Создание сервера с включенной проверкой подлинности только в Microsoft Entra в SQL Azure

1. Перейдите на страницу Выберите вариант развертывания SQL на портале Azure.

2. Если вы еще не вошли на портал Azure, выполните вход при появлении соответствующего запроса.

3. В разделе Базы данных SQL оставьте для параметра Тип ресурса значение Отдельная база данных и нажмите кнопку Создать.

4. На вкладке Основные сведения формы Создание базы данных SQL в разделе Сведения о проекте выберите подходящую подписку Azure.

5. В разделе Группа ресурсов щелкните Создать новую, введите имя группы ресурсов и нажмите ОК.

6. В поле Имя базы данных введите имя для вашей базы данных.

7. В группе Сервер выберите Создать и заполните форму создания сервера следующим образом:

   • В поле Имя сервера введите уникальное имя сервера. Имена серверов должны быть глобально уникальными для всех серверов в Azure, а не только в рамках подписки. Введите значение, и портал Azure сообщит вам, доступно оно или нет.
   • Расположение. Выберите расположение из раскрывающегося списка.
   • Метод проверки подлинности: выбор проверки подлинности только для Microsoft Entra.
   • Выберите "Задать администратора", чтобы открыть область идентификатора Microsoft Entra и выбрать субъект Microsoft Entra в качестве администратора логического сервера Microsoft Entra. Когда все будет готово, нажать кнопку Выбрать, чтобы задать администратора.

   

8. В нижней части страницы нажмите кнопку Далее: сети.

9. На вкладке Сеть в разделе Метод подключения выберите Общедоступная конечная точка.

10. В разделе Правила брандмауэра установите переключатель Добавить текущий IP-адрес клиента в положение Да. Оставьте значение Нет для параметра Разрешить доступ к серверу службам и ресурсам Azure.

11. Оставьте для параметров Политика подключения и Минимальная версия протокола TLS значения по умолчанию.

12. Выберите Далее: безопасность доступа в нижней части страницы. Настройте любые параметры Microsoft Defender для SQL, реестра, удостоверений и прозрачного шифрования данных для своей среды. Вы также можете пропустить эти параметры.

    Примечание.

    Использование управляемого удостоверения, назначаемого пользователем, в качестве удостоверения сервера поддерживается только для проверки подлинности Microsoft Entra. Чтобы подключиться к экземпляру в качестве удостоверения, назначьте его виртуальной машине Azure и запустите SSMS на этой виртуальной машине. Для рабочих сред рекомендуется использовать управляемое удостоверение администратора Microsoft Entra из-за расширенных упрощенных мер безопасности с проверкой подлинности без пароля в ресурсах Azure.

13. В нижней части страницы выберите Review + create (Проверить и создать).

14. На странице Просмотр и создание после проверки нажмите кнопку Создать.

Команда Azure CLI az sql server create используется для подготовки нового логического сервера. Следующая команда подготовит новый сервер с включенной проверкой подлинности только для Microsoft Entra.

Администратор SQL сервера будет автоматически создан, а пароль будет задан случайным паролем. Так как подключение к проверке подлинности SQL отключено при создании этого сервера, имя входа администратора SQL не будет использоваться.

Администратор Microsoft Entra будет учетной записью, которую <MSEntraAccount>вы задали, и может использоваться для управления сервером.

Замените в примере приведенные ниже значения.

• <MSEntraAccount>: может быть пользователем или группой Microsoft Entra. Например: DummyLogin
• <MSEntraAccountSID>: идентификатор объекта Microsoft Entra для пользователя
• <ResourceGroupName>: имя группы ресурсов для логического сервера.
• <ServerName>: используйте уникальное имя логического сервера.

az sql server create \
    --enable-ad-only-auth \
    --external-admin-principal-type User \
    --external-admin-name <MSEntraAccount> \
    --external-admin-sid <MSEntraAccountSID> \
    -g <ResourceGroupName> \
    -n <ServerName>

Дополнительные сведения см. в разделе az sql server create.

Чтобы проверить состояние сервера после создания, используйте следующую команду:

az sql server show --name <ServerName> --resource-group <ResourceGroupName> --expand-ad-admin

Команда New-AzSqlServer PowerShell используется для подготовки нового логического сервера. Следующая команда подготовит новый сервер с включенной проверкой подлинности только для Microsoft Entra.

Администратор SQL сервера будет автоматически создан, а пароль будет задан случайным паролем. Так как подключение к проверке подлинности SQL отключено при создании этого сервера, имя входа администратора SQL не будет использоваться.

Администратор Microsoft Entra будет учетной записью, которую <MSEntraAccount>вы задали, и может использоваться для управления сервером.

Замените в примере приведенные ниже значения.

• <ResourceGroupName>: имя группы ресурсов для логического сервера.
• <Location>: расположение сервера, например West US или Central US.
• <ServerName>: используйте уникальное имя логического сервера.
• <MSEntraAccount>: может быть пользователем или группой Microsoft Entra. Например: DummyLogin

$server = @{
    ResourceGroupName = "<ResourceGroupName>"
    Location = "<Location>"
    ServerName = "<ServerName>"
    ServerVersion = "12.0"
    ExternalAdminName = "<MSEntraAccount>"
    EnableActiveDirectoryOnlyAuthentication = $true
}

New-AzSqlServer @server

Ниже приведен пример того, как можно указать имя администратора сервера (а не создавать его автоматически) во время создания логического сервера. Как упоминалось ранее, это имя входа невозможно использовать, если включена проверка подлинности только для Microsoft Entra.

$cred = Get-Credential
New-AzSqlServer -ResourceGroupName "<ResourceGroupName>" -Location "<Location>" -ServerName "<ServerName>" -ServerVersion "12.0" -ExternalAdminName "<MSEntraAccount>" -EnableActiveDirectoryOnlyAuthentication -SqlAdministratorCredentials $cred

Дополнительные сведения см. в разделе New-AzSqlServer.

Серверы — создание или обновление REST API можно использовать для создания логического сервера с включенной проверкой подлинности только для Microsoft Entra во время подготовки.

Приведенный ниже сценарий подготавливает логический сервер, задает администратора Microsoft Entra как <MSEntraAccount>и включает проверку подлинности только для Microsoft Entra. Администратор SQL сервера также будет создан автоматически, и пароль будет задан случайным паролем. Так как подключение к проверке подлинности SQL отключено с этой подготовкой, имя входа администратора SQL не будет использоваться.

Администратор <MSEntraAccount> Microsoft Entra может использоваться для управления сервером после завершения подготовки.

Замените в примере приведенные ниже значения.

• <tenantId>: можно найти, перейдя в портал Azure и перейдя к ресурсу идентификатора Microsoft Entra. В области Обзор должен отображаться параметр Идентификатор клиента.
• <subscriptionId>: ваш идентификатор подписки можно найти на портале Azure.
• <ServerName>: используйте уникальное имя логического сервера.
• <ResourceGroupName>: имя группы ресурсов для логического сервера.
• <MicrosoftEntraAccount>: может быть пользователем, группой или приложением Microsoft Entra. Например: DummyLogin
• <Location>: расположение сервера, например westus2 или centralus.
• <objectId>: можно найти, перейдя в портал Azure и перейдя к ресурсу идентификатора Microsoft Entra. На панели "Пользователь" найдите пользователя Microsoft Entra и найдите свой идентификатор объекта. Если вы используете приложение (субъект-службу) в качестве администратора Microsoft Entra, замените это значение идентификатором приложения. Вам также потребуется обновить principalType.
• <principalType>: один из трех вариантов: пользователь, группа, приложение. Тип объекта Microsoft Entra, используемого в качестве администратора. Управляемые удостоверения и субъекты-службы — приложения.

Import-Module Azure
Import-Module MSAL.PS

$tenantId = '<tenantId>'
$clientId = '1950a258-227b-4e31-a9cf-717495945fc2' # Static Microsoft client ID used for getting a token
$subscriptionId = '<subscriptionId>'
$uri = "urn:ietf:wg:oauth:2.0:oob" 
$authUrl = "https://login.windows.net/$tenantId"
$serverName = "<ServerName>"
$resourceGroupName = "<ResourceGroupName>"

Login-AzAccount -tenantId $tenantId

# login as a user with SQL Server Contributor role or higher 

# Get a token

$result = Get-MsalToken -RedirectUri $uri -ClientId $clientId -TenantId $tenantId -Scopes "https://management.core.windows.net/.default"

#Authetication header
$authHeader = @{
'Content-Type'='application\json; '
'Authorization'=$result.CreateAuthorizationHeader()
}

# Enable Microsoft Entra-only auth 
# No server admin is specified, Microsoft Entra admin is configured, and Microsoft Entra-only authentication is set to true
# Server admin (login and password) is randomly generated by the system

# Authentication body
# The sid is the Microsoft Entra Object ID for the user or group, and Application ID for applications. Update the principalType as well

$body = '{ 
"location": "<Location>",
"properties": { "administrators":{ "login":"<MSEntraAccount>", "sid":"<objectId>", "tenantId":"<tenantId>", "principalType":"User", "azureADOnlyAuthentication":true }
  }
}'

# Provision the server

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/?api-version=2020-11-01-preview -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Чтобы проверить состояние сервера, можно использовать следующий скрипт:

$uri = 'https://management.azure.com/subscriptions/'+$subscriptionId+'/resourceGroups/'+$resourceGroupName+'/providers/Microsoft.Sql/servers/'+$serverName+'?api-version=2020-11-01-preview&$expand=administrators/activedirectory'

$responce=Invoke-WebRequest -Uri $uri -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

$responce.statuscode

$responce.content

Дополнительные сведения и шаблоны ARM см. в шаблонах Azure Resource Manager для База данных SQL Azure.

Чтобы подготовить логический сервер с набором администраторов Microsoft Entra для сервера и проверки подлинности только для Microsoft Entra с помощью шаблона ARM, ознакомьтесь с шаблоном быстрого запуска проверки подлинности только для Microsoft Entra.

Вы также можете использовать указанный ниже шаблон. Используйте инструкции из разделов о пользовательском развертывании на портале Azure и создании собственного шаблона с помощью редактора. Затем необходимо сохранить конфигурацию после того, как вставлен пример.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "server": {
            "type": "string",
            "defaultValue": "[uniqueString('sql', resourceGroup().id)]",
            "metadata": {
                "description": "The name of the logical server."
            }
        },
        "location": {
            "type": "string",
            "defaultValue": "[resourceGroup().location]",
            "metadata": {
                "description": "Location for all resources."
            }
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL server."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin if the admin is a user or group. For Applications, use the Application ID."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers",
            "apiVersion": "2020-11-01-preview",
            "name": "[parameters('server')]",
            "location": "[parameters('location')]",
            "properties": {
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}

1. Перейдите на страницу Выберите вариант развертывания SQL на портале Azure.

2. Если вы еще не вошли на портал Azure, выполните вход при появлении соответствующего запроса.

3. В разделе Управляемые экземпляры SQL оставьте для параметра Тип ресурса значение Отдельная база данных и нажмите кнопку Создать.

4. Заполните обязательные поля на вкладке Основное в разделах Сведения о проекте и Сведения об управляемом экземпляре. Это минимальный набор необходимых сведений для подготовки Управляемого экземпляра SQL.

   

   Дополнительные сведения о параметрах конфигурации см. в кратком руководстве по созданию Управляемый экземпляр SQL Azure.

5. В разделе "Проверка подлинности" выберите "Использовать проверку подлинности только для Microsoft Entra" для метода проверки подлинности.

6. Выберите "Задать администратора" , чтобы открыть область идентификатора Microsoft Entra и выбрать субъект Microsoft Entra в качестве администратора Microsoft Entra. Когда все будет готово, нажать кнопку Выбрать, чтобы задать администратора.

   

7. Для остальных параметров можно оставить значения по умолчанию. Дополнительные сведения о вкладках и параметрах сети, безопасности и других параметров см. в руководстве по созданию Управляемый экземпляр SQL Azure.

8. Настроив параметры, выберите Проверить и создать чтобы продолжить. Выберите Создать, чтобы начать подготовку управляемого экземпляра.

Команда Azure CLI az sql mi create используется для подготовки нового Управляемого экземпляра SQL Azure. Следующая команда подготовит новый управляемый экземпляр с включенной проверкой подлинности только для Microsoft Entra.

Администратор SQL управляемого экземпляра будет автоматически создан, а пароль будет задан случайным паролем. Так как проверка подлинности SQL отключена с этой подготовкой, администратор SQL не будет использоваться.

Администратор Microsoft Entra будет учетной записью, которую <MSEntraAccount>вы задали, и может использоваться для управления экземпляром после завершения подготовки.

Замените в примере приведенные ниже значения.

• <MSEntraAccount>: может быть пользователем или группой Microsoft Entra. Например: DummyLogin
• <MSEntraAccountSID>: идентификатор объекта Microsoft Entra для пользователя
• <managedinstancename>: имя управляемого экземпляра, который требуется создать.
• <ResourceGroupName>: имя группы ресурсов для управляемого экземпляра. Группа ресурсов также должна включать созданные виртуальную сеть и подсеть.
• Параметр subnet необходимо обновить с помощью <Subscription ID>, <ResourceGroupName>, <VNetName> и <SubnetName>. Ваш идентификатор подписки можно найти на портале Azure.

az sql mi create \
    --enable-ad-only-auth \
    --external-admin-principal-type User \
    --external-admin-name <MSEntraAccount> \
    --external-admin-sid <MSEntraAccountSID> \
    -g <ResourceGroupName> \
    -n <managedinstancename> \
    --subnet /subscriptions/<Subscription ID>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>

Дополнительные сведения см. в разделе az sql mi create.

Команда PowerShell New-AzSqlInstance используется для подготовки нового Управляемого экземпляра SQL Azure. Следующая команда подготовит новый управляемый экземпляр с включенной проверкой подлинности только для Microsoft Entra.

Администратор SQL управляемого экземпляра будет автоматически создан, а пароль будет задан случайным паролем. Так как подключение к проверке подлинности SQL отключено с этой подготовкой, имя входа администратора SQL не будет использоваться.

Администратор Microsoft Entra будет учетной записью, которую <MSEntraAccount>вы задали, и может использоваться для управления экземпляром после завершения подготовки.

Замените в примере приведенные ниже значения.

• <managedinstancename>: имя управляемого экземпляра, который требуется создать.
• <ResourceGroupName>: имя группы ресурсов для управляемого экземпляра. Группа ресурсов также должна включать созданные виртуальную сеть и подсеть.
• <MSEntraAccount>: может быть пользователем или группой Microsoft Entra. Например: DummyLogin
• <Location>: расположение сервера, например West US или Central US.
• Параметр SubnetId необходимо обновить с помощью <Subscription ID>, <ResourceGroupName>, <VNetName> и <SubnetName>. Ваш идентификатор подписки можно найти на портале Azure.

$instanceName = @{
    Name = "<managedinstancename>"
    ResourceGroupName = "<ResourceGroupName>"
    ExternalAdminName = "<MSEntraAccount>"
    EnableActiveDirectoryOnlyAuthentication = $true
    Location = "<Location>"
    SubnetId = "/subscriptions/<SubscriptionID>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>"
    LicenseType = "LicenseIncluded"
    StorageSizeInGB = 128
    VCore = 4
    Edition = "GeneralPurpose"
    ComputeGeneration = "Gen5"
}

New-AzSqlInstance $instanceName

Дополнительные сведения см. в статье New-AzSqlInstance.

Управляемый экземпляр SQL. Создание или обновление REST API можно использовать для создания управляемого экземпляра с включенной проверкой подлинности только для Microsoft Entra во время подготовки.

Приведенный ниже сценарий подготавливает управляемый экземпляр, задает администратора Microsoft Entra как <MSEntraAccount>и включает проверку подлинности только для Microsoft Entra. Администратор SQL экземпляра также будет создан автоматически, и пароль будет задан случайным паролем. Так как подключение к проверке подлинности SQL отключено с этой подготовкой, имя входа администратора SQL не будет использоваться.

Администратор <MSEntraAccount> Microsoft Entra может использоваться для управления экземпляром после завершения подготовки.

Замените в примере приведенные ниже значения.

• <tenantId>: можно найти, перейдя в портал Azure и перейдя к ресурсу идентификатора Microsoft Entra. В области Обзор должен отображаться параметр Идентификатор клиента.
• <subscriptionId>: ваш идентификатор подписки можно найти на портале Azure.
• <instanceName>: используйте уникальное имя управляемого экземпляра.
• <ResourceGroupName>: имя группы ресурсов для логического сервера.
• <MSEntraAccount>: может быть пользователем или группой Microsoft Entra. Например: DummyLogin
• <Location>: расположение сервера, например westus2 или centralus.
• <objectId>: можно найти, перейдя в портал Azure и перейдя к ресурсу идентификатора Microsoft Entra. На панели "Пользователь" найдите пользователя Microsoft Entra и найдите свой идентификатор объекта. Если вы используете приложение (субъект-службу) в качестве администратора Microsoft Entra, замените это значение идентификатором приложения. Вам также потребуется обновить principalType.
• Параметр subnetId необходимо обновить с помощью <ResourceGroupName>, Subscription ID, <VNetName> и <SubnetName>.

Import-Module Azure
Import-Module MSAL.PS

$tenantId = '<tenantId>'
$clientId = '1950a258-227b-4e31-a9cf-717495945fc2' # Static Microsoft client ID used for getting a token
$subscriptionId = '<subscriptionId>'
$uri = "urn:ietf:wg:oauth:2.0:oob" 
$instanceName = "<instanceName>"
$resourceGroupName = "<ResourceGroupName>"
$scopes ="https://management.core.windows.net/.default"

Login-AzAccount -tenantId $tenantId

# Login as an Microsoft Entra user with permission to provision a managed instance

$result = Get-MsalToken -RedirectUri $uri -ClientId $clientId -TenantId $tenantId -Scopes $scopes

$authHeader = @{
'Content-Type'='application\json; '
'Authorization'=$result.CreateAuthorizationHeader()
}

$body = '{
"name": "<instanceName>", "type": "Microsoft.Sql/managedInstances", "identity": { "type": "SystemAssigned"},"location": "<Location>", "sku": {"name": "GP_Gen5", "tier": "GeneralPurpose", "family":"Gen5","capacity": 8},
"properties": {"administrators":{ "login":"<MSEntraAccount>", "sid":"<objectId>", "tenantId":"<tenantId>", "principalType":"User", "azureADOnlyAuthentication":true },
"subnetId": "/subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>",
"licenseType": "LicenseIncluded", "vCores": 8, "storageSizeInGB": 2048, "collation": "SQL_Latin1_General_CP1_CI_AS", "proxyOverride": "Proxy", "timezoneId": "UTC", "privateEndpointConnections": [], "storageAccountType": "GRS", "zoneRedundant": false 
  }
}'

# To provision the instance, execute the `PUT` command

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$instanceName/?api-version=2020-11-01-preview -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Чтобы проверить результаты, выполните команду GET:

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$instanceName/?api-version=2020-11-01-preview -Method GET -Headers $authHeader  | Format-List

Для подготовки нового управляемого экземпляра, виртуальной сети и подсети с помощью администратора Microsoft Entra для экземпляра и включенной проверки подлинности только для Microsoft Entra используйте следующий шаблон.

Используйте инструкции из разделов о пользовательском развертывании на портале Azure и создании собственного шаблона с помощью редактора. Затем необходимо сохранить конфигурацию после того, как вставлен пример.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "managedInstanceName": {
            "type": "String",
            "metadata": {
                "description": "Enter managed instance name."
            }
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL managed instance."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin. The Object ID of the Azure AD admin if the admin is a user or group. For Applications, use the Application ID."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        },
        "location": {
            "defaultValue": "[resourceGroup().location]",
            "type": "String",
            "metadata": {
                "description": "Enter location. If you leave this field blank resource group location would be used."
            }
        },
        "virtualNetworkName": {
            "type": "String",
            "defaultValue": "SQLMI-VNET",
            "metadata": {
                "description": "Enter virtual network name. If you leave this field blank name will be created by the template."
            }
        },
        "addressPrefix": {
            "defaultValue": "10.0.0.0/16",
            "type": "String",
            "metadata": {
                "description": "Enter virtual network address prefix."
            }
        },
        "subnetName": {
            "type": "String",
            "defaultValue": "ManagedInstances",
            "metadata": {
                "description": "Enter subnet name. If you leave this field blank name will be created by the template."
            }
        },
        "subnetPrefix": {
            "defaultValue": "10.0.0.0/24",
            "type": "String",
            "metadata": {
                "description": "Enter subnet address prefix."
            }
        },
        "skuName": {
            "defaultValue": "GP_Gen5",
            "allowedValues": [
                "GP_Gen5",
                "BC_Gen5"
            ],
            "type": "String",
            "metadata": {
                "description": "Enter sku name."
            }
        },
        "vCores": {
            "defaultValue": 16,
            "allowedValues": [
                8,
                16,
                24,
                32,
                40,
                64,
                80
            ],
            "type": "Int",
            "metadata": {
                "description": "Enter number of vCores."
            }
        },
        "storageSizeInGB": {
            "defaultValue": 256,
            "minValue": 32,
            "maxValue": 8192,
            "type": "Int",
            "metadata": {
                "description": "Enter storage size."
            }
        },
        "licenseType": {
            "defaultValue": "LicenseIncluded",
            "allowedValues": [
                "BasePrice",
                "LicenseIncluded"
            ],
            "type": "String",
            "metadata": {
                "description": "Enter license type."
            }
        }
    },
    "variables": {
        "networkSecurityGroupName": "[concat('SQLMI-', parameters('managedInstanceName'), '-NSG')]",
        "routeTableName": "[concat('SQLMI-', parameters('managedInstanceName'), '-Route-Table')]"
    },
    "resources": [
        {
            "type": "Microsoft.Network/networkSecurityGroups",
            "apiVersion": "2020-06-01",
            "name": "[variables('networkSecurityGroupName')]",
            "location": "[parameters('location')]",
            "properties": {
                "securityRules": [
                    {
                        "name": "allow_tds_inbound",
                        "properties": {
                            "description": "Allow access to data",
                            "protocol": "Tcp",
                            "sourcePortRange": "*",
                            "destinationPortRange": "1433",
                            "sourceAddressPrefix": "VirtualNetwork",
                            "destinationAddressPrefix": "*",
                            "access": "Allow",
                            "priority": 1000,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "allow_redirect_inbound",
                        "properties": {
                            "description": "Allow inbound redirect traffic to SQL Managed Instance inside the virtual network",
                            "protocol": "Tcp",
                            "sourcePortRange": "*",
                            "destinationPortRange": "11000-11999",
                            "sourceAddressPrefix": "VirtualNetwork",
                            "destinationAddressPrefix": "*",
                            "access": "Allow",
                            "priority": 1100,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "deny_all_inbound",
                        "properties": {
                            "description": "Deny all other inbound traffic",
                            "protocol": "*",
                            "sourcePortRange": "*",
                            "destinationPortRange": "*",
                            "sourceAddressPrefix": "*",
                            "destinationAddressPrefix": "*",
                            "access": "Deny",
                            "priority": 4096,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "deny_all_outbound",
                        "properties": {
                            "description": "Deny all other outbound traffic",
                            "protocol": "*",
                            "sourcePortRange": "*",
                            "destinationPortRange": "*",
                            "sourceAddressPrefix": "*",
                            "destinationAddressPrefix": "*",
                            "access": "Deny",
                            "priority": 4096,
                            "direction": "Outbound"
                        }
                    }
                ]
            }
        },
        {
            "type": "Microsoft.Network/routeTables",
            "apiVersion": "2020-06-01",
            "name": "[variables('routeTableName')]",
            "location": "[parameters('location')]",
            "properties": {
                "disableBgpRoutePropagation": false
            }
        },
        {
            "type": "Microsoft.Network/virtualNetworks",
            "apiVersion": "2020-06-01",
            "name": "[parameters('virtualNetworkName')]",
            "location": "[parameters('location')]",
            "dependsOn": [
                "[variables('routeTableName')]",
                "[variables('networkSecurityGroupName')]"
            ],
            "properties": {
                "addressSpace": {
                    "addressPrefixes": [
                        "[parameters('addressPrefix')]"
                    ]
                },
                "subnets": [
                    {
                        "name": "[parameters('subnetName')]",
                        "properties": {
                            "addressPrefix": "[parameters('subnetPrefix')]",
                            "routeTable": {
                                "id": "[resourceId('Microsoft.Network/routeTables', variables('routeTableName'))]"
                            },
                            "networkSecurityGroup": {
                                "id": "[resourceId('Microsoft.Network/networkSecurityGroups', variables('networkSecurityGroupName'))]"
                            },
                            "delegations": [
                                {
                                    "name": "miDelegation",
                                    "properties": {
                                        "serviceName": "Microsoft.Sql/managedInstances"
                                    }
                                }
                            ]
                        }
                    }
                ]
            }
        },
        {
            "type": "Microsoft.Sql/managedInstances",
            "apiVersion": "2020-11-01-preview",
            "name": "[parameters('managedInstanceName')]",
            "location": "[parameters('location')]",
            "dependsOn": [
                "[parameters('virtualNetworkName')]"
            ],
            "sku": {
                "name": "[parameters('skuName')]"
            },
            "identity": {
                "type": "SystemAssigned"
            },
            "properties": {
                "subnetId": "[resourceId('Microsoft.Network/virtualNetworks/subnets', parameters('virtualNetworkName'), parameters('subnetName'))]",
                "storageSizeInGB": "[parameters('storageSizeInGB')]",
                "vCores": "[parameters('vCores')]",
                "licenseType": "[parameters('licenseType')]",
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}