Configurar y administrar la autenticación de Microsoft Entra con Azure SQL

Para configurar el administrador de Microsoft Entra para el servidor lógico en Azure Portal, siga estos pasos:

1. En el panel Directorios y suscripciones de Azure Portal, elija el directorio que contiene el recurso de Azure SQL como Directorio actual.

2. Busque servidores SQL Server y, después, seleccione el servidor lógico del recurso de base de datos para abrir el panel SQL Server.

   

3. En el panel SQL Server del servidor lógico, seleccione Microsoft Entra ID en Configuración para abrir el panel Microsoft Entra ID.

4. En el panel Microsoft Entra ID, seleccione Establecer administrador para abrir el panel de Microsoft Entra ID.

   

5. El panel Microsoft Entra ID muestra todos los usuarios, grupos y aplicaciones del directorio actual y le permite buscar por nombre, alias o identificador. Busque su identidad deseada para el administrador de Microsoft Entra, selecciónela y haga clic en Seleccionar para cerrar el panel.

6. En la parte superior de la página Microsoft Entra ID del servidor lógico, seleccione Guardar.

   

   Elid. de objeto se muestra junto al nombre del administrador para los usuarios y grupos de Microsoft Entra. En el caso de las aplicaciones (entidades de servicio), se muestra el identificador de la aplicación.

El proceso de cambio del administrador puede tardar varios minutos. El nuevo administrador aparece en el campo Administrador de Microsoft Entra.

Para eliminar el administrador, en la parte superior de la página Microsoft Entra ID, seleccione Quitar administrador y, después, Guardar. Al eliminar el administrador de Microsoft Entra, se deshabilita la autenticación de Microsoft Entra para el servidor lógico.

Para ejecutar los cmdlets de PowerShell, necesitará tener Azure PowerShell instalado y en marcha. Consulte el artículo de instalación y configuración de Azure PowerShell para información detallada.

Los siguientes cmdlets de Azure PowerShell se pueden usar a fin de establecer y administrar un administrador de Microsoft Entra para Azure SQL Database y Azure Synapse Analytics:

Use el comando de PowerShell get-help para ver más información de cada uno de estos comandos. Por ejemplo, get-help Set-AzSqlServerActiveDirectoryAdministrator.

El script siguiente configura un grupo de administradores de Microsoft Entra denominado DBA_Group (id. de objeto de ejemplo aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) para el servidor de ejemplo example-server, en un grupo de recursos de ejemplo llamado Example-Resource-Group:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
    DisplayName = "DBA_Group"
}

Set-AzSqlServerActiveDirectoryAdministrator @parameters

El parámetro DisplayName acepta el nombre para mostrar de Microsoft Entra ID y el nombre principal de usuario, como en los ejemplos siguientes: DisplayName="Adrian King" y DisplayName="adrian@contoso.com". Si usa un grupo de Microsoft Entra, solo se admite el nombre para mostrar.

En el ejemplo siguiente se usa el parámetro opcional ObjectID:

$parameters = @{
  ResourceGroupName = "Example-Resource-Group"
  ServerName = "example-server"
  DisplayName = "DBA_Group"
  ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}
Set-AzSqlServerActiveDirectoryAdministrator @parameters

En el ejemplo siguiente se devuelve información sobre el administrador actual de Microsoft Entra para el servidor:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Get-AzSqlServerActiveDirectoryAdministrator @parameters | Format-List

En el ejemplo siguiente se quita un administrador de Microsoft Entra:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Remove-AzSqlServerActiveDirectoryAdministrator @parameters

Puede establecer un administrador de Microsoft Entra para Azure SQL Database y Azure Synapse Analytics con los siguientes comandos de la CLI de Azure:

Para ver más comandos de la CLI, consulte az sql server.

También puede usar las API REST de Administrador de Azure AD de servidor a fin de crear, actualizar, eliminar y obtener el administrador de Microsoft Entra para Azure SQL Database y Azure Synapse Analytics.

Para conceder a la instancia de SQL Managed Instance permisos de lectura de Microsoft Entra ID mediante Azure Portal, inicie sesión como administrador global o Administrador de roles con privilegios y siga estos pasos:

1. En Azure Portal, en la esquina superior derecha, seleccione su cuenta y, después, elija Cambiar directorios para confirmar qué directorio es actualmente su directorio actual. Cambie de directorio si fuera necesario.

   

2. En el panel Directorios y suscripciones de Azure Portal, elija el directorio que contiene la instancia administrada como Directorio actual.

3. Busque instancias SQL Managed Instance y, después, seleccione la instancia administrada para abrir el panel Instancia de SQL Managed Instance. Después, seleccione Microsoft Entra ID en Configuración para abrir el panel Microsoft Entra ID para la instancia.

   

4. En el panel Administrador de Microsoft Entra, seleccione Establecer administrador en la barra de navegación para abrir el panel de Microsoft Entra ID.

   

5. En el panel de Microsoft Entra ID, busque un usuario, active la casilla situada junto al usuario o grupo para que sea administrador y, a continuación, presione Seleccionar para cerrar el panel y volver a la página de administración de Microsoft Entra para la instancia administrada.

   En el panel de Microsoft Entra se muestran todos los miembros y grupos del directorio actual. No se pueden seleccionar los usuarios o grupos que aparecen atenuados porque no se admiten como administradores de Microsoft Entra. Seleccione la identidad que quiere asignar como administrador.

6. En la barra de navegación de la página de administración de Microsoft Entra para la instancia administrada, seleccione Guardar para confirmar el administrador de Microsoft Entra.

   

   Una vez completada la operación de cambio de administrador, el nuevo administrador aparece en el campo Administrador de Microsoft Entra.

   Elid. de objeto se muestra junto al nombre del administrador para los usuarios y grupos de Microsoft Entra. En el caso de las aplicaciones (entidades de servicio), se muestra el identificador de la aplicación.

Para ejecutar los cmdlets de PowerShell, necesitará tener Azure PowerShell instalado y en marcha. Consulte el artículo de instalación y configuración de Azure PowerShell para información detallada.

En la tabla siguiente se enumeran los cmdlets de PowerShell que puede usar a fin de definir y administrar el administrador de Microsoft Entra para instancias administradas:

El siguiente comando obtiene información sobre un administrador de Microsoft Entra para una instancia administrada denominada "Sample-Instance" con un grupo de recursos denominado "Example-Resource-Group".

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
}

Get-AzSqlInstanceActiveDirectoryAdministrator @parameters

Este comando de ejemplo establece el administrador de Microsoft Entra en un grupo denominado DBA (con el id. de objeto aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb de ejemplo) para la instancia de SQL Managed Instance denominada "Sample-Instance". Este servidor está asociado al grupo de recursos "Example-Resource-Group".

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    DisplayName = "DBAs"
    ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}

Set-AzSqlInstanceActiveDirectoryAdministrator @parameters

Este comando de ejemplo elimina al administrador de Microsoft Entra para la instancia de SQL Managed Instance, denominada "Sample-Instance", que está asociada a un grupo de recursos denominado "Example-Resource-Group".

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    Confirm = $true
    PassThru = $true
}

Remove-AzSqlInstanceActiveDirectoryAdministrator @parameters

También puede configurar y administrar un administrador de Microsoft Entra para la instancia de SQL Managed Instance mediante una llamada a los siguientes comandos de la CLI de Azure:

Para más información sobre los comandos de la CLI, consulta az sql mi.

Puede usar las API REST de Administradores de la instancia administrada a fin de crear, actualizar, eliminar y obtener el administrador de Microsoft Entra para instancias de SQL Managed Instance.

La página Microsoft Entra ID para SQL Managed Instance en Azure Portal muestra un banner práctico cuando la instancia no tiene asignados los permisos Lectores de directorio.

1. Seleccione el banner situado en la parte superior de la página Microsoft Entra ID y conceda permiso a la identidad administrada asignada por el usuario o el sistema que representa la instancia. Esta operación solo la puede realizar un Administrador global o un Administrador de roles con privilegios en su inquilino.

   

2. Cuando la operación se realiza correctamente, se muestra una notificación Correcto en la esquina superior derecha:

   

El siguiente script de PowerShell agrega una identidad al rol Lectores de directorio. Esto se puede usar para asignar permisos a una instancia administrada o a una identidad de servidor principal para el servidor lógico (o cualquier identidad de Microsoft Entra).

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Global Administrator** or **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

Para más detalles sobre la asignación de roles de Azure mediante la CLI de Azure, vea Asignación de roles de Azure mediante la CLI de Azure.

Asignación de roles de Azure mediante la API REST.