Настройка и администрирование проверки подлинности Microsoft Entra с помощью Azure SQL

Чтобы задать администратора Microsoft Entra для логического сервера в портал Azure, выполните следующие действия.

1. В области портал Azure каталогов и подписок выберите каталог, содержащий ресурс SQL Azure в качестве текущего каталога.

2. Найдите серверы SQL, а затем выберите логический сервер для ресурса базы данных, чтобы открыть область SQL Server.

   

3. На панели SQL Server для логического сервера выберите идентификатор Microsoft Entra в разделе "Параметры", чтобы открыть область идентификатора Microsoft Entra.

4. В области идентификатора Microsoft Entra выберите "Задать администратора", чтобы открыть область идентификатора Microsoft Entra.

   

5. В области идентификатора Microsoft Entra отображаются все пользователи, группы и приложения в текущем каталоге и можно выполнять поиск по имени, псевдониму или идентификатору. Найдите нужное удостоверение для администратора Microsoft Entra и выберите его, а затем нажмите кнопку "Выбрать ", чтобы закрыть область.

6. В верхней части страницы идентификатора Microsoft Entra для логического сервера нажмите кнопку "Сохранить".

   

   Идентификатор объекта отображается рядом с именем администратора для пользователей и групп Microsoft Entra. Для приложений (субъектов-служб) отображается идентификатор приложения.

Процесс изменения администратора может занять несколько минут. Затем новый администратор появится в поле администратора Microsoft Entra.

Чтобы удалить администратора, в верхней части страницы идентификатора Microsoft Entra нажмите кнопку "Удалить администратора", а затем нажмите кнопку "Сохранить". Удаление администратора Microsoft Entra отключает проверку подлинности Microsoft Entra для логического сервера.

Чтобы выполнять командлеты PowerShell, необходимо установить и запустить Azure PowerShell. Дополнительные сведения см. в статье Общие сведения об Azure PowerShell.

Следующие командлеты Azure PowerShell можно использовать для настройки и управления администратором Microsoft Entra для База данных SQL Azure и Azure Synapse Analytics:

Чтобы получить дополнительные сведения о каждой из этих команд, используйте команду PowerShell get-help. Например, get-help Set-AzSqlServerActiveDirectoryAdministrator.

Следующий сценарий задает группу администраторов Microsoft Entra с именем DBA_Group (пример идентификатора aaaaaaaa-0000-1111-2222-bbbbbbbbbbbbобъекта) для примера сервера example-server в примере группы ресурсов с именем Example-Resource-Group:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
    DisplayName = "DBA_Group"
}

Set-AzSqlServerActiveDirectoryAdministrator @parameters

Параметр DisplayName принимает отображаемое имя идентификатора Microsoft Entra или имя участника-пользователя, например следующие примеры: DisplayName="Adrian King" и DisplayName="adrian@contoso.com". Если вы используете группу Microsoft Entra, то поддерживается только отображаемое имя.

В следующем примере используется необязательный параметр ObjectID :

$parameters = @{
  ResourceGroupName = "Example-Resource-Group"
  ServerName = "example-server"
  DisplayName = "DBA_Group"
  ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}
Set-AzSqlServerActiveDirectoryAdministrator @parameters

В следующем примере возвращаются сведения о текущем администраторе Microsoft Entra для сервера:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Get-AzSqlServerActiveDirectoryAdministrator @parameters | Format-List

В следующем примере удаляется администратор Microsoft Entra:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Remove-AzSqlServerActiveDirectoryAdministrator @parameters

Администратор Microsoft Entra для База данных SQL Azure и Azure Synapse Analytics можно задать с помощью следующих команд Azure CLI:

Дополнительные команды CLI см. в статье az sql server.

Вы также можете использовать ИНТЕРФЕЙСы REST API администратора Azure AD для создания, обновления, удаления и получения администратора Microsoft Entra для База данных SQL Azure и Azure Synapse Analytics.

Чтобы предоставить управляемому экземпляру SQL разрешения на чтение идентификатора Microsoft Entra с помощью портал Azure, войдите в качестве глобального администратора или администратора привилегированных ролей и выполните следующие действия.

1. В портал Azure в правом верхнем углу выберите свою учетную запись и выберите пункт "Переключить каталоги", чтобы подтвердить, какой каталог является текущим каталогом. При необходимости переключите каталоги.

   

2. В области портал Azure каталогов и подписок выберите каталог, содержащий управляемый экземпляр в качестве текущего каталога.

3. Найдите управляемые экземпляры SQL и выберите управляемый экземпляр, чтобы открыть область управляемого экземпляра SQL. Затем выберите идентификатор Microsoft Entra в разделе "Параметры" , чтобы открыть область идентификатора Microsoft Entra для вашего экземпляра.

   

4. В области администрирования Microsoft Entra выберите "Задать администратора" на панели навигации, чтобы открыть область идентификатора Microsoft Entra.

   

5. В области идентификатора Microsoft Entra найдите пользователя, установите флажок рядом с пользователем или группой, чтобы быть администратором, а затем нажмите клавишу SELECT, чтобы закрыть область и вернуться на страницу администрирования Microsoft Entra для управляемого экземпляра.

   В области идентификатора Microsoft Entra отображаются все члены и группы в текущем каталоге. Не удается выбрать неактивных пользователей или групп, так как они не поддерживаются в качестве администраторов Microsoft Entra. Выберите удостоверение, которое вы хотите назначить администратором.

6. На панели навигации страницы администрирования Microsoft Entra для управляемого экземпляра нажмите кнопку "Сохранить ", чтобы подтвердить администратора Microsoft Entra.

   

   После завершения операции изменения администратора новый администратор появится в поле администратора Microsoft Entra.

   Идентификатор объекта отображается рядом с именем администратора для пользователей и групп Microsoft Entra. Для приложений (субъектов-служб) отображается идентификатор приложения.

Чтобы выполнять командлеты PowerShell, необходимо установить и запустить Azure PowerShell. Дополнительные сведения см. в статье Общие сведения об Azure PowerShell.

В следующей таблице перечислены командлеты PowerShell, которые можно использовать для определения и управления администратором Microsoft Entra для управляемых экземпляров:

В этом примере команда получает сведения об администраторе Microsoft Entra для управляемого экземпляра с именем Sample-Instance, связанной с группой ресурсов с именем Example-Resource-Group.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
}

Get-AzSqlInstanceActiveDirectoryAdministrator @parameters

В этом примере команда задает администратору Microsoft Entra группу с именем DBAs (с примером идентификатора aaaaaaaa-0000-1111-2222-bbbbbbbbbbbbобъекта) для Управляемый экземпляр SQL с именем Sample-Instance. Этот сервер связан с группой ресурсов Example-Resource-Group.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    DisplayName = "DBAs"
    ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}

Set-AzSqlInstanceActiveDirectoryAdministrator @parameters

В этом примере команда удаляет администратора Microsoft Entra для Управляемый экземпляр SQL с именем Sample-Instance, связанной с группой ресурсов Example-Resource-Group.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    Confirm = $true
    PassThru = $true
}

Remove-AzSqlInstanceActiveDirectoryAdministrator @parameters

Администратор Microsoft Entra для Управляемый экземпляр SQL можно настроить и управлять ими, вызвав следующие команды Azure CLI:

Дополнительные команды CLI см. в статье az sql mi.

С помощью ИНТЕРФЕЙСов REST API Управляемый экземпляр администраторов можно создавать, обновлять, удалять и получать администратора Microsoft Entra для управляемых экземпляров SQL.

Страница идентификатора записи Майкрософт для Управляемый экземпляр SQL в портал Azure отображает удобный баннер, если экземпляр не назначен разрешения читателя каталогов.

1. Выберите баннер на верхней части страницы идентификатора Microsoft Entra и предоставьте разрешение на управляемое удостоверение, назначаемое системой или назначаемое пользователем, представляющее экземпляр. Это может выполнять только глобальный администратор или администратор привилегированных ролей в клиенте.

   

2. При успешном выполнении операции в правом верхнем углу отображается уведомление об успешном выполнении:

   

Следующий сценарий PowerShell добавляет удостоверение в роль читателей каталогов. Это можно использовать для назначения разрешений управляемому экземпляру или удостоверению сервера-источника для логического сервера (или любого удостоверения Microsoft Entra).

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Global Administrator** or **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

Дополнительные сведения о назначении ролей Azure с помощью Azure CLI см. здесь : назначение ролей Azure с помощью Azure CLI.

Назначение ролей Azure с помощью REST API.