快速入门：在 Azure SQL 数据库中创建启用了账本的数据库

项目
11/11/2024

在此快速入门中，你将在 Azure SQL 数据库中创建一个账本数据库，并使用 Azure 门户配置自动摘要存储。

先决条件

需要一个活动 Azure 订阅。如果没有订阅，请创建一个试用帐户。

权限

若要通过 Transact-SQL 创建数据库：需要 CREATE DATABASE 权限。若要创建数据库，登录名必须是服务器管理员登录名（预配 Azure SQL 数据库逻辑服务器时创建）、服务器的 Microsoft Entra 管理员、master 中 dbmanager 数据库角色的成员。有关详细信息，请参阅 CREATE DATABASE。

若要通过 Azure 门户、PowerShell、Azure CLI 或 REST API 创建数据库：需要 Azure RBAC 权限，特别是参与者、SQL DB 参与者或 SQL Server 参与者 Azure RBAC 角色。有关详细信息，请参阅 Azure RBAC 内置角色。

创建账本数据库并配置摘要存储

在无服务器计算层中创建单一账本数据库，并配置将账本摘要上传到 Azure 存储帐户。

在 Azure 门户中创建单一数据库：

浏览到“选择 SQL 部署选项”页。
在“SQL 数据库”下将“资源类型”设置保留为“单一数据库”，然后选择“创建” 。
在“创建 SQL 数据库”窗体的“基本信息”选项卡上的“项目详细信息”下，选择要使用的 Azure订阅。
对于“资源组”，选择“新建”，输入“myResourceGroup”，然后选择“确定” 。
对于“数据库名称”，请输入“demo”。
对于“服务器”，选择“新建”。使用以下值填写“新建服务器”窗体：
- 服务器名称：输入“mysqlserver”并添加一些字符以实现唯一性。我们无法提供要使用的确切服务器名称，因为对于 Azure 中的所有服务器，服务器名称必须全局唯一，而不只是在订阅中唯一。输入类似于 mysqlserver12345 的名称，然后门户会告知你是否可用。
- 服务器管理员登录名：输入“azureuser”。
- 密码：输入符合要求的密码。在“确认密码”框中再次输入。
- 位置：从下拉列表中选择一个位置。
- 允许 Azure 服务访问此服务器：选择此选项以启用对摘要存储的访问。
选择“确定”。
将“想要使用 SQL 弹性池”设置保留为“否” 。
在“计算 + 存储”下选择“配置数据库” 。
此快速入门使用无服务器数据库，因此请选择“无服务器”，然后选择“应用” 。
在“网络”选项卡上，对于“连接方法”，选择“公共终结点” 。
对于“防火墙规则”，将“添加当前客户端 IP 地址”设置为“是” 。将“允许 Azure 服务和资源访问此服务器”设置保留为“否” 。
在页面底部选择“下一步: 安全”。
在“安全”选项卡上的“账本”部分中，选择“配置账本”选项。
在“配置账本”窗格的“账本”部分中，选中“为此数据库中所有将来的表启用”复选框。此设置确保数据库中未来的所有表都是账本表。为此，数据库中的所有数据都将显示任何篡改证据。默认情况下，即使未在 CREATE TABLE 中指定 LEDGER = ON，新表也将被创建为可更新的账本表。也可以不选择此选项。使用 SQL Transact-SQL 创建新表时，需要在每个表的基础上启用账本功能。
在“摘要存储”部分，将自动选择“启用自动摘要存储”。然后，将创建一个新的 Azure 存储帐户和存储摘要的容器。
选择“应用”。
在页面底部选择“查看 + 创建”。
在“查看 + 创建”页上，查看后选择“创建”。

你将使用 Azure CLI 创建资源组、逻辑数据库服务器、单个账本数据库并配置上传账本摘要。

设置参数值

后续命令使用以下值来创建数据库和所需资源。服务器名称和存储帐户名称需要在整个 Azure 中全局唯一，因此，$RANDOM 函数将用于创建服务器名称和存储帐户名称。

资源名称必须在你的订阅中唯一。将 <your resource group name> 替换为唯一名称，将 <your subscription ID> 替换为你的订阅 ID。

替换 IP 地址范围中的 0.0.0.0 值，以匹配你的特定环境。

将 chinaeast2 替换为首选的 Azure 区域名称。

resourceGroupName="<your resource group name>"
location="chinaeast2"
serverName="mysqlserver"-$RANDOM
databaseName="myLedgerDatabase"
storageAccountName="mystorage"$RANDOM
subscription="<your subscription ID>"
adminLogin=azureuser
adminPassword=Azure1234567!
serverResourceId="/subscriptions/$subscription/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName"

# The ip address range that you want to allow to access your server
startIP=0.0.0.0
endIP=0.0.0.0

# Set variables for your digest storage location
storageAccountName="mystorage"$RANDOM
storageAccountURL1="https://"
storageAccountURL3=".blob.core.chinacloudapi.cn"
storageAccountURL=$storageAccountURL1$storageAccountName$storageAccountURL3
storageAccountResourceId="/subscriptions/$subscription/resourceGroups/$resourceGroupName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

# Show resource names
echo "Resource group name is" $resourceGroupName
echo "Server name is" $serverName
echo "Database name is" $databaseName
echo "Storage account name is" $storageAccountName

创建资源组

使用“az group create”命令创建资源组。 Azure 资源组是在其中部署和管理 Azure 资源的逻辑容器。

az group create --name $resourceGroupName --location $location

创建带有托管标识的服务器

使用 az sql server create 命令创建服务器。该命令创建分配有托管标识的服务器。

az sql server create \
    --name $serverName \
    --resource-group $resourceGroupName \
    --location $location \
    --admin-user $adminLogin \
    --admin-password $adminPassword \
    --assign-identity

此命令将 ID 存储在一个变量中，该变量稍后将用来向服务器授予上传账本摘要的权限。

# Retrieves the assigned identity to be used when granting the server access to the storage account
principalId=`az sql server show \
    --name $serverName \
    --resource-group $resourceGroupName \
    --query identity.principalId \
    --output tsv`

配置服务器的防火墙规则

使用 az sql server firewall-rule create 命令创建防火墙规则。

az sql server firewall-rule create \
    --resource-group $resourceGroupName \
    --server $serverName \
    -n AllowYourIp \
    --start-ip-address $startIP \
    --end-ip-address $endIP

创建单个账本数据库

使用 az sql db create 命令创建账本数据库。以下命令创建启用了账本的无服务器数据库。

az sql db create \
    --resource-group $resourceGroupName \
    --server $serverName \
    --name $databaseName \
    --edition GeneralPurpose \
    --family Gen5 \
    --capacity 2 \
    --compute-model Serverless \
    --ledger-on

创建存储帐户

使用 az storage account create 命令创建存储帐户来存储账本摘要。

az storage account create \
    --name $storageAccountName \
    --resource-group $resourceGroupName \
    --location $location \
    --sku Standard_GRS \
    --kind StorageV2

授予服务器写入账本摘要的权限

使用 az role assignment create 命令将服务器的托管标识分配给存储 Blob 数据参与者角色。这为 SQL 服务器提供了将数据库摘要发布到存储帐户的适当权限。

az role assignment create \
    --assignee-object-id $principalId \
    --assignee-principal-type "ServicePrincipal" \
    --role "Storage Blob Data Contributor" \
    --scope $storageAccountResourceId

启用数据库摘要上传

使用 az sql db ledger-digest-uploads enable 命令更新数据库，开始将账本摘要上传到存储帐户。

az sql db ledger-digest-uploads enable \
    --name $databaseName \
    --resource-group $resourceGroupName \
    --server $serverName \
    --endpoint $storageAccountURL

配置基于时间的保留策略

若要防止删除或更新摘要，建议使用 az storage container immutability-policy create 和 az storage container immutability-policy lock 命令在 sqldbledgerdigests 容器上配置基于时间的保留策略。该策略必须允许受保护的追加 Blob 写入操作。这会确保数据库服务器可将包含新摘要的块添加到现有 Blob，同时在指定的不可变性时段内禁止删除或更新摘要。

重要

以下示例使用的不可变性时段值为 1 天。在生产环境中，应该使用大得多的值。

备注

开始将数据库摘要上传到存储帐户后，将无法删除存储帐户，直到不可变性策略过期。如果计划在此快速入门之后立即清理资源，可以跳过设置不可变性策略。

若要详细了解容器的基于时间的保留策略，请参阅为容器配置不可变性策略。

az storage container immutability-policy create \
    --resource-group $resourceGroupName \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --period 1 \
    --allow-protected-append-writes true

# Retrieves the etag value of the policy to be used when the policy is locked
etag=`az storage container immutability-policy show \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --query etag \
    --output tsv`
etag="${etag/$'\r'/}"

az storage container immutability-policy lock \
    --resource-group $resourceGroupName \
    --account-name $storageAccountName \
    --container-name sqldbledgerdigests \
    --if-match $etag

你将使用 Windows PowerShell 创建资源组、逻辑数据库服务器、单个账本数据库并配置上传账本摘要。

设置参数值

后续命令使用以下值来创建数据库和所需资源。服务器名称和存储帐户名称需要在整个 Azure 中全局唯一，因此，Get-Random cmdlet 将用于创建服务器名称和存储帐户名称。

资源名称必须在你的订阅中唯一。将 <your resource group name> 替换为唯一名称。

替换 IP 地址范围中的 0.0.0.0 值，以匹配你的特定环境。

将 chinaeast2 替换为首选的 Azure 区域名称。

# Set variables for your server and database
$resourceGroupName = "<your resource group name>"
$location = "chinaeast2"
$serverName = "mysqlserver-$(Get-Random)"
$databaseName = "myLedgerDatabase"
$storageAccountName = "mystorage$(Get-Random)"

# The ip address range that you want to allow to access your server
$startIP = "0.0.0.0"
$endIP = "0.0.0.0"

# Show resource names
Write-host "Resource group name is" $resourceGroupName
Write-host "Server name is" $serverName
Write-host "Storage account name is" $storageAccountName

创建资源组

使用 New-AzResourceGroup 创建 Azure 资源组。资源组是在其中部署和管理 Azure 资源的逻辑容器。

Write-host "Creating resource group..."
$resourceGroup = New-AzResourceGroup `
    -Name $resourceGroupName `
    -Location $location
$resourceGroup

创建服务器

使用 New-AzSqlServer cmdlet 创建服务器。

该 cmdlet 创建分配有托管标识的服务器，你稍后需要向此服务器授予上传账本摘要的权限。

系统提示时，输入 SQL 管理员用户名和密码。

Write-host "Creating primary server..."
$server = New-AzSqlServer `
    -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -Location $location `
    -AssignIdentity `
    -SqlAdministratorCredentials (Get-Credential)
$server

创建防火墙规则

使用 New-AzSqlServerFirewallRule cmdlet 创建服务器防火墙规则。

Write-host "Configuring server firewall rule..."
$serverFirewallRule = New-AzSqlServerFirewallRule -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -FirewallRuleName "AllowedIPs" -StartIpAddress $startIP -EndIpAddress $endIP
$serverFirewallRule

创建单个账本数据库

使用 New-AzSqlDatabase cmdlet 创建单一账本数据库。

以下示例创建无服务器数据库。

Write-host "Creating a gen5 2 vCore serverless ledger database..."
$database = New-AzSqlDatabase  -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -DatabaseName $databaseName `
    -Edition GeneralPurpose `
    -ComputeModel Serverless `
    -ComputeGeneration Gen5 `
    -VCore 2 `
    -MinimumCapacity 2 `
    -EnableLedger
$database

创建存储帐户

使用 New-AzStorageAccount cmdlet 创建存储帐户来存储账本摘要。

Write-host "Creating a storage account for ledger digests..."
$storage = New-AzStorageAccount -ResourceGroupName $resourceGroupName `
   -Name $storageAccountName `
   -Location $location `
   -SkuName Standard_RAGRS `
   -Kind StorageV2 `
   -AccessTier Hot
$storage

授予服务器写入账本摘要的权限

使用 New-AzRoleAssignment cmdlet 将服务器的托管标识分配给存储 Blob 数据参与者角色。这为 SQL 服务器提供了将数据库摘要发布到存储帐户的适当权限。

Write-host "Granting the server access to the storage account..."
$assignment = New-AzRoleAssignment `
    -ObjectId $server.Identity.PrincipalId `
    -RoleDefinitionName "Storage Blob Data Contributor" `
    -ResourceGroupName $resourceGroupName `
    -ResourceType "Microsoft.Storage/storageAccounts" `
    -ResourceName $storageAccountName  
$assignment

启用数据库摘要上传

使用 Enable-AzSqlDatabaseLedgerDigestUpload cmdlet 更新数据库，开始将账本摘要上传到存储帐户。该数据库服务器将在存储帐户中创建名为 sqldbledgerdigests 的新容器，并开始将账本摘要写入容器。

Write-host "Enabling ledger digest upload..." 
$ledgerDigestUploadConfig = Enable-AzSqlDatabaseLedgerDigestUpload `
     -ResourceGroupName $resourceGroupName `
     -ServerName $serverName `
     -DatabaseName $databaseName `
     -Endpoint $storage.PrimaryEndpoints.Blob
$ledgerDigestUploadConfig

配置基于时间的保留策略

若要防止删除或更新摘要，建议使用 Set-AzRmStorageContainerImmutabilityPolicy 和 Lock-AzRmStorageContainerImmutabilityPolicy cmdlet 在 sqldbledgerdigests 容器上配置基于时间的保留策略。该策略必须允许受保护的追加 Blob 写入操作。这会确保数据库服务器可将包含新摘要的块添加到现有 Blob，同时在指定的不可变性时段内禁止删除或更新摘要。

重要

以下示例使用的不可变性时段值为 1 天。在生产环境中，应该使用大得多的值。

备注

在指定的不可变性时段内无法删除容器或存储帐户。

若要详细了解容器的基于时间的保留策略，请参阅为容器配置不可变性策略。

Write-host "Configuring a time-based retention policy..." 
$immutabilityPerdiod = 1
$containerName = "sqldbledgerdigests"
$policy = Set-AzRmStorageContainerImmutabilityPolicy `
   -ResourceGroupName $resourceGroupName `
    -StorageAccountName $storageAccountName `
    -ContainerName $containerName `
    -AllowProtectedAppendWrite $true `
    -ImmutabilityPeriod $immutabilityPerdiod

Lock-AzRmStorageContainerImmutabilityPolicy `
   -ResourceGroupName $resourceGroupName `
    -StorageAccountName $storageAccountName `
    -ContainerName $containerName `
    -Etag $policy.Etag

清理资源

保留资源组、服务器和单个数据库以供后续步骤使用。你将了解如何通过不同的方法使用数据库的账本功能。

使用完这些资源后，删除你创建的资源组。此操作还会删除服务器和该服务器中的单一数据库，以及存储帐户。

备注

如果已在容器上配置并锁定了基于时间的保留策略，则需要等到指定的不可变性时段结束，然后才能删除存储帐户。

若要使用 Azure 门户删除 myResourceGroup 及其包含的所有资源：

在门户中，搜索并选择“资源组”。然后从列表中选择“myResourceGroup”。
在资源组页上，选择“删除资源组”。
在“键入资源组名称”下输入 myResourceGroup，然后选择“删除”。

若要删除资源组及其所有资源，请使用该资源组的名称运行以下 Azure CLI cmdlet：

az group delete -n resourceGroupName

若要删除资源组及其包含所有资源，请使用该资源组的名称运行以下 PowerShell cmdlet：

Remove-AzResourceGroup -Name $resourceGroupName

通过

快速入门：在 Azure SQL 数据库中创建启用了账本的数据库

先决条件

权限

创建账本数据库并配置摘要存储

清理资源

相关内容

其他资源