Configurare e gestire l'autenticazione a Microsoft Entra con Azure SQL

Istanza gestita di SQL di Azure

L'impostazione dell'amministratore di Microsoft Entra abilita l'autenticazione di Microsoft Entra per Istanza gestita di SQL di Azure. È possibile impostare un amministratore di Microsoft Entra per l'istanza gestita di SQL usando ol portale di Azure, PowerShell, l'interfaccia della riga di comando di Azure o le API REST.

Assegnare le autorizzazioni per Microsoft Graph

Istanza gestita di SQL necessita di autorizzazioni per la lettura di Microsoft Entra ID per scenari quali l'autorizzazione degli utenti che si connettono tramite l'appartenenza a gruppi di sicurezza e la creazione di nuovi utenti. Per consentire il funzionamento dell'autenticazione di Microsoft Entra, è necessario assegnare l'identità dell'istanza gestita al ruolo Amministratori che leggono la directory. Questa operazione può essere eseguita tramite il portale di Azure o PowerShell.

Per alcune operazioni, Database SQL di Azure e Azure Synapse Analytics richiedono anche le autorizzazioni per eseguire query su Microsoft Graph, come illustrato in Autorizzazioni di Microsoft Graph. Ddatabase SQL di Azure e Azure Synapse Analytics supportano autorizzazioni specifiche Graph, per questi scenari, mentre Istanza gestita di SQL richiede il ruolo di Amministratore che legge la directory. Le autorizzazioni specifiche e la relativa assegnazione sono descritte in dettaglio in Abilitare le entità servizio per creare utenti di Microsoft Entra.

Ruolo con autorizzazioni di lettura nella directory

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Global Administrator** or **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

L'amministratore di Microsoft Entra può ora essere usato per creare entità di sicurezza del server (accessi) e entità di sicurezza del database (utenti) di Microsoft Entra. Per altre informazioni, vedere Integrazione di Microsoft Entra con Istanza gestita di SQL di Azure.

Creare entità di sicurezza di Microsoft Entra in SQL

Per connettersi a un database in database SQL o Azure Synapse Analytics con l'autenticazione di Microsoft Entra, è necessario configurare un'entità di sicurezza nel database per tale identità con almeno l'autorizzazione CONNECT.

Autorizzazioni per utenti di database

Quando viene creato un utente del database, riceve l'autorizzazione CONNECT per il database per impostazione predefinita. Un utente del database eredita le autorizzazioni anche in altre due circostanze:

• Se l'utente è membro di un gruppo Microsoft Entra a cui sono assegnate anche le autorizzazioni sul server.
• Se l'utente viene creato da un accesso, eredita le autorizzazioni assegnate dal server dell'account di accesso applicabili nel database.

La gestione delle autorizzazioni per le entità di sicurezza del server e del database funziona allo stesso modo, indipendentemente dal tipo di entità di sicurezza (Microsoft Entra ID, autenticazione SQL e così via). È consigliabile concedere autorizzazioni ai ruoli del database anziché concedere direttamente le autorizzazioni agli utenti. Gli utenti potranno quindi essere aggiunti ai ruoli con autorizzazioni appropriate. Ciò semplifica la gestione a lungo termine delle autorizzazioni e riduce la probabilità che un'identità mantenga l'accesso passato quando è appropriato.

Per altre informazioni, vedi:

• Autorizzazioni ed esempi del motore di database
• Blog: nozioni di base sulle autorizzazioni del motore di database
• Gestione di ruoli speciali di database e accessi in Ddatabase SQL di Azure

Utenti del database indipendente

Un utente del database indipendente è un tipo di utente SQL non connesso a un account di accesso nel database masterx. Per creare un utente di database indipendente di Microsoft Entra, connettersi al database con un'identità di Microsoft Entra con almeno l'autorizzazione ALTER ANY USER. Nell'esempio T-SQL seguente, viene creata un'entità di sicurezza di database Microsoft_Entra_principal_name da Microsoft Entra ID.

CREATE USER [<Microsoft_Entra_principal_name>] FROM EXTERNAL PROVIDER;

Per creare un utente di database indipendente per un gruppo di Microsoft Entra, immettere il nome visualizzato del gruppo:

CREATE USER [ICU Nurses] FROM EXTERNAL PROVIDER;

Per creare un utente di database indipendente per un'identità gestita o un'entità servizio, immettere il nome visualizzato dell'identità:

CREATE USER [appName] FROM EXTERNAL PROVIDER;

Per creare un utente di database indipendente per un utente di Microsoft Entra, immettere il nome dell'entità utente dell'identità:

CREATE USER [adrian@contoso.com] FROM EXTERNAL PROVIDER;

Utenti basati su accesso

Le entità di sicurezza del server Microsoft Entra (o accessi) sono supportate, il che significa che gli utenti del database indipendente non sono necessari. Le entità di sicurezza del database (utenti) possono essere create in base a un'entità di sicurezza del server, il che significa che gli utenti di Microsoft Entra possono ereditare le autorizzazioni assegnate a livello di server di un accesso.

CREATE USER [appName] FROM LOGIN [appName];

Per altre informazioni, vedere Panoramica di Istanza gestita di SQL. Per la sintassi per la creazione di entità server (account di accesso) di Microsoft Entra, vedere CREATE LOGIN.

Utenti esterni

Non è possibile creare direttamente un utente del database per un'identità gestita in un tenant di Microsoft Entra diverso da quello associato alla sottoscrizione di Azure. Tuttavia, gli utenti nelle altre directory possono essere importati nella directory associata come utenti esterni. Possono quindi essere usate per creare utenti di database indipendente che possano accedere al database. Gli utenti esterni possono anche ottenere l'accesso tramite l'appartenenza ai gruppi Microsoft Entra.

Esempi: per creare un utente di database indipendente che rappresenta un utente di dominio gestito o federato di Microsoft Entra:

CREATE USER [alice@fabrikam.com] FROM EXTERNAL PROVIDER;

Un account utente di dominio federato importato in un dominio gestito come utente esterno deve usare l'identità del dominio gestito.

Considerazioni sulla denominazione

I caratteri speciali, come i due punti : o la e commerciale &, quando inclusi come nomi utente nelle istruzioni T-SQL CREATE LOGIN e CREATE USER, non sono supportati.

Microsoft Entra ID e AZURE SQL divergono nella progettazione della gestione degli utenti in un modo chiave: Microsoft Entra ID consente di duplicare i nomi visualizzati all'interno di un tenant, mentre Azure SQL richiede che tutte le entità di sicurezza del server in un server o un'istanza e tutte le entità di sicurezza del database in un database abbiano un nome univoco. Poiché Azure SQL usa direttamente il nome visualizzato di Microsoft Entra dell'identità durante la creazione di entità di sicurezza, questo può causare errori durante la creazione di utenti. Per risolvere questo problema, Azure SQL ha rilasciato il miglioramento di WITH OBJECT_ID, attualmente in anteprima, che consente agli utenti di specificare l'ID oggetto Microsoft Entra dell'identità aggiunta al server o all'istanza.

Autorizzazioni per Microsoft Graph

Il comando CREATE USER ... FROM EXTERNAL PROVIDER richiede l'accesso Azure SQL a Microsoft Entra ID (il "provider esterno") per conto dell'utente connesso. In alcuni casi, si verificano circostanze che fanno sì che Microsoft Entra ID restituisca un'eccezione ad Azure SQL.

• È possibile che venga visualizzato l'errore SQL 33134, che contiene il messaggio di errore specifico di Microsoft Entra ID. L'errore indica in genere che l'accesso è stato negato, che l'utente deve registrarsi con il metodo di autenticazione a più fattori per accedere alla risorsa o che l'accesso tra le applicazioni proprietarie deve essere gestito tramite pre-autorizzazione. Nei primi due casi, il problema è in genere causato dai criteri di accesso condizionale impostati nel tenant Microsoft Entra dell'utente: impediscono all'utente di accedere al provider esterno. L'aggiornamento dei criteri di accesso condizionale per consentire l'accesso all'applicazione "00000003-0000-0000-c000-000000000000" (ID applicazione dell'API Microsoft Graph) dovrebbe risolvere il problema. Se l'errore indica che l'accesso tra le applicazioni proprietarie deve essere gestito tramite pre-autorizzazione, il problema è dovuto al fatto che l'utente ha eseguito l'accesso come entità servizio. Il comando dovrebbe avere esito positivo se eseguito da un utente.
• Se si riceve un messaggio di timeout della connessione scaduto, potrebbe essere necessario impostare il parametro TransparentNetworkIPResolution della stringa di connessione su false. Per altre informazioni, vedere Connection timeout issue with .NET Framework 4.6.1 - TransparentNetworkIPResolution (Problema di timeout della connessione con .NET Framework 4.6.1 - TransparentNetworkIPResolution).

Per altre informazioni sulla creazione di utenti di database indipendente basati su identità di Microsoft Entra, vedere CREATE USER.

Configurare l'autenticazione a più fattori

Per una maggiore sicurezza per la risorsa di Azure SQL, è consigliabile configurare l'autenticazione a più fattori (MFA), che richiede all'utente di usare un secondo metodo alternativo per l'autenticazione al database, ad esempio una chiamata telefonica o un'app di autenticazione.

Per usare l'autenticazione a più fattori con la risorsa di Azure SQL, abilitare prima l'autenticazione a più fattori e quindi usare un criterio di accesso condizionale per applicare l'autenticazione a più fattori per la risorsa di Azure SQL.

Connettersi con Microsoft Entra

Dopo aver configurato l'autenticazione di Microsoft Entra, è possibile usarla per connettersi alla risorsa SQL con strumenti Microsoft come SQL Server Management Studio e SQL Server Data Tools e configurare le applicazioni client per la connessione usando le identità di Microsoft Entra.

Risolvere i problemi di autenticazione di Microsoft Entra

Per indicazioni sulla risoluzione dei problemi, vedere Blog: risoluzione dei problemi relativi all'autenticazione di Microsoft Entra con il Database SQL di Azure e Azure Synapse.

Contenuto correlato

• Autorizzare l'accesso al database a database SQL, Istanza gestita di SQL e Azure Synapse Analytics
• Entità
• ruoli del database
• Regole del firewall IP del database SQL di Azure e Azure Synapse
• Creare utenti guest di Microsoft Entra e impostarli come amministratore di Microsoft Entra
• Esercitazione: creare utenti di Microsoft Entra usando applicazioni Microsoft Entra