Azure SQL で Microsoft Entra 専用認証を有効にしたサーバーを作成する

1. Azure portal の [SQL デプロイ オプションの選択] ページを参照します。

2. まだ Azure portal にサインインしていない場合は、求められたらサインインします。

3. [SQL データベース] で、 [リソースの種類] を [単一データベース] に設定し、 [作成] を選択します。

4. [SQL データベースの作成] フォームの [基本] タブにある [プロジェクトの詳細] で、目的の Azure [サブスクリプション] を選択します。

5. [リソース グループ] の [新規作成] を選択し、リソース グループの名前を入力し、 [OK] を選択します。

6. [データベース名] に、データベースの名前を入力します。

7. [サーバー] で、 [新規作成] を選択し、新しいサーバー フォームに次の値を入力します。

   • [サーバー名] : 一意のサーバー名を入力します。 サーバー名は、サブスクリプション内で一意ではなく、Azure のすべてのサーバーに対してグローバルに一意である必要があります。 値を入力すると Azure portal で使用可能かどうかが示されます。
   • [場所] : ドロップダウン リストから場所を選択します
   • 認証方法: [Microsoft Entra 専用認証を使用する] を選択します。
   • [管理者の設定] を選択して [Microsoft Entra ID] ウィンドウを開き、論理サーバー の Microsoft Entra 管理者として Microsoft Entra プリンシパルを選択します。 完了したら、 [選択] ボタンを使用して管理者を設定します。

   

8. ページの下部にある [Next: Networking](次へ: ネットワーク) を選択します。

9. [ネットワーク] タブの [接続方法] で、 [パブリック エンドポイント] を選択します。

10. [ファイアウォール規則] で、 [現在のクライアント IP アドレスを追加する] を [はい] に設定します。 [Azure サービスおよびリソースにこのサーバー グループへのアクセスを許可する] を [いいえ] に設定したままにします。

11. [接続ポリシー] と [最小 TLS バージョン] は規定値のままにします。

12. ページの下部で [次へ: セキュリティ] を選択します。 ご自分の環境に、 [Microsoft Defender for SQL] 、 [Ledger] 、 [ID] 、 [Transparent Data Encryption] の設定を構成します。 これらの設定は省略することもできます。

    Note

    ユーザー割り当てマネージド ID をサーバー ID として使用することは、Microsoft Entra 専用認証ではサポートされていません。 ID としてインスタンスに接続するには、その ID を Azure 仮想マシンに割り当てて、その VM で SSMS を実行します。 運用環境では、Microsoft Entra 管理者のマネージド ID を使用することをお勧めします。これは、Azure リソースに対するパスワードレス認証によるセキュリティ対策が強化され、簡素化されているためです。

13. ページ下部にある [確認と作成] を選択します。

14. [確認と作成] ページで、確認後、 [作成] を選択します。

Azure CLI コマンド az sql server create は、新しい論理サーバーをプロビジョニングするために使用されます。 次のコマンドは、Microsoft Entra 専用認証が有効になっている新しいサーバーをプロビジョニングします。

サーバー SQL 管理者が自動的に作成され、パスワードはランダムなパスワードに設定されます。 このサーバーを作成すると SQL 認証接続が無効になるため、SQL 管理者ログインは使用されません。

サーバー Microsoft Entra 管理者は、<MSEntraAccount> に設定したアカウントになり、サーバーの管理に使用できます。

この例では次の値を置き換えます。

• <MSEntraAccount>: Microsoft Entra ユーザーまたはグループを指定できます。 たとえば、DummyLogin のように指定します。
• <MSEntraAccountSID>: ユーザー アカウントの Microsoft Entra オブジェクト ID
• <ResourceGroupName>: 論理サーバーのリソース グループの名前
• <ServerName>: 一意の論理サーバー名を使用します

az sql server create \
    --enable-ad-only-auth \
    --external-admin-principal-type User \
    --external-admin-name <MSEntraAccount> \
    --external-admin-sid <MSEntraAccountSID> \
    -g <ResourceGroupName> \
    -n <ServerName>

詳細については、「az sql server create」を参照してください。

作成後にサーバーの状態を確認するには、次のコマンドを参照してください。

az sql server show --name <ServerName> --resource-group <ResourceGroupName> --expand-ad-admin

PowerShell コマンド New-AzSqlServer は、新しい論理サーバーをプロビジョニングするために使用されます。 次のコマンドは、Microsoft Entra 専用認証が有効になっている新しいサーバーをプロビジョニングします。

サーバー SQL 管理者が自動的に作成され、パスワードはランダムなパスワードに設定されます。 このサーバーを作成すると SQL 認証接続が無効になるため、SQL 管理者ログインは使用されません。

サーバー Microsoft Entra 管理者は、<MSEntraAccount> に設定したアカウントになり、サーバーの管理に使用できます。

この例では次の値を置き換えます。

• <ResourceGroupName>: 論理サーバーのリソース グループの名前
• <Location>: サーバーの場所 (West US、Central US など)
• <ServerName>: 一意の論理サーバー名を使用します
• <MSEntraAccount>: Microsoft Entra ユーザーまたはグループを指定できます。 たとえば、DummyLogin のように指定します。

$server = @{
    ResourceGroupName = "<ResourceGroupName>"
    Location = "<Location>"
    ServerName = "<ServerName>"
    ServerVersion = "12.0"
    ExternalAdminName = "<MSEntraAccount>"
    EnableActiveDirectoryOnlyAuthentication = $true
}

New-AzSqlServer @server

論理サーバーの作成時に、(サーバー管理者名が自動作成されるようにするのではなく) サーバー管理者名を指定する例を次に示します。 前述したように、Microsoft Entra 専用認証が有効になっているときには、このログインを使用できません。

$cred = Get-Credential
New-AzSqlServer -ResourceGroupName "<ResourceGroupName>" -Location "<Location>" -ServerName "<ServerName>" -ServerVersion "12.0" -ExternalAdminName "<MSEntraAccount>" -EnableActiveDirectoryOnlyAuthentication -SqlAdministratorCredentials $cred

詳細については、「New-AzSqlServer」を参照してください。

Servers - Create Or Update の REST API を使用して、プロビジョニング中に Microsoft Entra 専用認証が有効になっている論理サーバーを作成できます。

次のスクリプトでは、論理サーバーをプロビジョニングし、Microsoft Entra 管理者を <MSEntraAccount> として設定して、Microsoft Entra 専用認証を有効にします。 サーバー SQL 管理者も自動的に作成され、パスワードはランダムなパスワードに設定されます。 このプロビジョニングでは SQL 認証接続が無効になるため、SQL 管理者ログインは使用されません。

Microsoft Entra 管理者 <MSEntraAccount> は、プロビジョニングが完了したときにサーバーを管理するために使用できます。

この例では次の値を置き換えます。

• <tenantId>: Azure portal に移動し、Microsoft Entra ID リソースに移動すると確認できます。 [概要] ペインに [テナント ID] が表示されます
• <subscriptionId>: サブスクリプション ID は Azure portal で確認できます
• <ServerName>: 一意の論理サーバー名を使用します
• <ResourceGroupName>: 論理サーバーのリソース グループの名前
• <MicrosoftEntraAccount>: Microsoft Entra ユーザー、グループ、またはアプリケーションを指定できます。 たとえば、DummyLogin のように指定します。
• <Location>: サーバーの場所 (westus2、centralus など)
• <objectId>: Azure portal から Microsoft Entra ID リソースにアクセスして確認できます。 [ユーザー] ウィンドウで、Microsoft Entra ユーザーを検索し、オブジェクト ID を見つけます。 Microsoft Entra 管理者としてアプリケーション (サービス プリンシパル) を使用している場合は、この値をアプリケーション ID に置き換えます。 principalType も更新する必要があります。
• <principalType>: ユーザー、グループ、アプリケーションの 3 つのオプションのいずれか。 管理者として使用される Microsoft Entra オブジェクトの型。マネージド ID とサービス プリンシパルはアプリケーションです。

Import-Module Azure
Import-Module MSAL.PS

$tenantId = '<tenantId>'
$clientId = '1950a258-227b-4e31-a9cf-717495945fc2' # Static Microsoft client ID used for getting a token
$subscriptionId = '<subscriptionId>'
$uri = "urn:ietf:wg:oauth:2.0:oob" 
$authUrl = "https://login.windows.net/$tenantId"
$serverName = "<ServerName>"
$resourceGroupName = "<ResourceGroupName>"

Login-AzAccount -tenantId $tenantId

# login as a user with SQL Server Contributor role or higher 

# Get a token

$result = Get-MsalToken -RedirectUri $uri -ClientId $clientId -TenantId $tenantId -Scopes "https://management.core.windows.net/.default"

#Authetication header
$authHeader = @{
'Content-Type'='application\json; '
'Authorization'=$result.CreateAuthorizationHeader()
}

# Enable Microsoft Entra-only auth 
# No server admin is specified, Microsoft Entra admin is configured, and Microsoft Entra-only authentication is set to true
# Server admin (login and password) is randomly generated by the system

# Authentication body
# The sid is the Microsoft Entra Object ID for the user or group, and Application ID for applications. Update the principalType as well

$body = '{ 
"location": "<Location>",
"properties": { "administrators":{ "login":"<MSEntraAccount>", "sid":"<objectId>", "tenantId":"<tenantId>", "principalType":"User", "azureADOnlyAuthentication":true }
  }
}'

# Provision the server

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/?api-version=2020-11-01-preview -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

サーバーの状態を確認するには、次のスクリプトを使用します。

$uri = 'https://management.azure.com/subscriptions/'+$subscriptionId+'/resourceGroups/'+$resourceGroupName+'/providers/Microsoft.Sql/servers/'+$serverName+'?api-version=2020-11-01-preview&$expand=administrators/activedirectory'

$responce=Invoke-WebRequest -Uri $uri -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

$responce.statuscode

$responce.content

ARM テンプレートの詳細については、「Azure SQL データベース用 Azure Resource Manager テンプレート」を参照してください。

ARM テンプレートを使用して、サーバーに Microsoft Entra 管理者が設定されていて、Microsoft Entra 専用認証が有効となっている論理サーバーをプロビジョニングするには、「Microsoft Entra 専用認証を使用した Azure SQL 論理サーバー」クイックスタート テンプレートを参照してください。

次のテンプレートを使用することもできます。 Azure portal のカスタム デプロイを使用し、エディターで独自のテンプレートを作成します。 次に、例に貼り付けたら、構成を保存します。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "server": {
            "type": "string",
            "defaultValue": "[uniqueString('sql', resourceGroup().id)]",
            "metadata": {
                "description": "The name of the logical server."
            }
        },
        "location": {
            "type": "string",
            "defaultValue": "[resourceGroup().location]",
            "metadata": {
                "description": "Location for all resources."
            }
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL server."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin if the admin is a user or group. For Applications, use the Application ID."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers",
            "apiVersion": "2020-11-01-preview",
            "name": "[parameters('server')]",
            "location": "[parameters('location')]",
            "properties": {
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}

1. Azure portal の [SQL デプロイ オプションの選択] ページを参照します。

2. まだ Azure portal にサインインしていない場合は、求められたらサインインします。

3. [SQL マネージド インスタンス] で、 [リソースの種類] を [単一インスタンス] に設定し、 [作成] を選択します。

4. [基本] タブの [プロジェクトの詳細] と [マネージド ドインスタンスの詳細] に必須情報を記入します。 これは、SQL Managed Instance をプロビジョニングするために必要な最小限の情報セットです。

   

   構成オプションの詳細については、クイック スタート: Azure SQL Managed Instance の作成に関するページを参照してください。

5. [認証] の [認証方法] にある [Microsoft Entra ID 専用認証を使用] を選択します。

6. [管理者の設定] を選択して [Microsoft Entra ID] ウィンドウを開き、マネージド インスタンスの Microsoft Entra 管理者として、Microsoft Entra プリンシパルを選択します。 完了したら、 [選択] ボタンを使用して管理者を設定します。

   

7. 残りの設定は既定値のまま使用できます。 [ネットワーク] や [セキュリティ] などのタブや設定の詳細については、クイック スタート: Azure SQL Managed Instance の作成に関する記事を参照してください。

8. 設定の構成が完了したら、[確認と作成] を選択して続行します。 [作成] を選択して、マネージド インスタンスのプロビジョニングを開始します。

Azure CLI コマンド az sql mi create は、新しい Azure SQL Managed Instance をプロビジョニングするために使用されます。 次のコマンドは、Microsoft Entra 専用認証が有効になっている新しいマネージド インスタンスをプロビジョニングします。

マネージド インスタンス SQL 管理者が自動的に作成され、パスワードはランダムなパスワードに設定されます。 このプロビジョニングでは SQL 認証が無効になるため、SQL 管理者は使用されません。

AMicrosoft Entra は、<MSEntraAccount> に設定したアカウントになり、プロビジョニングの完了時にインスタンスを管理するために使用できます。

この例では次の値を置き換えます。

• <MSEntraAccount>: Microsoft Entra ユーザーまたはグループを指定できます。 たとえば、DummyLogin のように指定します。
• <MSEntraAccountSID>: ユーザーの Microsoft Entra オブジェクトの ID。
• <managedinstancename>: 作成するマネージド インスタンスの名前を指定します
• <ResourceGroupName>: マネージド インスタンスのリソース グループの名前。 リソース グループには、作成された仮想ネットワークとサブネットも含める必要があります
• subnet パラメーターは、<Subscription ID>、<ResourceGroupName>、<VNetName>、および <SubnetName> を使用して更新する必要があります。 サブスクリプション ID は Azure portal で確認できます

az sql mi create \
    --enable-ad-only-auth \
    --external-admin-principal-type User \
    --external-admin-name <MSEntraAccount> \
    --external-admin-sid <MSEntraAccountSID> \
    -g <ResourceGroupName> \
    -n <managedinstancename> \
    --subnet /subscriptions/<Subscription ID>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>

詳細については、「az sql mi create」を参照してください。

PowerShell コマンド New-AzSqlInstance は、新しい Azure SQL Managed Instance をプロビジョニングするために使用されます。 次のコマンドは、Microsoft Entra 専用認証が有効になっている新しいマネージド インスタンスをプロビジョニングします。

マネージド インスタンス SQL 管理者が自動的に作成され、パスワードはランダムなパスワードに設定されます。 このプロビジョニングでは SQL 認証接続が無効になるため、SQL 管理者ログインは使用されません。

AMicrosoft Entra は、<MSEntraAccount> に設定したアカウントになり、プロビジョニングの完了時にインスタンスを管理するために使用できます。

この例では次の値を置き換えます。

• <managedinstancename>: 作成するマネージド インスタンスの名前を指定します
• <ResourceGroupName>: マネージド インスタンスのリソース グループの名前。 リソース グループには、作成された仮想ネットワークとサブネットも含める必要があります
• <MSEntraAccount>: Microsoft Entra ユーザーまたはグループを指定できます。 たとえば、DummyLogin のように指定します。
• <Location>: サーバーの場所 (West US、Central US など)
• SubnetId パラメーターは、<Subscription ID>、<ResourceGroupName>、<VNetName>、および <SubnetName> を使用して更新する必要があります。 サブスクリプション ID は Azure portal で確認できます

$instanceName = @{
    Name = "<managedinstancename>"
    ResourceGroupName = "<ResourceGroupName>"
    ExternalAdminName = "<MSEntraAccount>"
    EnableActiveDirectoryOnlyAuthentication = $true
    Location = "<Location>"
    SubnetId = "/subscriptions/<SubscriptionID>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>"
    LicenseType = "LicenseIncluded"
    StorageSizeInGB = 128
    VCore = 4
    Edition = "GeneralPurpose"
    ComputeGeneration = "Gen5"
}

New-AzSqlInstance $instanceName

詳細については、「New-AzSqlInstance」をご覧ください。

SQL Managed Instances - Create Or Updateの REST API を使用して、プロビジョニング中に Microsoft Entra 専用認証が有効になっているマネージド インスタンスを作成できます。

次のスクリプトでは、マネージド インスタンスをプロビジョニングし、Microsoft Entra 管理者を <MSEntraAccount> として設定して、Microsoft Entra 専用認証を有効にします。 インスタンス SQL 管理者も自動的に作成され、パスワードはランダムなパスワードに設定されます。 このプロビジョニングでは SQL 認証接続が無効になるため、SQL 管理者ログインは使用されません。

プロビジョニングが完了したら、Microsoft Entra 管理者 <MSEntraAccount> を使用してインスタンスを管理できます。

この例では次の値を置き換えます。

• <tenantId>: Azure portal に移動し、Microsoft Entra ID リソースに移動すると確認できます。 [概要] ペインに [テナント ID] が表示されます
• <subscriptionId>: サブスクリプション ID は Azure portal で確認できます
• <instanceName>: 一意のマネージド インスタンス名を使用します
• <ResourceGroupName>: 論理サーバーのリソース グループの名前
• <MSEntraAccount>: Microsoft Entra ユーザーまたはグループを指定できます。 たとえば、DummyLogin のように指定します。
• <Location>: サーバーの場所 (westus2、centralus など)
• <objectId>: Azure portal から Microsoft Entra ID リソースにアクセスして確認できます。 [ユーザー] ウィンドウで、Microsoft Entra ユーザーを検索し、オブジェクト ID を見つけます。 Microsoft Entra 管理者としてアプリケーション (サービス プリンシパル) を使用している場合は、この値をアプリケーション ID に置き換えます。 principalType も更新する必要があります。
• subnetId パラメーターは、<ResourceGroupName>、Subscription ID、<VNetName>、および <SubnetName> を使用して更新する必要があります。

Import-Module Azure
Import-Module MSAL.PS

$tenantId = '<tenantId>'
$clientId = '1950a258-227b-4e31-a9cf-717495945fc2' # Static Microsoft client ID used for getting a token
$subscriptionId = '<subscriptionId>'
$uri = "urn:ietf:wg:oauth:2.0:oob" 
$instanceName = "<instanceName>"
$resourceGroupName = "<ResourceGroupName>"
$scopes ="https://management.core.windows.net/.default"

Login-AzAccount -tenantId $tenantId

# Login as an Microsoft Entra user with permission to provision a managed instance

$result = Get-MsalToken -RedirectUri $uri -ClientId $clientId -TenantId $tenantId -Scopes $scopes

$authHeader = @{
'Content-Type'='application\json; '
'Authorization'=$result.CreateAuthorizationHeader()
}

$body = '{
"name": "<instanceName>", "type": "Microsoft.Sql/managedInstances", "identity": { "type": "SystemAssigned"},"location": "<Location>", "sku": {"name": "GP_Gen5", "tier": "GeneralPurpose", "family":"Gen5","capacity": 8},
"properties": {"administrators":{ "login":"<MSEntraAccount>", "sid":"<objectId>", "tenantId":"<tenantId>", "principalType":"User", "azureADOnlyAuthentication":true },
"subnetId": "/subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>",
"licenseType": "LicenseIncluded", "vCores": 8, "storageSizeInGB": 2048, "collation": "SQL_Latin1_General_CP1_CI_AS", "proxyOverride": "Proxy", "timezoneId": "UTC", "privateEndpointConnections": [], "storageAccountType": "GRS", "zoneRedundant": false 
  }
}'

# To provision the instance, execute the `PUT` command

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$instanceName/?api-version=2020-11-01-preview -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

結果を確認するには、次のように GET コマンドを実行します。

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$instanceName/?api-version=2020-11-01-preview -Method GET -Headers $authHeader  | Format-List

インスタンスに対して Microsoft Entra 管理者セットを設定されていて、Microsoft Entra 専用認証が有効な新しいマネージド インスタンス、仮想ネットワーク、およびサブネットをプロビジョニングするには、次のテンプレートを使用します。

Azure portal のカスタム デプロイを使用し、エディターで独自のテンプレートを作成します。 次に、例に貼り付けたら、構成を保存します。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "managedInstanceName": {
            "type": "String",
            "metadata": {
                "description": "Enter managed instance name."
            }
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL managed instance."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin. The Object ID of the Azure AD admin if the admin is a user or group. For Applications, use the Application ID."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        },
        "location": {
            "defaultValue": "[resourceGroup().location]",
            "type": "String",
            "metadata": {
                "description": "Enter location. If you leave this field blank resource group location would be used."
            }
        },
        "virtualNetworkName": {
            "type": "String",
            "defaultValue": "SQLMI-VNET",
            "metadata": {
                "description": "Enter virtual network name. If you leave this field blank name will be created by the template."
            }
        },
        "addressPrefix": {
            "defaultValue": "10.0.0.0/16",
            "type": "String",
            "metadata": {
                "description": "Enter virtual network address prefix."
            }
        },
        "subnetName": {
            "type": "String",
            "defaultValue": "ManagedInstances",
            "metadata": {
                "description": "Enter subnet name. If you leave this field blank name will be created by the template."
            }
        },
        "subnetPrefix": {
            "defaultValue": "10.0.0.0/24",
            "type": "String",
            "metadata": {
                "description": "Enter subnet address prefix."
            }
        },
        "skuName": {
            "defaultValue": "GP_Gen5",
            "allowedValues": [
                "GP_Gen5",
                "BC_Gen5"
            ],
            "type": "String",
            "metadata": {
                "description": "Enter sku name."
            }
        },
        "vCores": {
            "defaultValue": 16,
            "allowedValues": [
                8,
                16,
                24,
                32,
                40,
                64,
                80
            ],
            "type": "Int",
            "metadata": {
                "description": "Enter number of vCores."
            }
        },
        "storageSizeInGB": {
            "defaultValue": 256,
            "minValue": 32,
            "maxValue": 8192,
            "type": "Int",
            "metadata": {
                "description": "Enter storage size."
            }
        },
        "licenseType": {
            "defaultValue": "LicenseIncluded",
            "allowedValues": [
                "BasePrice",
                "LicenseIncluded"
            ],
            "type": "String",
            "metadata": {
                "description": "Enter license type."
            }
        }
    },
    "variables": {
        "networkSecurityGroupName": "[concat('SQLMI-', parameters('managedInstanceName'), '-NSG')]",
        "routeTableName": "[concat('SQLMI-', parameters('managedInstanceName'), '-Route-Table')]"
    },
    "resources": [
        {
            "type": "Microsoft.Network/networkSecurityGroups",
            "apiVersion": "2020-06-01",
            "name": "[variables('networkSecurityGroupName')]",
            "location": "[parameters('location')]",
            "properties": {
                "securityRules": [
                    {
                        "name": "allow_tds_inbound",
                        "properties": {
                            "description": "Allow access to data",
                            "protocol": "Tcp",
                            "sourcePortRange": "*",
                            "destinationPortRange": "1433",
                            "sourceAddressPrefix": "VirtualNetwork",
                            "destinationAddressPrefix": "*",
                            "access": "Allow",
                            "priority": 1000,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "allow_redirect_inbound",
                        "properties": {
                            "description": "Allow inbound redirect traffic to SQL Managed Instance inside the virtual network",
                            "protocol": "Tcp",
                            "sourcePortRange": "*",
                            "destinationPortRange": "11000-11999",
                            "sourceAddressPrefix": "VirtualNetwork",
                            "destinationAddressPrefix": "*",
                            "access": "Allow",
                            "priority": 1100,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "deny_all_inbound",
                        "properties": {
                            "description": "Deny all other inbound traffic",
                            "protocol": "*",
                            "sourcePortRange": "*",
                            "destinationPortRange": "*",
                            "sourceAddressPrefix": "*",
                            "destinationAddressPrefix": "*",
                            "access": "Deny",
                            "priority": 4096,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "deny_all_outbound",
                        "properties": {
                            "description": "Deny all other outbound traffic",
                            "protocol": "*",
                            "sourcePortRange": "*",
                            "destinationPortRange": "*",
                            "sourceAddressPrefix": "*",
                            "destinationAddressPrefix": "*",
                            "access": "Deny",
                            "priority": 4096,
                            "direction": "Outbound"
                        }
                    }
                ]
            }
        },
        {
            "type": "Microsoft.Network/routeTables",
            "apiVersion": "2020-06-01",
            "name": "[variables('routeTableName')]",
            "location": "[parameters('location')]",
            "properties": {
                "disableBgpRoutePropagation": false
            }
        },
        {
            "type": "Microsoft.Network/virtualNetworks",
            "apiVersion": "2020-06-01",
            "name": "[parameters('virtualNetworkName')]",
            "location": "[parameters('location')]",
            "dependsOn": [
                "[variables('routeTableName')]",
                "[variables('networkSecurityGroupName')]"
            ],
            "properties": {
                "addressSpace": {
                    "addressPrefixes": [
                        "[parameters('addressPrefix')]"
                    ]
                },
                "subnets": [
                    {
                        "name": "[parameters('subnetName')]",
                        "properties": {
                            "addressPrefix": "[parameters('subnetPrefix')]",
                            "routeTable": {
                                "id": "[resourceId('Microsoft.Network/routeTables', variables('routeTableName'))]"
                            },
                            "networkSecurityGroup": {
                                "id": "[resourceId('Microsoft.Network/networkSecurityGroups', variables('networkSecurityGroupName'))]"
                            },
                            "delegations": [
                                {
                                    "name": "miDelegation",
                                    "properties": {
                                        "serviceName": "Microsoft.Sql/managedInstances"
                                    }
                                }
                            ]
                        }
                    }
                ]
            }
        },
        {
            "type": "Microsoft.Sql/managedInstances",
            "apiVersion": "2020-11-01-preview",
            "name": "[parameters('managedInstanceName')]",
            "location": "[parameters('location')]",
            "dependsOn": [
                "[parameters('virtualNetworkName')]"
            ],
            "sku": {
                "name": "[parameters('skuName')]"
            },
            "identity": {
                "type": "SystemAssigned"
            },
            "properties": {
                "subnetId": "[resourceId('Microsoft.Network/virtualNetworks/subnets', parameters('virtualNetworkName'), parameters('subnetName'))]",
                "storageSizeInGB": "[parameters('storageSizeInGB')]",
                "vCores": "[parameters('vCores')]",
                "licenseType": "[parameters('licenseType')]",
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}