Имена входа и пользователи Microsoft Entra с неуникными отображаемыми именами (предварительная версия)

Применимо к: База данных SQL Azure Управляемый экземпляр SQL Azure

В этой статье описано, как использовать синтаксис T-SQL Object_ID для создания имен входа и пользователей Microsoft Entra с неуниками отображаемых имен в База данных SQL Azure и Управляемый экземпляр SQL Azure.

Обзор

Идентификатор Microsoft Entra поддерживает проверку подлинности для субъектов-служб. Однако использование субъекта-службы с отображаемым именем, которое не является уникальным в идентификаторе Microsoft Entra, приводит к ошибкам при создании имени входа или пользователя в SQL Azure.

Например, если приложение myapp не уникально, может возникнуть следующая ошибка:

Msg 33131, Level 16, State 1, Line 4 
Principal 'myapp' has a duplicate display name. Make the display name unique in Azure Active Directory and execute this statement again. 

При попытке выполнить следующую инструкцию T-SQL:

CREATE LOGIN [myapp] FROM EXTERNAL PROVIDER 

Расширение WITH OBJECT_ID

Ошибка повторяющегося отображаемого имени возникает из-за того, что идентификатор Microsoft Entra позволяет дублировать отображаемые имена для приложения Microsoft Entra (субъект-служба), а SQL Azure требует уникальных имен для создания имен входа и пользователей Microsoft Entra. Чтобы устранить эту проблему, инструкция языка определения данных (DDL) для создания имен входа и пользователей была расширена, чтобы включить идентификатор объекта ресурса Azure с предложением WITH OBJECT_ID .

T-SQL создает синтаксис входа и пользователя для неуниковых отображаемых имен

CREATE LOGIN [login_name] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = 'objectid'

CREATE USER [user_name] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = 'objectid'

С помощью расширения поддержки T-SQL DDL для создания имен входа или пользователей с идентификатором объекта можно избежать ошибки 33131 , а также указать псевдоним для входа или пользователя, созданного с идентификатором объекта. Например, в следующем примере будет создано имя входа myapp4466e с помощью идентификатора 4466e2f8-0fea-4c61-a470-xxxxxxxxxxxxобъекта приложения.

CREATE LOGIN [myapp4466e] FROM EXTERNAL PROVIDER 
  WITH OBJECT_ID = '4466e2f8-0fea-4c61-a470-xxxxxxxxxxxx' 

• Чтобы выполнить приведенный выше запрос, указанный идентификатор объекта должен существовать в клиенте Microsoft Entra, где находится ресурс SQL Azure. CREATE В противном случае команда завершится ошибкой с сообщением об ошибке:Msg 37545, Level 16, State 1, Line 1 '' is not a valid object id for '' or you do not have permission.
• Имя входа или пользователя должно содержать исходное имя субъекта-службы, расширенное определяемым пользователем суффиксом при использовании инструкции или CREATE USER инструкцииCREATE LOGIN. Как рекомендуется, суффикс может включать начальную часть своего идентификатора объекта. Например, myapp2ba6c для идентификатора 2ba6c0a3-cda4-4878-a5ca-xxxxxxxxxxxxобъекта. Однако можно также определить настраиваемый суффикс. Формирование суффикса из идентификатора объекта не требуется.

Это соглашение об именовании рекомендуется явно связать пользователя базы данных или войти обратно в объект в идентификаторе Microsoft Entra.

Определение пользователя, созданного для приложения

Для неуниковых субъектов-служб важно убедиться, что псевдоним Microsoft Entra привязан к правильному приложению. Чтобы убедиться, что пользователь был создан для правильного субъекта-службы (приложения):

1. Получите идентификатор приложения или идентификатор объекта группы Microsoft Entra от пользователя, созданного в База данных SQL. См. следующие запросы:

   • Чтобы получить идентификатор приложения субъекта-службы от созданного пользователя, выполните следующий запрос:

     SELECT CAST(sid as uniqueidentifier) ApplicationID, create_date FROM sys.server_principals WHERE NAME = 'myapp2ba6c' 
     

     Пример результата:

     

     Идентификатор приложения преобразуется из идентификатора безопасности для указанного имени входа или пользователя, который можно подтвердить, выполнив приведенный ниже запрос и сравнивая последние несколько цифр и даты создания:

     SELECT SID, create_date FROM sys.server_principals WHERE NAME = 'myapp2ba6c' 
     

     Пример результата:

     

   • Чтобы получить идентификатор объекта группы Microsoft Entra из созданного пользователя, выполните следующий запрос:

     SELECT CAST(sid as uniqueidentifier) ObjectID, createdate FROM sys.sysusers WHERE NAME = 'myappgroupd3451b' 
     

     Пример результата:

     

     Чтобы проверить идентификатор безопасности группы Microsoft Entra из созданного пользователя, выполните следующий запрос:

     SELECT SID, createdate FROM sys.sysusers WHERE NAME = 'myappgroupd3451b' 
     

     Пример результата:

     

   • Чтобы получить идентификатор объекта и идентификатор приложения с помощью PowerShell, выполните следующую команду:

     Get-AzADApplication -DisplayName "myapp2ba6c"
     

2. Перейдите к портал Azure, а в корпоративном приложении или ресурсе группы Microsoft Entra проверьте идентификатор приложения или идентификатор объекта соответственно. Просмотрите, соответствует ли он одному, полученному из приведенного выше запроса.

Поиск правильного идентификатора объекта

Сведения об идентификаторе объекта субъекта-службы см. в разделе "Объект субъекта-службы". Идентификатор объекта субъекта-службы, указанный рядом с именем приложения в портал Azure в корпоративных приложениях.

Связанный контент

• Субъекты сервера Microsoft Entra
• CREATE LOGIN (Transact-SQL)
• СОЗДАНИЕ ПОЛЬЗОВАТЕЛЯ (Transact-SQL)