Azure SQL による Microsoft Entra 認証の構成と管理

Azure Portal で論理サーバーの Microsoft Entra 管理者を設定するには、次の手順に従います。

1. Azure Portal の [ディレクトリとサブスクリプション] ウィンドウで、Azure SQL リソースを含むディレクトリを現在のディレクトリとして選択します。

2. SQL サーバーを検索したら、データベース リソースの論理サーバーを選択し、[SQL Server] ウィンドウを開きます。

   

3. 論理サーバーの [SQL Server] ウィンドウで [設定] で [Microsoft Entra ID] を選択し、[Microsoft Entra ID] ペインを開きます。

4. [Microsoft Entra ID] ウィンドウで、[管理者の設定] を選択して [Microsoft Entra ID] ウィンドウを開きます。

   

5. [Microsoft Entra ID] ウィンドウでは、現在のディレクトリのすべてのユーザー、グループ、アプリケーションが表示され、名前、エイリアス、ID で検索できます。 Microsoft Entra 管理者の目的の ID を見つけて選択したら、[選択] をクリックしてウィンドウを閉じます。

6. 論理サーバーの Microsoft Entra ID ページの上部にある [保存] を選択します。

   

   Microsoft Entra ユーザーとグループの管理者名の横に [オブジェクト ID] が表示されます。 アプリケーション(サービスプリンシパル)の場合は、アプリケーションIDが表示されます。

管理者を変更する処理には数分かかる場合があります。 [Microsoft Entra 管理者] フィールドに新しい管理者が表示されます。

管理者を削除するには、[Microsoft Entra ID] ページの上部にある [管理者の削除] を選択したら、[保存] を選択します。 Microsoft Entra 管理者を削除すると、論理サーバーの Microsoft Entra 認証が無効になります。

PowerShell コマンドレットを実行するには、Azure PowerShell をインストールし、実行している必要があります。 詳細については、Azure PowerShell の概要に関するページを参照してください。

次の Azure PowerShell コマンドレットは、Azure SQL データベースと Azure Synapse Analytics の Microsoft Entra 管理者の設定と管理に使用できます。

これらの各コマンドの情報を確認するには、PowerShell の get-help コマンドを使用します。 たとえば、get-help Set-AzSqlServerActiveDirectoryAdministrator のようにします。

次のスクリプトは、Example-Resource-Group という名前のサンプル リソース グループにある example-server のサンプル サーバーに DBA_Group (サンプル オブジェクト ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) という名前の Microsoft Entra 管理者グループを設定します。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
    DisplayName = "DBA_Group"
}

Set-AzSqlServerActiveDirectoryAdministrator @parameters

DisplayName パラメーターは、Microsoft Entra ID の表示名またはユーザー プリンシパル名のいずれかを承諾します。これには DisplayName="Adrian King" と DisplayName="adrian@contoso.com" の例があります。 Microsoft Entra グループを使用している場合、表示名のみがサポートされます。

次の例では、オプションとして ObjectID パラメーターを使用します。

$parameters = @{
  ResourceGroupName = "Example-Resource-Group"
  ServerName = "example-server"
  DisplayName = "DBA_Group"
  ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}
Set-AzSqlServerActiveDirectoryAdministrator @parameters

次の例では、サーバーに対する現在の Microsoft Entra 管理者に関する情報が返されます。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Get-AzSqlServerActiveDirectoryAdministrator @parameters | Format-List

次の例では、Microsoft Entra 管理者を削除します。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Remove-AzSqlServerActiveDirectoryAdministrator @parameters

次の Azure CLI コマンドを使用して、Azure SQL データベースと Azure Synapse Analytics に Microsoft Entra 管理者を設定できます。

他の CLI コマンドについては、「az sql server」を参照してください。

サーバー Azure AD Administrator REST API を使用し、Azure SQL データベースと Azure Synapse Analytics の Microsoft Entra 管理者を作成、更新、削除、取得することもできます。

Azure Portal を使用して SQL Managed Instance の読み取りアクセス許可を Microsoft Entra ID に付与するには、グローバル管理者または特権ロール管理者としてログインして次の手順に従います。

1. Azure portal で、右上隅にある自分のアカウントを選択し、[ディレクトリの切り替え] を選択して、現在どの Active Directory が自分の現在のディレクトリであるかを確認します。 必要に応じてディレクトリを切り替えます。

   

2. Azure portal の[ディレクトリとサブスクリプション] ウィンドウで Managed Instance を含むディレクトリを [現在のディレクトリ] として選択します。

3. SQL Managed Instance を検索して Managed Instance を選択し、[SQL Managed Instance] ウィンドウを開きます。 次に、[設定] で [Microsoft Entra ID] を選択し、インスタンスの [Microsoft Entra ID] ウィンドウを開きます。

   

4. [Microsoft Entra 管理者] ウィンドウで、ナビゲーション バーの [管理者の設定] を選択して [Microsoft Entra ID] ウィンドウを開きます。

   

5. Microsoft Entra ID ウィンドウで、ユーザーを検索し、ユーザーまたはグループの横にあるボックスをチェックして管理者になり、[選択] を押してウィンドウを閉じ、マネージド インスタンスの Microsoft Entra 管理者ページに戻ります。

   Microsoft Entra ID ウィンドウには、現在のディレクトリ内のすべてのメンバーとグループが表示されます。 淡色表示されているユーザーまたはグループは、Microsoft Entra 管理者としてサポートされていないため選択できません 管理者として割り当てる ID を選択します。

6. マネージド インスタンスの Microsoft Entra 管理者 ページのナビゲーション バーで、[保存] を選択して Microsoft Entra 管理者を確認します。

   

   管理者の変更操作が完了したら、Microsoft Entra 管理者フィールドに新しい管理者が表示されます。

   Microsoft Entra ユーザーとグループの管理者名の横に [オブジェクト ID] が表示されます。 アプリケーション(サービスプリンシパル)の場合は、アプリケーションIDが表示されます。

PowerShell コマンドレットを実行するには、Azure PowerShell をインストールし、実行している必要があります。 詳細については、Azure PowerShell の概要に関するページを参照してください。

次のテーブルには、Managed Instance の Microsoft Entra 管理者の定義と管理に使用できる PowerShell コマンドレットが記載されます。

このコマンドの例では、「Example-Resource-Group」という名前のリソース グループに関連付けられている、「Sample-Instance」という名前の Managed Instance の Microsoft Entra 管理者に関する情報が取得されます。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
}

Get-AzSqlInstanceActiveDirectoryAdministrator @parameters

次のコマンドの例では、Microsoft Entra 管理者を「Sample-Instance」という名前の SQL Managed Instance の DBA という名前のグループ (サンプル オブジェクト ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) を設定します。 このサーバーは、「Example-Resource-Group」のリソース グループに関連付けられています。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    DisplayName = "DBAs"
    ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}

Set-AzSqlInstanceActiveDirectoryAdministrator @parameters

このコマンドの例では、「Example-Resource-Group」のリソース グループに関連付けられている「Sample-Instance」という名前の SQL Managed Instance の Microsoft Entra 管理者が削除されます。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    Confirm = $true
    PassThru = $true
}

Remove-AzSqlInstanceActiveDirectoryAdministrator @parameters

次の Azure CLI コマンドを呼び出すことにより、SQL Managed Instance に Microsoft Entra 管理者を設定と管理することもできます。

他の CLI コマンドについては、az sql mi を参照してください。

Managed Instance 管理者 REST API を使用して、SQL Managed Instance の Microsoft Entra 管理者を作成、更新、削除、取得できます。

Azure Portal の SQL Managed Instance の [Microsoft Entra ID] ページには、インスタンスにディレクトリ閲覧者のアクセス許可が割り当てられていないときに便利なバナーが表示されます。

1. [Microsoft Entra ID] ページの上部にあるバナーを選択し、インスタンスを表すシステム割り当てマネージド ID またはユーザー割り当てマネージド ID にアクセス許可を付与します。 テナントのグローバル管理者または特権ロール管理者のみがこの操作を実行できます。

   

2. 操作が成功すると、右上隅に成功の通知が表示されます。

   

次の PowerShell スクリプトは、ディレクトリ閲覧者の役割に ID を追加します。 論理サーバー (または任意の Microsoft Entra ID) の Managed Instance またはプライマリ サーバー ID にアクセス許可を割り当てるために使用できます。

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Global Administrator** or **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

Azure CLI を介して Azure 役割の割り当て方法の詳細については、「Azure CLI を使用して Azure 役割の割り当て」を参照してください。

REST API を使用して Azure 役割の割り当て。