Microsoft Entra-Anmeldungen und Benutzer mit nicht eindeutigen Anzeigenamen (Vorschau)

Gilt für: Azure SQL-Datenbank Azure SQL Managed Instance

In diesem Artikel erfahren Sie, wie Sie die T-SQL-Object_ID-Syntax dazu nutzen, Microsoft Entra-Anmeldungen und Benutzer mit nicht eindeutigen Anzeigenamen in Azure SQL-Datenbank und Azure SQL Managed Instance zu erstellen.

Übersicht

Microsoft Entra ID unterstützt Authentifizierung für Dienstprinzipale. Die Verwendung eines Dienstprinzipals mit einem Anzeigenamen, der in Microsoft Entra ID nicht eindeutig ist, führt jedoch zu Fehlern beim Erstellen der Anmeldung oder des Benutzers in Azure SQL.

Wenn die Anwendung myapp beispielsweise nicht eindeutig ist, tritt möglicherweise der folgende Fehler auf:

Msg 33131, Level 16, State 1, Line 4 
Principal 'myapp' has a duplicate display name. Make the display name unique in Azure Active Directory and execute this statement again. 

Wenn Sie versuchen, die folgende T-SQL-Anweisung auszuführen:

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER 

Die Erweiterung WITH OBJECT_ID

Der Fehler „doppelter Anzeigename“ tritt auf, da Microsoft Entra ID doppelte Anzeigenamen für die Microsoft Entra-Anwendung (Dienstprinzipal) zulässt, während Azure SQL eindeutige Namen zum Erstellen von Microsoft Entra-Anmeldungen und -Benutzern erfordert. Um dieses Problem zu beheben, wurde die DDL-Anweisung (Data Definition Language) zum Erstellen von Anmeldeinformationen und Benutzern erweitert, um die Objekt-ID der Azure-Ressource in die WITH OBJECT_ID-Klausel einzuschließen.

T-SQL erstellt eine Anmeldung/Benutzersyntax für nicht eindeutige Anzeigenamen

CREATE LOGIN [login_name] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = 'objectid'

CREATE USER [user_name] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = 'objectid'

Mit der T-SQL DDL-Unterstützungserweiterung zum Erstellen von Anmeldungen oder Benutzern mit der Objekt-ID können Sie den Fehler 33131 vermeiden und auch einen Alias für die Anmeldung oder den Benutzer angeben, die mit der Objekt-ID erstellt wurden. Im Folgenden wird beispielsweise eine Anmeldung myapp4466e mit der Anwendungsobjekt-ID 4466e2f8-0fea-4c61-a470-xxxxxxxxxxxx erstellt.

CREATE LOGIN [myapp4466e] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = '4466e2f8-0fea-4c61-a470-xxxxxxxxxxxx' 

• Zum Ausführen der obigen Abfrage muss die angegebene Objekt-ID im Microsoft Entra-Mandanten vorhanden sein, in dem sich die Azure SQL-Ressource befindet. Andernfalls schlägt der Befehl CREATE mit der folgenden Fehlermeldung fehl: Msg 37545, Level 16, State 1, Line 1 '' is not a valid object id for '' or you do not have permission.
• Der Anmelde- oder Benutzername muss den ursprünglichen Dienstprinzipalnamen enthalten, der durch ein benutzerdefiniertes Suffix erweitert wird, wenn die Anweisung CREATE LOGIN oder CREATE USER verwendet wird. Als bewährte Methode kann das Suffix einen anfänglichen Teil seiner Objekt-ID enthalten. Zum Beispiel myapp2ba6c für die Objekt-ID 2ba6c0a3-cda4-4878-a5ca-xxxxxxxxxxxx. Sie können jedoch auch ein benutzerdefiniertes Suffix definieren. Das Erstellen des Suffixes aus der Objekt-ID ist nicht erforderlich.

Diese Benennungskonvention wird empfohlen, um den Datenbankbenutzer explizit zuzuordnen oder sich mit seinem Objekt in der Microsoft Entra-ID anzumelden.

Identifizieren des für die Anwendung erstellten Benutzers

Für nicht eindeutige Dienstprinzipale ist es wichtig zu überprüfen, ob der Microsoft Entra-Alias an die richtige Anwendung gebunden ist. So überprüfen Sie, ob der Benutzer für den richtigen Dienstprinzipal (Anwendung) erstellt wurde:

1. Rufen Sie die Anwendungs-ID der Anwendung oder die Objekt-ID der Microsoft Entra-Gruppe vom Benutzer ab, der in SQL-Datenbank erstellt wurde. Sehen Sie sich die folgenden Abfragen an:

   • Führen Sie die folgende Abfrage aus, um die Anwendungs-ID des Dienstprinzipals vom erstellten Benutzer abzurufen:

     SELECT CAST(sid as uniqueidentifier) ApplicationID, create_date FROM sys.server_principals WHERE NAME = 'myapp2ba6c' 
     

     Beispielausgabe:

     

     Die Anwendungs-ID wird aus der Sicherheitsidentifikationsnummer (SID) für den angegebenen Anmelde- oder Benutzernamen konvertiert, die wir bestätigen können, indem wir die folgende Abfrage ausführen und die letzten Ziffern vergleichen und Datumswerte erstellen:

     SELECT SID, create_date FROM sys.server_principals WHERE NAME = 'myapp2ba6c' 
     

     Beispielausgabe:

     

   • Führen Sie die folgende Abfrage aus, um die Objekt-ID der Microsoft Entra-Gruppe vom erstellten Benutzer abzurufen:

     SELECT CAST(sid as uniqueidentifier) ObjectID, createdate FROM sys.sysusers WHERE NAME = 'myappgroupd3451b' 
     

     Beispielausgabe:

     

     Führen Sie die folgende Abfrage aus, um die SID der Microsoft Entra-Gruppe des erstellten Benutzers zu überprüfen:

     SELECT SID, createdate FROM sys.sysusers WHERE NAME = 'myappgroupd3451b' 
     

     Beispielausgabe:

     

   • Führen Sie den folgenden Befehl aus, um die Objekt-ID und Anwendungs-ID der Anwendung mithilfe von PowerShell abzurufen:

     Get-AzADApplication -DisplayName "myapp2ba6c"
     

2. Wechseln Sie zum Azure-Portal, und überprüfen Sie in Ihrer Unternehmensanwendung oder Microsoft Entra-Gruppenressource die Anwendungs-ID bzw. die Objekt-ID. Überprüfen Sie, ob sie mit dem aus der obigen Abfrage abgerufenen ID übereinstimmt.

Suchen der richtigen Objekt-ID

Informationen zur Objekt-ID eines Dienstprinzipals finden Sie unter Dienstprinzipalobjekt. Sie können die Objekt-ID des Dienstprinzipals suchen, der neben dem Anwendungsnamen im Azure-Portal unter Unternehmensanwendungen aufgeführt ist.

Zugehöriger Inhalt

• Microsoft Entra-Dienstprinzipale
• CREATE LOGIN (Transact-SQL)
• CREATE USER (Transact-SQL)