Connexions Microsoft Entra et utilisateurs avec des noms d’affichage non uniques (préversion)

S’applique à : Azure SQL Database Azure SQL Managed Instance

Cet article explique comment utiliser la syntaxe T-SQL Object_ID pour créer des connexions Microsoft Entra et des utilisateurs avec des noms d’affichage non uniques dans Azure SQL Database et Azure SQL Managed Instance.

Vue d’ensemble

Microsoft Entra ID prend en charge l’authentification pour les principaux de service. Cependant, l’utilisation d’un principal de service avec un nom d’affichage qui n’est pas unique dans Microsoft Entra ID entraîne des erreurs lors de la création de la connexion ou de l’utilisateur dans Azure SQL.

Par exemple, si l’application myapp n’est pas unique, vous pourriez rencontrer l’erreur suivante :

Msg 33131, Level 16, State 1, Line 4 
Principal 'myapp' has a duplicate display name. Make the display name unique in Azure Active Directory and execute this statement again. 

Lorsque vous essayez d’exécuter l’instruction T-SQL suivante :

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER 

Extension WITH OBJECT_ID

L’erreur nom d’affichage dupliqué se produit car Microsoft Entra ID autorise les noms d’affichage en double pour l’application Microsoft Entra (principal de service), tandis qu’Azure SQL nécessite des noms uniques pour créer des connexions et des utilisateurs Microsoft Entra. Pour atténuer ce problème, l’instruction du langage de définition de données (DDL) pour créer des connexions et les utilisateurs a été étendue pour inclure l’ID objet de la ressource Azure avec la clause WITH OBJECT_ID.

Syntaxe T-SQL create login/user pour les noms d’affichage non uniques

CREATE LOGIN [login_name] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = 'objectid'

CREATE USER [user_name] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = 'objectid'

Avec l’extension de prise en charge T-SQL DDL pour créer des connexions ou des utilisateurs avec l’ID objet, vous pouvez éviter l’erreur 33131 et spécifier également un alias pour la connexion ou l’utilisateur créé avec l’ID objet. Par exemple, les éléments suivants créent une connexion myapp4466e à l’aide de l’ID objet d’application 4466e2f8-0fea-4c61-a470-xxxxxxxxxxxx.

CREATE LOGIN [myapp4466e] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = '4466e2f8-0fea-4c61-a470-xxxxxxxxxxxx' 

• Pour exécuter la requête ci-dessus, l’ID objet spécifié doit exister dans le locataire Microsoft Entra où réside la ressource Azure SQL. Sinon, la commande CREATE échoue avec le message d’erreur : Msg 37545, Level 16, State 1, Line 1 '' is not a valid object id for '' or you do not have permission.
• La connexion ou le nom d’utilisateur doit contenir le nom du principal de service d’origine étendu par un suffixe défini par l’utilisateur lors de l’utilisation de l’instruction CREATE LOGIN ou CREATE USER. En guise de meilleure pratique, le suffixe peut inclure une partie initiale de son ID objet. Par exemple, myapp2ba6c pour l’ID objet 2ba6c0a3-cda4-4878-a5ca-xxxxxxxxxxxx. Toutefois, vous pouvez également définir un suffixe personnalisé. La formation du suffixe à partir de l’ID objet n’est pas nécessaire.

Cette convention d’affectation de noms est recommandée pour associer explicitement l’utilisateur de base de données ou la connexion à son objet dans Microsoft Entra ID.

Identifier l’utilisateur créé pour l’application

Pour les principaux de service non uniques, il est important de vérifier que l’alias Microsoft Entra est lié à la bonne application. Pour s’assurer que l’utilisateur a été créé pour le principal de service approprié (application) :

1. Obtenez l’ID d’application de l’application ou l’ID objet du groupe Microsoft Entra à partir de l’utilisateur créé dans SQL Database. Consultez les requêtes suivantes :

   • Pour obtenir l’ID d’application du principal de service à partir de l’utilisateur créé, exécutez la requête suivante :

     SELECT CAST(sid as uniqueidentifier) ApplicationID, create_date FROM sys.server_principals WHERE NAME = 'myapp2ba6c' 
     

     Exemple de sortie :

     

     L’ID d’application est converti à partir du numéro d’identification de sécurité (SID) pour la connexion ou le nom d’utilisateur spécifié, que nous pouvons confirmer en exécutant la requête ci-dessous et en comparant les derniers chiffres et créer des dates :

     SELECT SID, create_date FROM sys.server_principals WHERE NAME = 'myapp2ba6c' 
     

     Exemple de sortie :

     

   • Pour obtenir l’ID objet du groupe Microsoft Entra à partir de l’utilisateur créé, exécutez la requête suivante :

     SELECT CAST(sid as uniqueidentifier) ObjectID, createdate FROM sys.sysusers WHERE NAME = 'myappgroupd3451b' 
     

     Exemple de sortie :

     

     Pour consulter le SID du groupe Microsoft Entra à partir de l’utilisateur créé, exécutez la requête suivante :

     SELECT SID, createdate FROM sys.sysusers WHERE NAME = 'myappgroupd3451b' 
     

     Exemple de sortie :

     

   • Pour obtenir l’ID objet et l’ID d’application de l’application à l’aide de PowerShell, exécutez la commande suivante :

     Get-AzADApplication -DisplayName "myapp2ba6c"
     

2. Accédez au portail Azure et, dans votre application d’entreprise ou la ressource de groupe Microsoft Entra, consultez respectivement l’ID d’application ou l’ID objet. Vérifiez s’il correspond à celui obtenu à partir de la requête ci-dessus.

Trouver le bon ID objet

Pour plus d’informations sur l’ID objet d’un principal de service, consultez l’objet de principal de service. Vous pouvez localiser l’ID objet du principal de service répertorié en regard du nom de l’application dans le portail Azure sous Applications d’entreprise.

Contenu connexe

• Principaux de serveur Microsoft Entra
• CREATE LOGIN (Transact-SQL)
• CRÉER UN UTILISATEUR (Transact-SQL)