Azure SQL ile Microsoft Entra kimlik doğrulamasını yapılandırma ve yönetme

Azure portalında mantıksal sunucunuzun Microsoft Entra yöneticisini ayarlamak için şu adımları izleyin:

1. Azure portalı Dizinleri + abonelikler bölmesinde Geçerli dizin olarak Azure SQL kaynağınızı içeren dizini seçin.

2. SQL sunucularını arayın ve veritabanı kaynağınızın mantıksal sunucusunu seçerek SQL server bölmesini açın.

   

3. Mantıksal sunucunuzun SQL sunucusu bölmesinde, Ayarlar'ın altında Microsoft Entra Id'yi seçerek Microsoft Entra Id bölmesini açın.

4. Microsoft Entra Id bölmesinde Yöneticiyi ayarla'yı seçerek Microsoft Entra Id bölmesini açın.

   

5. Microsoft Entra Id bölmesi geçerli dizininizdeki tüm kullanıcıları, grupları ve uygulamaları gösterir ve ad, diğer ad veya kimliğe göre arama yapmanıza olanak tanır. Microsoft Entra yöneticiniz için istediğiniz kimliği bulun ve seçin, ardından seç'e tıklayarak bölmeyi kapatın.

6. Mantıksal sunucunuzun Microsoft Entra Id sayfasının üst kısmında Kaydet'i seçin.

   

   Nesne Kimliği, Microsoft Entra kullanıcıları ve grupları için yönetici adının yanında görüntülenir. Uygulamalar (hizmet sorumluları) için Uygulama Kimliği görüntülenir.

Yöneticiyi değiştirme işlemi birkaç dakika sürebilir. Ardından yeni yönetici Microsoft Entra yönetici alanında görünür.

Yöneticiyi kaldırmak için Microsoft Entra ID sayfasının üst kısmında Yöneticiyi kaldır'ı ve ardından Kaydet'i seçin. Microsoft Entra yöneticisinin kaldırılması, mantıksal sunucunuz için Microsoft Entra kimlik doğrulamasını devre dışı bırakır.

PowerShell cmdlet'lerini çalıştırmak için Azure PowerShell'in yüklü ve çalışır durumda olması gerekir. Ayrıntılı bilgi için bkz. Azure PowerShell'i yükleme ve yapılandırma.

Aşağıdaki Azure PowerShell cmdlet'leri, Azure SQL Veritabanı ve Azure Synapse Analytics için Bir Microsoft Entra yöneticisi ayarlamak ve yönetmek için kullanılabilir:

Bu komutların her biri için daha fazla bilgi görmek için PowerShell komutu get-help komutunu kullanın. Örneğin, get-help Set-AzSqlServerActiveDirectoryAdministrator.

Aşağıdaki betik, Example-Resource-Group adlı örnek kaynak grubundaki örnek sunucu example-server için DBA_Group (örnek nesne kimliğiaaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) adlı bir Microsoft Entra yönetici grubu ayarlar:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
    DisplayName = "DBA_Group"
}

Set-AzSqlServerActiveDirectoryAdministrator @parameters

DisplayName parametresi, aşağıdaki örnekler gibi Microsoft Entra Id görünen adını veya Kullanıcı Asıl Adı'nı kabul eder: DisplayName="Adrian King" ve DisplayName="adrian@contoso.com". Microsoft Entra grubu kullanıyorsanız yalnızca görünen ad desteklenir.

Aşağıdaki örnekte isteğe bağlı ObjectID parametresi kullanılır:

$parameters = @{
  ResourceGroupName = "Example-Resource-Group"
  ServerName = "example-server"
  DisplayName = "DBA_Group"
  ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}
Set-AzSqlServerActiveDirectoryAdministrator @parameters

Aşağıdaki örnek, sunucu için geçerli Microsoft Entra yöneticisi hakkında bilgi döndürür:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Get-AzSqlServerActiveDirectoryAdministrator @parameters | Format-List

Aşağıdaki örnek bir Microsoft Entra yöneticisini kaldırır:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Remove-AzSqlServerActiveDirectoryAdministrator @parameters

aşağıdaki Azure CLI komutlarıyla Azure SQL Veritabanı ve Azure Synapse Analytics için bir Microsoft Entra yöneticisi ayarlayabilirsiniz:

Daha fazla CLI komutu için bkz . az sql server.

Azure SQL Veritabanı ve Azure Synapse Analytics için Microsoft Entra yöneticisini oluşturmak, güncelleştirmek, silmek ve almak için Sunucu Azure AD Yöneticisi REST API'lerini de kullanabilirsiniz.

Azure portalını kullanarak SQL yönetilen örneğinize Microsoft Entra ID'ye okuma izinleri vermek için Genel Yönetici veya Ayrıcalıklı Rol Yöneticisi olarak oturum açın ve şu adımları izleyin:

1. Azure portalında, sağ üst köşedeki hesabınızı seçin ve ardından Geçerli dizininizin hangi dizin olduğunu onaylamak için Dizinleri değiştir'i seçin. Gerekirse dizinleri değiştirin.

   

2. Azure portalı Dizinleri + abonelikler bölmesinde, yönetilen örneğinizi geçerli dizin olarak içeren dizini seçin.'''

3. SQL yönetilen örneklerini arayın ve ardından yönetilen örneğinizi seçerek SQL yönetilen örneği bölmesini açın. Ardından, Örneğiniz için Microsoft Entra Id bölmesini açmak için Ayarlar'ın altında Microsoft Entra Id'yi seçin.

   

4. Microsoft Entra yönetici bölmesinde, Gezinti çubuğundan Yöneticiyi ayarla'yı seçerek Microsoft Entra Id bölmesini açın.

   

5. Microsoft Entra Id bölmesinde bir kullanıcı arayın, yönetici olmak için kullanıcı veya grubun yanındaki kutuyu işaretleyin ve ardından Seç tuşuna basarak bölmeyi kapatın ve yönetilen örneğinizin Microsoft Entra yönetici sayfasına geri dönün.

   Microsoft Entra Id bölmesi, geçerli dizininizdeki tüm üyeleri ve grupları gösterir. Gri renkteki kullanıcılar veya gruplar Microsoft Entra yöneticileri olarak desteklenmediğinden seçilemiyor. Yönetici olarak atamak istediğiniz kimliği seçin.

6. Yönetilen örneğinizin Microsoft Entra yönetici sayfasının gezinti çubuğundan Kaydet'i seçerek Microsoft Entra yöneticinizi onaylayın.

   

   Yönetici değiştirme işlemi tamamlandıktan sonra, yeni yönetici Microsoft Entra yönetici alanında görünür.

   Nesne Kimliği, Microsoft Entra kullanıcıları ve grupları için yönetici adının yanında görüntülenir. Uygulamalar (hizmet sorumluları) için Uygulama Kimliği görüntülenir.

PowerShell cmdlet'lerini çalıştırmak için Azure PowerShell'in yüklü ve çalışır durumda olması gerekir. Ayrıntılı bilgi için bkz. Azure PowerShell'i yükleme ve yapılandırma.

Aşağıdaki tabloda, yönetilen örnekler için Microsoft Entra yöneticisini tanımlamak ve yönetmek için kullanabileceğiniz PowerShell cmdlet'leri listelenir:

Bu örnek komut, "Example-Resource-Group" adlı bir kaynak grubuyla ilişkilendirilmiş "Sample-Instance" adlı yönetilen örneğin Microsoft Entra yöneticisi hakkında bilgi alır.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
}

Get-AzSqlInstanceActiveDirectoryAdministrator @parameters

Bu örnek komut, Microsoft Entra yöneticisini "Sample-Instance" adlı SQL Yönetilen Örneği için DBAs (örnek nesne kimliğiyleaaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) adlı bir gruba ayarlar. Bu sunucu "Example-Resource-Group" kaynak grubuyla ilişkilidir.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    DisplayName = "DBAs"
    ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}

Set-AzSqlInstanceActiveDirectoryAdministrator @parameters

Bu örnek komut, "Example-Resource-Group" kaynak grubuyla ilişkilendirilmiş "Sample-Instance" adlı SQL Yönetilen Örneği için Microsoft Entra yöneticisini kaldırır.

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    Confirm = $true
    PassThru = $true
}

Remove-AzSqlInstanceActiveDirectoryAdministrator @parameters

Aşağıdaki Azure CLI komutlarını çağırarak SQL Yönetilen Örneği için bir Microsoft Entra yöneticisi ayarlayabilir ve yönetebilirsiniz:

Daha fazla CLI komutu için bkz . az sql mi.

SQL yönetilen örnekleri için Microsoft Entra yöneticisini oluşturmak, güncelleştirmek, silmek ve almak için Yönetilen Örnek Yöneticileri REST API'lerini kullanabilirsiniz.

Azure portalındaki SQL Yönetilen Örneği için Microsoft Entra Id sayfası, örneğe Dizin Okuyucusu izinleri atanmadığında kullanışlı bir başlık görüntüler.

1. Microsoft Entra Id sayfasının üst kısmındaki başlığı seçin ve örneğinizi temsil eden sistem tarafından atanan veya kullanıcı tarafından atanan yönetilen kimliğe izin verin. Bu işlemi yalnızca kiracınızdaki bir Genel Yönetici veya Ayrıcalıklı Rol Yöneticisi gerçekleştirebilir.

   

2. İşlem başarılı olduğunda sağ üst köşede bir Başarı bildirimi gösterilir:

   

Aşağıdaki PowerShell betiği, Dizin Okuyucuları rolüne bir kimlik ekler. Bu, mantıksal sunucu (veya herhangi bir Microsoft Entra kimliği) için yönetilen örneğe veya birincil sunucu kimliğine izin atamak için kullanılabilir.

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Global Administrator** or **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

Azure CLI aracılığıyla Azure rolleri atama hakkında ayrıntılı bilgi için bkz . Azure CLI kullanarak Azure rolleri atama.

REST API kullanarak Azure rolleri atama.