Viele kennen die Situation: Niemand weiß genau, wie viele SQL-Server-Instanzen im Unternehmen laufen, und Versionen wie Patchstände sind bestenfalls lückenhaft dokumentiert. Vor allem in On-Premises-Umgebungen und Multicloud-Landschaften stoße ich immer wieder auf erstaunlich viele „vergessene“ SQL-Server. SQL Server mit Azure Arc schafft hier Transparenz und eine zentrale Verwaltung. Das betrifft das klassische Inventar ebenso wie Sicherheit, Lizenzierung und sogar die Extended Security Updates (ESU) für SQL Server 2014.

Azure Arc liefert ein zentrales Inventar aller SQL-Server-Instanzen

Kern von Arc-enabled SQL Server ist das zentrale Inventar. Ist die SQL-Server-Erweiterung auf einem Arc-fähigen Server installiert, taucht jede Instanz im Azure-Portal auf und meldet von selbst Version, Edition, Patchlevel und weitere wichtige Eigenschaften. In Projekten, in denen SQL-Server über Fachabteilungen, Testumgebungen oder längst vergessene VMs verstreut sind, ist das ein großer Fortschritt. In der Azure-Arc-Übersicht lässt sich bequem filtern und sortieren, außerdem zeigt sie an, wo veraltete Versionen oder nicht unterstützte Editionen laufen. Das Patch- und Lifecycle-Management wird dadurch deutlich einfacher, und oft gibt genau diese Übersicht den Anstoß, alte Systeme endlich gezielt abzulösen.

flowchart TD
    OnPremSQL["On-Premises SQL Server"] --> ArcAgent["Arc Agent"]
    OtherCloudSQL["SQL Server andere Cloud"] --> ArcAgent
    ArcAgent --> AzureArc["Azure Arc Server" ]
    AzureArc --> SQLExt["SQL Server Erweiterung"]
    SQLExt --> AzurePortal["Azure Portal: Inventar, Sicherheit, Abrechnung"]

Abbildung: So melden sich SQL-Server-Instanzen über Arc zentral im Azure-Portal.

Assessments und Defender for SQL decken Schwachstellen systematisch auf

Ein Inventar allein reicht natürlich nicht. Die Arc-Integration bringt deshalb automatische Best-Practice-Assessments mit. Der Dienst untersucht jede Instanz auf gängige Fehlkonfigurationen, fehlende Patches, schwache Authentifizierung und bekannte Angriffspfade. Die Empfehlungen richten sich nach Microsofts Security Baseline und helfen dabei, Maßnahmen sinnvoll zu priorisieren. Gegenüber Insellösungen oder manuellen Checks ist das ein klarer Vorteil. In vielen Tenants, die ich betreue, wirkt gerade diese Übersicht wie ein Weckruf, weil unsichere Authentifizierung oder überfällige Updates plötzlich systematisch sichtbar werden. Wer weitergehen möchte, aktiviert zusätzlich Defender for SQL und bekommt Bedrohungserkennung und Schwachstellenanalyse dazu.

Mein Tipp: Das Assessment läuft nicht einmalig, sondern in regelmäßigen Abständen. Wer Alerts automatisieren möchte, exportiert die Ergebnisse am besten in einen zentralen Log-Analytics-Workspace und arbeitet dort mit eigenen KQL-Abfragen oder Workbooks.

Mehr zum Assessment-Mechanismus steht in der Microsoft-Dokumentation: SQL Server mit Azure Arc im Überblick und Details zum Assessment.

Die Entra-Authentifizierung schützt auch lokal betriebene Instanzen

Seit SQL Server 2022 lässt sich die Entra-Authentifizierung (früher Azure-AD-Authentifizierung) nicht nur in Azure aktivieren, sondern über Arc auch für lokal betriebene Instanzen. Damit sind Single Sign-on und moderne MFA möglich. Das vereinfacht das Identitätsmanagement spürbar, vor allem wenn lokale SQL-Server in Cloud-Anwendungen oder M365-Dienste eingebunden werden sollen. Voraussetzung ist eine SQL-Instanz ab Version 2022, die mit Arc verbunden ist. Von dort ist der Weg zu Conditional Access in Entra und einer zentralen Governance nicht mehr weit. Viele Kunden unterschätzen am Anfang, wie grundlegend sich auf diese Weise auch Legacy-Anwendungen absichern lassen. Praktische Hinweise zu Workload-Identitäten und ihrer Absicherung gibt der Beitrag Workload-Identitäten in Entra ID: Managed Identities, App-Registrierungen und sichere Alternativen.

Beim ESU für SQL Server 2014 entscheidet der Lizenztyp über die Abrechnung

Der erweiterte Support für SQL Server 2014 ist im Juli 2024 ausgelaufen. Wer weiterhin Sicherheitsupdates erhalten will, muss ESU (Extended Security Updates) buchen, und das betrifft viele Unternehmen. Über Azure Arc lassen sich auch lokale SQL-Instanzen und solche in anderen Clouds unkompliziert für ESU registrieren. Entscheidend ist dabei die gewählte Lizenzierungsart, denn nach ihr richtet sich die Abrechnung. Zur Auswahl stehen eine Lizenz inkl. Software Assurance (SA) und Pay-as-you-go (PAYG). PAYG-Instanzen rechnet Azure stundenweise ab, bei Instanzen mit vorhandener SA bleibt es beim bestehenden Modell. Die Lizenztypen sollten sauber dokumentiert sein. Falsche Einstellungen verursachen schnell unnötige Kosten, und in großen SQL-Landschaften kann das richtig ins Geld gehen.

Die Anbindung gelingt in drei überschaubaren Schritten

Technisch ist die Anbindung erstaunlich unkompliziert, sofern Netzwerkanforderungen und Firewall-Regeln vorher geklärt sind. Zuerst wird der Server selbst per Azure Arc angebunden (Onboarding). Danach folgt die Installation der SQL-Server-Erweiterung, und zum Schluss legt man den Lizenztyp fest (PAYG oder Lizenz mit SA). Im Azure-Portal lässt sich das für jede Instanz in der Übersicht prüfen und ändern. In heterogenen Umgebungen sollte der Ablauf unbedingt dokumentiert werden, zum Beispiel so:

# PowerShell 7, mit installierter Azure CLI, Rolle: Contributor auf Resource Group
az connectedmachine sql enable --resource-group <RG> --machine-name <ServerName> --license-type PAYG

Damit ist die Instanz angebunden und richtig für PAYG lizenziert. Wer ESU braucht, aktiviert die Funktion direkt im Azure-Portal unter „SQL Server – Arc-verwaltet“.

Arc schafft in SQL-Landschaften endlich echte Transparenz

Wenn ich in SQL-Landschaften Transparenz und Governance aufbauen soll, ist SQL Server mit Azure Arc für mich inzwischen die erste Wahl. Das zentrale Inventar, die Assessments und die Möglichkeit, die Sicherheit fortlaufend aus der Cloud zu steuern, bringen gerade in gewachsenen, hybriden Umgebungen einen spürbaren Mehrwert. Die Frage des Lizenztyps sollte man trotzdem nicht unterschätzen. Oft entscheidet sich genau hier, ob die Kosten für ESU und Defender im Rahmen bleiben. Wer heute noch SQL-Server „in der Wildnis“ betreibt, bekommt mit Arc das passende Werkzeug, um aufzuräumen und Compliance nachzuweisen. Nebenbei entsteht so auch die Grundlage für die Entra-basierte Authentifizierung und moderne Sicherheitsmechanismen.