Microsoft Entra ログインと一意ではない表示名を持つユーザー (プレビュー)

適用対象: Azure SQL Database Azure SQL Managed Instance

この記事では、T-SQL Object_ID 構文を使用して、Azure SQL Database と Azure SQL Managed Instance で一意でない表示名を持つ Microsoft Entra ログインとユーザーを作成する方法を説明します。

概要

Microsoft Entra ID は、サービス プリンシパルの認証をサポートしています。 ただし、Microsoft Entra ID で一意ではない表示名を持つサービス プリンシパルを使用すると、Azure SQL でログインまたはユーザーを作成するときにエラーが発生します。

たとえば、アプリケーション myapp が一意でない場合は、次のエラーが発生することがあります。

Msg 33131, Level 16, State 1, Line 4 
Principal 'myapp' has a duplicate display name. Make the display name unique in Azure Active Directory and execute this statement again. 

次の T-SQL ステートメントを実行しようとすると、次のようになります。

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER 

WITH OBJECT_ID 拡張機能

Microsoft Entra ID で Microsoft Entra アプリケーション (サービス プリンシパル) の表示名が重複しているのに対し、Azure SQL では Microsoft Entra ログインとユーザーを作成するには一意の名前が必要であるために表示名の重複エラーが発生します。 この問題を回避するために、WITH OBJECT_ID 句に Azure リソースのオブジェクト ID が含まれるように、ログインとユーザーを作成するデータ定義言語 (DDL) ステートメントが拡張されます。

T-SQL の一意でない表示名に対するログイン/ユーザー構文を作成する

CREATE LOGIN [login_name] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = 'objectid'

CREATE USER [user_name] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = 'objectid'

T-SQL DDL サポート拡張機能を使用して、オブジェクト ID を使用してログインまたはユーザーを作成すると、エラー 33131 を回避し、オブジェクト ID を使用して作成されたログインまたはユーザーのエイリアスを指定することもできます。 次の例では、アプリケーション オブジェクト ID 4466e2f8-0fea-4c61-a470-xxxxxxxxxxxx を使用してログイン myapp4466e を作成します。

CREATE LOGIN [myapp4466e] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = '4466e2f8-0fea-4c61-a470-xxxxxxxxxxxx' 

• 上記のクエリを実行するには、指定したオブジェクト ID が、Azure SQL リソースを含む Microsoft Entra テナントに属している必要があります。 それ以外の場合、CREATE コマンドは次のエラー メッセージで失敗します: Msg 37545, Level 16, State 1, Line 1 '' is not a valid object id for '' or you do not have permission.
• CREATE LOGIN または CREATE USER ステートメントを使用する場合、ログイン名またはユーザー名には、ユーザー定義のサフィックスによって拡張された元のサービス プリンシパル名が含まれている必要があります。 ベスト プラクティスとして、サフィックスにはオブジェクト ID の最初の部分を含めることができます。 たとえば、オブジェクト ID 2ba6c0a3-cda4-4878-a5ca-xxxxxxxxxxxx の場合は、myapp2ba6c です。 ただし、カスタム サフィックスを定義することもできます。 オブジェクト ID からサフィックスを作成する必要はありません。

この名前付け規則は、データベース ユーザーを明示的に関連付けるか、Microsoft Entra ID のオブジェクトにログインして戻す場合に推奨されます。

アプリケーション用に作成されたユーザーを特定する

一意ではないサービス プリンシパルの場合は、Microsoft Entra エイリアスが適切なアプリケーションに関連付けられていることを確認することが重要です。 ユーザーが適切なサービス プリンシパル (アプリケーション) 用に作成されたことをチェックするには:

1. アプリケーションの アプリケーション ID 、または SQL Database で作成されたユーザーから Microsoft Entra グループのオブジェクト ID を取得します。 次のクエリを参照してください。

   • 作成したユーザーからサービス プリンシパルのアプリケーション ID を取得するには、次のクエリを実行します。

     SELECT CAST(sid as uniqueidentifier) ApplicationID, create_date FROM sys.server_principals WHERE NAME = 'myapp2ba6c' 
     

     出力例:

     

     アプリケーション ID は、指定されたログインまたはユーザー名のセキュリティ ID 番号 (SID) から変換されます。これは、次のクエリを実行し、最後の数桁を比較して日付を作成することで確認できます。

     SELECT SID, create_date FROM sys.server_principals WHERE NAME = 'myapp2ba6c' 
     

     出力例:

     

   • 作成したユーザーから Microsoft Entra グループのオブジェクト ID を取得するには、次のクエリを実行します。

     SELECT CAST(sid as uniqueidentifier) ObjectID, createdate FROM sys.sysusers WHERE NAME = 'myappgroupd3451b' 
     

     出力例:

     

     作成したユーザーから Microsoft Entra グループの SID をチェックするには、次のクエリを実行します。

     SELECT SID, createdate FROM sys.sysusers WHERE NAME = 'myappgroupd3451b' 
     

     出力例:

     

   • PowerShell を使用してアプリケーションのオブジェクト ID とアプリケーション ID を取得するには、次のコマンドを実行します。

     Get-AzADApplication -DisplayName "myapp2ba6c"
     

2. Azure portal に移動し、エンタープライズ アプリケーションまたは Microsoft Entra グループ リソースで、プリケーション ID またはオブジェクト ID をそれぞれチェックします。 上記のクエリから取得したものと一致するかどうかを確認します。

適切なオブジェクト ID の検索

サービス プリンシパルのオブジェクト ID については、「サービス プリンシパル オブジェクト」を参照してください。 Azure portal の [エンタープライズ アプリケーション] で、アプリケーション名の横にリストされているサービス プリンシパルのオブジェクト ID を見つけることができます。

関連するコンテンツ

• Microsoft Entra サーバー プリンシパル
• CREATE LOGIN (Transact-SQL)
• CREATE USER (Transact-SQL)