Azure SQL로 Microsoft Entra 인증 구성 및 관리

Azure Portal에서 논리 서버에 대한 Microsoft Entra 관리자를 설정하려면 다음 단계를 수행합니다.

1. Azure Portal 디렉터리 + 구독 창에서 Azure SQL 리소스를 포함하는 디렉터리를 현재 디렉터리로 선택합니다.

2. SQL 서버를 검색한 다음 데이터베이스 리소스에 대한 논리 서버를 선택하여 SQL 서버 창을 엽니다.

   

3. 논리 서버의 SQL Server 창에서 설정에서 Microsoft Entra ID를 선택하여 Microsoft Entra ID 창을 엽니다.

4. Microsoft Entra 관리자 창의 탐색 모음에서 관리 설정을 선택하여 Microsoft Entra ID 창을 엽니다.

   

5. Microsoft Entra ID 창에는 현재 디렉터리의 모든 사용자, 그룹 및 애플리케이션이 표시되며 이름, 별칭 또는 ID로 검색할 수 있습니다. Microsoft Entra 관리자에 대해 원하는 ID를 찾아 선택한 다음 선택을 클릭하여 창을 닫습니다.

6. 논리 서버의 Microsoft Entra ID 페이지 맨 위에서 저장을 선택합니다.

   

   Microsoft Entra 사용자 및 그룹의 경우 관리자 이름 옆에 개체 ID가 표시됩니다. 애플리케이션(서비스 주체)의 경우 애플리케이션 ID가 표시됩니다.

관리자를 변경하는 데는 몇 분이 걸릴 수 있습니다. 작업이 완료되면 새 관리자가 Microsoft Entra 관리 필드에 나타납니다.

관리자를 제거하려면 Microsoft Entra ID 페이지 위쪽에서 관리자 제거를 선택한 다음, 저장을 선택합니다. Microsoft Entra 관리자를 제거하면 논리 서버에 대한 Microsoft Entra 인증이 비활성화됩니다.

PowerShell cmdlet을 실행하려면 Azure powershell을 설치하고 실행해야 합니다. 자세한 내용은 Azure PowerShell 설치 및 구성하는 방법을 참조하세요.

다음 Azure PowerShell cmdlet을 사용하여 Azure SQL Database 및 Azure Synapse Analytics에 대한 Microsoft Entra 관리자를 설정하고 관리할 수 있습니다.

get-help PowerShell 명령을 이러한 각 명령에 대한 자세한 정보를 확인합니다. 예들 들어 get-help Set-AzSqlServerActiveDirectoryAdministrator입니다.

다음 스크립트는 예제 리소스 그룹에서 샘플 서버 예제 서버에 대해 DBA_Group(샘플 개체 ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb)이라는 Microsoft Entra 관리자 그룹을 설정합니다(예제-리소스 그룹):

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
    DisplayName = "DBA_Group"
}

Set-AzSqlServerActiveDirectoryAdministrator @parameters

DisplayName 매개 변수는 다음 예와 같이 Microsoft Entra ID 표시 이름 또는 사용자 계정 이름 중 하나를 허용합니다: DisplayName="Adrian King" 및 DisplayName="adrian@contoso.com". Microsoft Entra 그룹을 사용하는 경우 표시 이름만 지원됩니다.

다음 예제에서는 선택적 ObjectID 매개변수를 사용합니다:

$parameters = @{
  ResourceGroupName = "Example-Resource-Group"
  ServerName = "example-server"
  DisplayName = "DBA_Group"
  ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}
Set-AzSqlServerActiveDirectoryAdministrator @parameters

다음 예시에서는 서버에 대한 현재 Microsoft Entra 관리 정보를 반환합니다.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Get-AzSqlServerActiveDirectoryAdministrator @parameters | Format-List

다음 예시에서는 Microsoft Entra 관리자를 제거합니다.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Remove-AzSqlServerActiveDirectoryAdministrator @parameters

다음 Azure CLI 명령을 사용하여 Azure SQL Database 및 Azure Synapse Analytics에 대한 Microsoft Entra 관리자를 설정할 수 있습니다.

CLI 명령에 대한 자세한 내용은 az sql server를 참조하세요.

서버 Azure AD 관리자 REST API를 사용하여 Azure SQL Database 및 Azure Synapse Analytics에 대한 Microsoft Entra 관리자를 만들고, 업데이트하고, 삭제하고, 가져올 수도 있습니다.

Azure 포털을 사용하여 SQL 관리형 인스턴스 읽기 권한을 Microsoft Entra ID에 부여하려면 전역 관리자 또는 권한 있는 역할 관리자로 로그인하고 다음 단계를 따르세요:

1. Azure Portal의 오른쪽 위 모서리에서 계정을 선택한 다음, 디렉터리 전환을 선택하여 현재 디렉터리를 확인합니다. 필요한 경우 디렉터리를 전환합니다.

   

2. Azure Portal 디렉터리 + 구독 창에서 관리형 인스턴스를 포함하는 디렉터리를 현재 디렉터리로 선택합니다.```

3. SQL 관리형 인스턴스를 검색한 다음, 관리되는 인스턴스를 선택하여 SQL 관리형 인스턴스 창을 엽니다. 그런 다음 설정에서 Microsoft Entra ID를 선택하여 인스턴스에 대한 Microsoft Entra ID 창을 엽니다.

   

4. Microsoft Entra 관리자 창의 탐색 모음에서 관리자 설정을 선택하여 Microsoft Entra ID 창을 엽니다.

   

5. Microsoft Entra ID 창에서 사용자를 검색하고 사용자 또는 그룹 옆에 있는 박스를 체크하여 관리자로 선택한 다음 선택을 눌러 창을 닫고 Managed Instance에 대한 Microsoft Entra 관리자 페이지로 돌아갑니다.

   Microsoft Entra ID 창에는 현재 디렉터리 내의 모든 멤버와 그룹이 표시됩니다. 회색으로 표시된 사용자나 그룹은 Microsoft Entra 관리자로 지원되지 않기 때문에 선택할 수 없습니다. 관리자로 지정할 식별자를 선택합니다.

6. Managed Instance에 대한 Microsoft Entra 관리자 페이지의 탐색 모음에서 저장을 선택하여 Microsoft Entra 관리자를 확인합니다.

   

   관리자 변경 작업이 완료되면 새 관리자가 Microsoft Entra 관리 필드에 표시됩니다.

   Microsoft Entra 사용자 및 그룹의 경우 관리자 이름 옆에 개체 ID가 표시됩니다. 애플리케이션(서비스 주체)의 경우 애플리케이션 ID가 표시됩니다.

PowerShell cmdlet을 실행하려면 Azure powershell을 설치하고 실행해야 합니다. 자세한 내용은 Azure PowerShell 설치 및 구성하는 방법을 참조하세요.

다음 표에서는 관리되는 인스턴스에 대한 Microsoft Entra 관리자를 정의하고 관리하는 데 사용할 수 있는 PowerShell cmdlet을 나열합니다.

이 예제 명령은 “예제-자원 그룹”이라는 리소스 그룹과 연결된 “Sample-Instance”라는 관리되는 인스턴스에 대한 Microsoft Entra 관리자에 대한 정보를 가져옵니다.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
}

Get-AzSqlInstanceActiveDirectoryAdministrator @parameters

이 예제 명령은 Microsoft Entra 관리자를 "Sample-Instance"라는 SQL Managed Instance에 대한 DBA(샘플 개체 ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb포함)라는 그룹으로 설정합니다. 이 서버는 리소스 그룹 “예제-리소스-그룹”과 연결되어 있습니다.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    DisplayName = "DBAs"
    ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}

Set-AzSqlInstanceActiveDirectoryAdministrator @parameters

이 예제 명령은 리소스 그룹 “예제-리소스-그룹”과 연결된 “Sample-Instance”라는 SQL 관리 인스턴스에 대한 Microsoft Entra 관리자를 제거합니다.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    Confirm = $true
    PassThru = $true
}

Remove-AzSqlInstanceActiveDirectoryAdministrator @parameters

다음 Azure CLI 명령을 호출하여 SQL Managed Instance에 대한 Microsoft Entra 관리자를 설정하고 관리할 수 있습니다:

CLI 명령에 대한 자세한 내용은 az sql mi를 참조하세요.

Managed Instance Administrators REST API를 사용하여 SQL 관리되는 인스턴스에 대한 Microsoft Entra 관리자를 만들고, 업데이트하고, 삭제하고, 가져올 수 있습니다.

Azure Portal의 SQL Managed Instance에 대한 Microsoft Entra ID 페이지에는 인스턴스에 디렉터리 읽기 권한자 권한이 할당되지 않은 경우 편리한 배너가 표시됩니다.

1. Microsoft Entra ID 페이지 맨 위에 있는 배너를 선택하고 인스턴스를 나타내는 시스템 할당 또는 사용자 할당 관리 ID에 권한을 부여합니다. 테넌트의 글로벌 관리자 또는 권한 있는 역할 관리자만 이 작업을 수행할 수 있습니다.

   

2. 작업이 성공하면 오른쪽 위 모서리에 성공 알림이 표시됩니다.

   

다음 PowerShell 스크립트는 디렉터리 읽기 권한자 역할에 ID를 추가합니다. 논리 서버(또는 Microsoft Entra ID)에 대한 관리되는 인스턴스 또는 주 서버 ID에 권한을 할당하는 데 사용할 수 있습니다.

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Global Administrator** or **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

Azure CLI를 통해 Azure 역할을 할당하는 방법에 대한 자세한 내용은 여기에서 Azure CLI를 사용하여 Azure 역할 할당하기를 참조하세요.

REST API를 사용하여 Azure 역할 할당