegenereerde . REQ-bestand naar uw certificeringsinstantie (CA) voor het nieuwe certificaat.

2. Nadat u het certificaatbestand van de CA hebt ontvangen, voert u de stappen in Certificaten voorbereiden voor implementatie of rotatie uit. U gebruikt het hulpprogramma Gereedheidscontrole opnieuw om het bestand te verwerken dat wordt geretourneerd door de CA.

3. Voltooi ten slotte de stappen in PKI-certificaten van Azure Stack Hub valideren. U gebruikt het hulpprogramma Gereedheidscontrole nogmaals om validatietests uit te voeren op uw nieuwe certificaat.

Het interne certificaat vernieuwen

Open een PowerShell-console met verhoogde bevoegdheid en voer de volgende stappen uit om de externe geheimen van de resourceprovider te roteren:

1. Meld u aan bij uw Azure Stack Hub-omgeving met behulp van uw operatorreferenties. Zie Verbinding maken met Azure Stack Hub met PowerShell voor PowerShell-aanmeldingsscript. Zorg ervoor dat u de PowerShell Az-cmdlets (in plaats van AzureRM) gebruikt en vervang alle tijdelijke aanduidingen, zoals eindpunt-URL's en de naam van de maptenant.

2. Bepaal de product-id van de resourceprovider. Voer de Get-AzsProductDeployment cmdlet uit om een lijst met de meest recente implementaties van de resourceprovider op te halen. De geretourneerde verzameling bevat een element voor elke geïmplementeerde "value" resourceprovider. Zoek de resourceprovider van belang en noteer de waarden voor deze eigenschappen:

   • "name" - bevat de product-id van de resourceprovider in het tweede segment van de waarde.

   De SQL RP-implementatie kan bijvoorbeeld een product-id van "microsoft.sqlrp"hebben.

3. Voer de Invoke-AzsProductRotateSecretsAction cmdlet uit om het interne certificaat te draaien:

   Invoke-AzsProductRotateSecretsAction -ProductId $productId
   

Het externe certificaat draaien

U moet eerst de waarden voor de volgende parameters noteren.

Open een PowerShell-console met verhoogde bevoegdheid en voer de volgende stappen uit:

1. Meld u aan bij uw Azure Stack Hub-omgeving met behulp van uw operatorreferenties. Zie Verbinding maken met Azure Stack Hub met PowerShell voor PowerShell-aanmeldingsscript. Zorg ervoor dat u de PowerShell Az-cmdlets (in plaats van AzureRM) gebruikt en vervang alle tijdelijke aanduidingen, zoals eindpunt-URL's en de naam van de maptenant.

2. Haal de parameterwaarde van de product-id op. Voer de Get-AzsProductDeployment cmdlet uit om een lijst met de meest recente implementaties van de resourceprovider op te halen. De geretourneerde verzameling bevat een element voor elke geïmplementeerde "value" resourceprovider. Zoek de resourceprovider van belang en noteer de waarden voor deze eigenschappen:

   • "name" - bevat de product-id van de resourceprovider in het tweede segment van de waarde.
   • "properties"."deployment"."version" - bevat het momenteel geïmplementeerde versienummer.

De SQL RP-implementatie kan bijvoorbeeld een product-id van "microsoft.sqlrp"en versie "2.0.0.2"hebben.

3. Bouw de pakket-id van de resourceprovider door de product-id en versie van de resourceprovider samen te stellen. Als u bijvoorbeeld de waarden gebruikt die in de vorige stap zijn afgeleid, is microsoft.sqlrp.2.0.0.2de SQL RP-pakket-id.

4. Gebruik de pakket-id die in de vorige stap is afgeleid, Get-AzsProductSecret -PackageId om de lijst met geheime typen op te halen die door de resourceprovider worden gebruikt. Zoek in de geretourneerde value verzameling het element dat een waarde van "Certificate" bevat voor de "properties"."secretKind" eigenschap. Dit element bevat de eigenschappen van het certificaatgeheim van de RP. Noteer de naam die is toegewezen aan dit certificaatgeheim, dat wordt geïdentificeerd door het laatste segment van de "name" eigenschap, net boven "properties".

De geheimenverzameling die wordt geretourneerd voor de SQL RP bevat bijvoorbeeld een "Certificate" geheim met de naam SSLCert.

5. Gebruik de Set-AzsProductSecret cmdlet om uw nieuwe certificaat te importeren in Key Vault, dat wordt gebruikt door het rotatieproces. Vervang de waarden van de tijdelijke aanduidingen voor variabelen dienovereenkomstig voordat u het script uitvoert.

   $productId = '<product-id>'
   $packageId = $productId + '.' + '<installed-version>'
   $certSecretName = '<cert-secret-name>' 
   $pfxFilePath = '<cert-pfx-file-path>'
   $pfxPassword = ConvertTo-SecureString '<pfx-password>' -AsPlainText -Force   
   Set-AzsProductSecret -PackageId $packageId -SecretName $certSecretName -PfxFileName $pfxFilePath -PfxPassword $pfxPassword -Force
   

6. Gebruik ten slotte de Invoke-AzsProductRotateSecretsAction cmdlet om de geheimen te roteren:

   Invoke-AzsProductRotateSecretsAction -ProductId $productId
   

De voortgang van het rouleren van geheimen bewaken

U kunt de voortgang van geheimrotatie controleren in de PowerShell-console of in de beheerportal door de resourceprovider in de Marketplace-service te selecteren:

Azure Stack Hub heeft meerdere manieren om diagnostische logboeken te verzamelen, op te slaan en te verzenden naar Microsoft Ondersteuning. Vanaf versie 1.1.93 ondersteunt SQL Resource Provider de standaardmethode voor het verzamelen van logboeken uit uw Azure Stack Hub-omgeving. Zie Het verzamelen van diagnostische logboeken voor meer informatie.

Vanaf versie 1.1.93 ondersteunt SQL Resource Provider de standaardmethode voor het verzamelen van logboeken uit uw Azure Stack Hub-omgeving. Als u een oudere versie gebruikt, is het raadzaam om uw SQL-resourceprovider bij te werken naar de nieuwste versie.

Als u logboeken van de vergrendelde VM wilt verzamelen, gebruikt u het UA-eindpunt DBAdapterDiagnostics (PowerShell Just Enough Administration). Dit eindpunt biedt de volgende opdrachten:

• Get-AzsDBAdapterLog. Met deze opdracht maakt u een zip-pakket van de diagnostische logboeken van de resourceprovider en slaat u het bestand op het gebruikersstation van de sessie op. U kunt dit commando zonder parameters uitvoeren en de logboeken van de laatste vier uur worden dan verzameld.
• Remove-AzsDBAdapterLog. Met deze opdracht worden bestaande logboekpakketten op de VM van de resourceprovider verwijderd.

Eindpuntvereisten en -proces

Wanneer een resourceprovider is geïnstalleerd of bijgewerkt, wordt het dbadapterdiag-gebruikersaccount gemaakt. U gebruikt dit account om diagnostische logboeken te verzamelen.

Als u de opdrachten DBAdapterDiagnostics wilt gebruiken, maakt u een externe PowerShell-sessie naar de vm van de resourceprovider en voert u de opdracht Get-AzsDBAdapterLog uit.

U stelt de tijdsduur voor logboekverzameling in met behulp van de parameters FromDate en ToDate . Als u geen of beide parameters opgeeft, worden de volgende standaardwaarden gebruikt:

• FromDate is vier uur voor de huidige tijd.
• ToDate is de huidige tijd.

PowerShell-voorbeeldscript voor het verzamelen van logboeken

Het volgende script laat zien hoe u diagnostische logboeken verzamelt van de VM van de resourceprovider.

# Create a new diagnostics endpoint session.
$databaseRPMachineIP = '<RP VM IP address>'
$diagnosticsUserName = 'dbadapterdiag'
$diagnosticsUserPassword = '<Enter Diagnostic password>'

$diagCreds = New-Object System.Management.Automation.PSCredential `
        ($diagnosticsUserName, (ConvertTo-SecureString -String $diagnosticsUserPassword -AsPlainText -Force))
$session = New-PSSession -ComputerName $databaseRPMachineIP -Credential $diagCreds `
        -ConfigurationName DBAdapterDiagnostics `
        -SessionOption (New-PSSessionOption -Culture en-US -UICulture en-US)

# Sample that captures logs from the previous hour.
$fromDate = (Get-Date).AddHours(-1)
$dateNow = Get-Date
$sb = {param($d1,$d2) Get-AzSDBAdapterLog -FromDate $d1 -ToDate $d2}
$logs = Invoke-Command -Session $session -ScriptBlock $sb -ArgumentList $fromDate,$dateNow

# Copy the logs to the user drive.
$sourcePath = "User:\{0}" -f $logs
$destinationPackage = Join-Path -Path (Convert-Path '.') -ChildPath $logs
Copy-Item -FromSession $session -Path $sourcePath -Destination $destinationPackage

# Clean up the logs.
$cleanup = Invoke-Command -Session $session -ScriptBlock {Remove-AzsDBAdapterLog}
# Close the session.
$session | Remove-PSSession