APIs seguras para SQL en Azure

Dispongo de una réplica de SQL Server alojada en una máquina virtual de Azure y necesito exponerla a internet sin comprometer la seguridad. para poder acceder desde MCP's Qué busco • Un esquema de arquitectura robusto que contemple acceso público controlado, buenas prácticas de red y servicios administrados de Azure. • Configurar Microsoft Data API Builder para publicar endpoints REST/MCP sobre las tablas y vistas que autorice (ambos tipos deben quedar operativos). • Implementar autenticación combinada JWT y OAuth2, delegando correctamente los permisos de lectura en la base de datos (solo read-only). • Añadir una capa de seguridad perimetral: mi preferencia es Azure Front Door, pero puedo considerar WAF, API Management o App Gateway si justifica ventajas. • Documentar paso a paso la configuración, scripts y parámetros de despliegue para que pueda reproducirse. Valoraré especialmente – Experiencia demostrable en entornos Azure, SQL Server sobre VM y proyectos que ya usen Data API Builder. – Conocimientos de MCP o agentes de IA orientados a datos. – Disponibilidad inmediata y tarifa clara. Entregables esperados 1. Diagrama de la arquitectura propuesta. 2. Plantillas ARM/Bicep o scripts CLI para el despliegue. 3. Configuración funcional de Data API Builder con endpoints publicados. 4. Políticas de Azure Front Door (o servicio equivalente) aplicadas y probadas. 5. Manual de instalación y guía de uso para los endpoints seguros. Si cuentas con casos similares, coméntame brevemente tu experiencia y cuándo podrías comenzar.