מעבדה מעשית — DP-300 Microsoft Azure Database Administrator Associate

סקירה כללית

דרישות קדם

שלבים

1. 1.ספק, קבוצת משאבים, יסודות מתן שמות

   פתיח Azure סטנדרטי.

   העתק

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       azurerm = { source = "hashicorp/azurerm", version = "~> 4.0" }
       random  = { source = "hashicorp/random",  version = "~> 3.6" }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   
   resource "random_id" "suffix" {
     byte_length = 3
   }
   
   data "azurerm_client_config" "current" {}
   
   locals {
     tags = {
       Project   = "certlabpro-dp-300"
       ManagedBy = "terraform"
     }
   }
   
   resource "azurerm_resource_group" "main" {
     name     = "certlabpro-dp-300-rg"
     location = "eastus"
     tags     = local.tags
   }

2. 2.הקמת חשבון אחסון ייעודי ליומני ביקורת SQL

   משאבים:

   • Azure Storage

   תחום הטמעת סביבה מאובטחת של DP-300 בודק את ההפרדה בין נתוני עומס עבודה לנתוני ביקורת. דפוס ייצור נפוץ: חשבון אחסון ייעודי רק ליומני ביקורת, עם מדיניות שמירה שונה (ארוכה יותר) ובקרות גישה מחמירות יותר מאשר האחסון של עומס העבודה עצמו.

   אנו מספקים כאן את חשבון הביקורת, מגדירים שמירת בלובים למשך 90 יום (תואם את דרישת אחסון ביקורת SQL עבור תעשיות רבות הנתונות לרגולציה), ונועלים גישה ציבורית. ה-SQL Server בשלב 3 יכתוב את יומן הביקורת שלו לכאן.

   העתק

   resource "azurerm_storage_account" "audit" {
     name                            = "dp300audit${random_id.suffix.hex}"
     resource_group_name             = azurerm_resource_group.main.name
     location                        = azurerm_resource_group.main.location
     account_tier                    = "Standard"
     account_replication_type        = "LRS"
     account_kind                    = "StorageV2"
   
     https_traffic_only_enabled      = true
     min_tls_version                 = "TLS1_2"
     allow_nested_items_to_be_public = false
   
     blob_properties {
       delete_retention_policy {
         days = 90
       }
     }
   
     tags = local.tags
   }

3. 3.הקמת שרת SQL עם אימות Entra בלבד + מסד נתונים

   משאבים:

   • Azure SQL Database
   • Microsoft Entra ID

   אימות Entra בלבד (azuread_authentication_only = true) הוא התשובה המומלצת ביותר בייצור ב-DP-300 – הוא משבית לחלוטין את כניסת מנהל SQL-auth, ומכריח כל חיבור לעבור דרך Entra ID. הבחינה בודקת דפוס זה שוב ושוב.

   בלוק מנהל Entra נותן שם ל-principal הנוכחי של Terraform – כלומר, לאחר terraform apply, תוכל להתחבר באמצעות sqlcmd -G תוך שימוש בזהות ה-az login שלך, ללא סיסמת SQL בשום מקום. מסד הנתונים שמתחת הוא שכבת Basic הקטנה ביותר; עבור ל-General Purpose Serverless עבור עומסי עבודה בייצור עם עומס לסירוגין (השהיה אוטומטית לאחר חוסר פעילות).

   העתק

   resource "azurerm_mssql_server" "main" {
     name                          = "sql-dp300-${random_id.suffix.hex}"
     resource_group_name           = azurerm_resource_group.main.name
     location                      = azurerm_resource_group.main.location
     version                       = "12.0"
     minimum_tls_version           = "1.2"
     public_network_access_enabled = true
   
     # Entra-only mode: no SQL admin login created.
     azuread_administrator {
       login_username              = "sqladmins"
       object_id                   = data.azurerm_client_config.current.object_id
       azuread_authentication_only = true
     }
   
     identity {
       type = "SystemAssigned"
     }
   
     tags = local.tags
   }
   
   resource "azurerm_mssql_database" "main" {
     name        = "app"
     server_id   = azurerm_mssql_server.main.id
     sku_name    = "Basic"
     max_size_gb = 2
   
     tags = local.tags
   }

4. 4.הפעלת ביקורת SQL לחשבון אחסון הביקורת

   משאבים:

   • Azure SQL Database

   ביקורת ברמת SQL Server לוכדת כל פקודת DBCC, שינוי סכימה, ניסיון כניסה, והענקה/ביטול. אנו מחברים אותה לחשבון האחסון משלב 2 עם שמירה למשך 90 יום. הזהות המנוהלת של SQL Server משלב 3 מקבלת הרשאת Storage Blob Data Contributor על חשבון הביקורת – דפוס האימות מבוסס הזהויות ש-DP-300 מעדיף על פני אימות מבוסס מפתח חשבון אחסון.

   ביקורת ברמת השרת חלה על כל מסד נתונים תחת השרת. הבחינה בודקת את ההבחנה בין ביקורת ברמת השרת (זו) וביקורת ברמת מסד הנתונים (ביטול לפי מסד נתונים). רמת השרת היא התשובה הנכונה לשאלות מסוג כל מסדי הנתונים חייבים לעבור ביקורת.

   העתק

   resource "azurerm_role_assignment" "sql_audit_writer" {
     scope                = azurerm_storage_account.audit.id
     role_definition_name = "Storage Blob Data Contributor"
     principal_id         = azurerm_mssql_server.main.identity[0].principal_id
   }
   
   resource "azurerm_mssql_server_extended_auditing_policy" "main" {
     server_id                               = azurerm_mssql_server.main.id
     storage_endpoint                        = azurerm_storage_account.audit.primary_blob_endpoint
     retention_in_days                       = 90
     log_monitoring_enabled                  = true
   
     depends_on = [azurerm_role_assignment.sql_audit_writer]
   }

5. 5.הפעלת Defender עבור SQL + התראות זיהוי איומים ל-Log Analytics

   משאבים:

   • Microsoft Defender for Cloud
   • Azure Monitor

   Microsoft Defender עבור SQL הוא התשובה של DP-300 בגיזרת ניטור ואופטימיזציה לזיהוי איומים – הוא סורק אחר ניסיונות הזרקת SQL, מיקומי כניסה חריגים, ניסיונות כוח brute-force והרחבות הרשאות חריגות. משאב הגנת האיומים המתקדמת הוא הפעלה לכל שרת; מדיניות התראות האבטחה מגדירה מי יקבל דוא"ל כאשר איומים מתגלים.

   אנו גם מחברים סביבת עבודה של Log Analytics ומנתבים אליה את אבחוני מסד הנתונים (תובנות SQL, מדדי Query Store, שגיאות). עם החלק האחרון הזה במקום, בסיס ה-SQL המוקשח של DP-300 מעוצב: אימות Entra בלבד, ביקורת שרת, זיהוי איומים, נראות Log Analytics. כל שאלה של DP-300 בגיזרת ניהול והגדרה נוגעת באחד מהיסודות הללו.

   העתק

   resource "azurerm_log_analytics_workspace" "main" {
     name                = "log-dp300"
     resource_group_name = azurerm_resource_group.main.name
     location            = azurerm_resource_group.main.location
     sku                 = "PerGB2018"
     retention_in_days   = 30
   
     tags = local.tags
   }
   
   resource "azurerm_mssql_server_security_alert_policy" "main" {
     resource_group_name        = azurerm_resource_group.main.name
     server_name                = azurerm_mssql_server.main.name
     state                      = "Enabled"
     email_account_admins       = true
     email_addresses            = ["dba@example.com"] # replace
     retention_days             = 30
     disabled_alerts            = [] # all alert types enabled
   }
   
   resource "azurerm_monitor_diagnostic_setting" "sql_db" {
     name                       = "diag"
     target_resource_id         = azurerm_mssql_database.main.id
     log_analytics_workspace_id = azurerm_log_analytics_workspace.main.id
   
     enabled_log {
       category = "SQLInsights"
     }
     enabled_log {
       category = "AutomaticTuning"
     }
     enabled_log {
       category = "Errors"
     }
   
     metric {
       category = "AllMetrics"
       enabled  = true
     }
   }

ניקוי משאבים