Konfigurace a správa ověřování Microsoft Entra pomocí Azure SQL

Pokud chcete nastavit správce Microsoft Entra pro logický server na webu Azure Portal, postupujte takto:

1. V podokně Adresáře a předplatná webu Azure Portal zvolte adresář, který obsahuje prostředek Azure SQL jako aktuální adresář.

2. Vyhledejte sql servery a pak vyberte logický server pro váš databázový prostředek, aby se otevřelo podokno SQL Serveru .

   

3. V podokně SQL Serveru pro váš logický server vyberte v části Nastavení id Microsoft Entra a otevřete podokno Microsoft Entra ID.

4. V podokně Microsoft Entra ID vyberte Nastavit správce a otevřete podokno Microsoft Entra ID.

   

5. Podokno ID Microsoft Entra zobrazuje všechny uživatele, skupiny a aplikace v aktuálním adresáři a umožňuje vyhledávat podle názvu, aliasu nebo ID. Vyhledejte požadovanou identitu pro správce Microsoft Entra a vyberte ji a kliknutím na tlačítko Vybrat zavřete podokno.

6. V horní části stránky Microsoft Entra ID vašeho logického serveru vyberte Uložit.

   

   ID objektu se zobrazí vedle názvu správce pro uživatele a skupiny Microsoft Entra. Pro aplikace (instanční objekty) se zobrazí ID aplikace.

Proces změny správce může trvat několik minut. Nový správce se pak zobrazí v poli správce Microsoft Entra.

Pokud chcete správce odebrat, vyberte v horní části stránky ID Microsoft Entra možnost Odebrat správce a pak vyberte Uložit. Odebráním správce Microsoft Entra zakážete ověřování Microsoft Entra pro váš logický server.

Pokud chcete spouštět rutiny PowerShellu, musíte mít nainstalovaný a spuštěný Azure PowerShell. Podrobné informace najdete v tématu Instalace a konfigurace Azure PowerShellu.

Následující rutiny Azure PowerShellu můžete použít k nastavení a správě správce Microsoft Entra pro Azure SQL Database a Azure Synapse Analytics:

Další informace o každém z těchto příkazů zobrazíte pomocí příkazu PowerShellu get-help. Například get-help Set-AzSqlServerActiveDirectoryAdministrator.

Následující skript nastaví skupinu správce Microsoft Entra s názvem DBA_Group (ID ukázkového objektuaaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) ukázkového serveru v ukázkové skupině prostředků s názvem Example-Resource-Group:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
    DisplayName = "DBA_Group"
}

Set-AzSqlServerActiveDirectoryAdministrator @parameters

Parametr DisplayName přijímá buď zobrazovaný název ID Microsoft Entra, nebo hlavní název uživatele, například následující příklady: DisplayName="Adrian King" a DisplayName="adrian@contoso.com". Pokud používáte skupinu Microsoft Entra, podporuje se jenom zobrazovaný název.

Následující příklad používá volitelný parametr ObjectID :

$parameters = @{
  ResourceGroupName = "Example-Resource-Group"
  ServerName = "example-server"
  DisplayName = "DBA_Group"
  ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}
Set-AzSqlServerActiveDirectoryAdministrator @parameters

Následující příklad vrátí informace o aktuálním správci Microsoft Entra pro server:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Get-AzSqlServerActiveDirectoryAdministrator @parameters | Format-List

Následující příklad odebere správce Microsoft Entra:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Remove-AzSqlServerActiveDirectoryAdministrator @parameters

Správce Microsoft Entra pro Azure SQL Database a Azure Synapse Analytics můžete nastavit pomocí následujících příkazů Azure CLI:

Další příkazy rozhraní příkazového řádku najdete v tématu az sql server.

K vytváření, aktualizaci, odstraňování a získání správce Microsoft Entra pro Azure SQL Database a Azure Synapse Analytics můžete použít také rozhraní REST API správce Azure AD.

Pokud chcete spravované instanci SQL udělit oprávnění ke čtení pro ID Microsoft Entra pomocí webu Azure Portal, přihlaste se jako globální správce nebo správce privilegovaných rolí a postupujte takto:

1. Na webu Azure Portal v pravém horním rohu vyberte svůj účet a potom zvolte Přepnout adresáře a potvrďte, který adresář je vaším aktuálním adresářem. V případě potřeby přepněte adresáře.

   

2. V podokně Adresáře a předplatná webu Azure Portal zvolte adresář, který obsahuje vaši spravovanou instanci jako aktuální adresář.

3. Vyhledejte spravované instance SQL a výběrem spravované instance otevřete podokno spravované instance SQL. Potom v části Nastavení vyberte Microsoft Entra ID a otevřete tak podokno Microsoft Entra ID vaší instance.

   

4. V podokně pro správu Microsoft Entra vyberte Nastavit správce z navigačního panelu a otevřete podokno Microsoft Entra ID .

   

5. V podokně Microsoft Entra ID vyhledejte uživatele, zaškrtněte políčko vedle uživatele nebo skupiny, který má být správcem, a stisknutím klávesy Vybrat zavřete podokno a vraťte se na stránku správce Microsoft Entra pro vaši spravovanou instanci.

   Podokno ID Microsoft Entra zobrazuje všechny členy a skupiny v aktuálním adresáři. Uživatele nebo skupiny se šedě nedají vybrat, protože nejsou podporované jako správci Microsoft Entra. Vyberte identitu, kterou chcete přiřadit jako správce.

6. Na navigačním panelu stránky správce Microsoft Entra pro vaši spravovanou instanci vyberte Uložit a potvrďte správce Microsoft Entra.

   

   Po dokončení operace změny správce se nový správce zobrazí v poli Správce Microsoft Entra.

   ID objektu se zobrazí vedle názvu správce pro uživatele a skupiny Microsoft Entra. Pro aplikace (instanční objekty) se zobrazí ID aplikace.

Pokud chcete spouštět rutiny PowerShellu, musíte mít nainstalovaný a spuštěný Azure PowerShell. Podrobné informace najdete v tématu Instalace a konfigurace Azure PowerShellu.

Následující tabulka uvádí rutiny PowerShellu, které můžete použít k definování a správě správce Microsoft Entra pro spravované instance:

Tento ukázkový příkaz získá informace o správci Microsoft Entra pro spravovanou instanci s názvem Sample-Instance přidruženou ke skupině prostředků s názvem Example-Resource-Group.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
}

Get-AzSqlInstanceActiveDirectoryAdministrator @parameters

Tento ukázkový příkaz nastaví správce Microsoft Entra na skupinu s názvem DBA (s id ukázkového objektu aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) pro spravovanou instanci SQL s názvem Sample-Instance. Tento server je přidružený ke skupině prostředků Example-Resource-Group.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    DisplayName = "DBAs"
    ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}

Set-AzSqlInstanceActiveDirectoryAdministrator @parameters

Tento ukázkový příkaz odebere správce Microsoft Entra pro spravovanou instanci SQL s názvem Sample-Instance přidruženou ke skupině prostředků Example-Resource-Group.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    Confirm = $true
    PassThru = $true
}

Remove-AzSqlInstanceActiveDirectoryAdministrator @parameters

Správce Microsoft Entra pro spravovanou instanci SQL můžete nastavit a spravovat voláním následujících příkazů Azure CLI:

Další příkazy rozhraní příkazového řádku najdete v tématu az sql mi.

Rozhraní REST API pro správce spravovaných instancí můžete použít k vytvoření, aktualizaci, odstranění a získání správce Microsoft Entra pro spravované instance SQL.

Na stránce Microsoft Entra ID pro službu SQL Managed Instance na webu Azure Portal se zobrazí praktický banner, pokud instance nemá přiřazená oprávnění čtenáře adresáře.

1. Vyberte banner na stránce Microsoft Entra ID a udělte oprávnění spravované identitě přiřazené systémem nebo přiřazené uživatelem, která představuje vaši instanci. Tuto operaci může provést pouze globální správce nebo správce privilegovaných rolí ve vašem tenantovi.

   

2. Po úspěšném provedení operace se v pravém horním rohu zobrazí oznámení o úspěchu :

   

Následující skript PowerShellu přidá identitu do role Čtenáře adresáře. Dá se použít k přiřazení oprávnění ke spravované instanci nebo identitě primárního serveru pro logický server (nebo k jakékoli identitě Microsoft Entra).

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Global Administrator** or **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

Podrobnosti o přiřazování rolí Azure pomocí Azure CLI najdete tady : Přiřaďte role Azure pomocí Azure CLI.

Přiřaďte role Azure pomocí rozhraní REST API.