使用 Azure SQL 配置和管理 Microsoft Entra 身份验证

要在 Azure 门户中为逻辑服务器设置 Microsoft Entra 管理员，请执行以下步骤：

1. 在 Azure 门户“目录 + 订阅”窗格中，选择包含 Azure SQL 资源的目录作为“当前目录”。

2. 搜索“SQL 服务器”，然后选择数据库资源的逻辑服务器以打开“SQL Server”窗格。

   

3. 在逻辑服务器的“SQL Server”窗格中，选择“设置”下的“Microsoft Entra ID”，以打开“Microsoft Entra ID”窗格。

4. 在“Microsoft Entra ID”窗格中，选择“设置管理员”以打开“Microsoft Entra ID”窗格。

   

5. “Microsoft Entra ID”窗格显示当前目录中的所有用户、组和应用程序，并允许按名称、别名或 ID 进行搜索。 找到 Microsoft Entra 管理员所需的标识并选择该标识，然后单击“选择”关闭该窗格。

6. 在逻辑服务器的“Microsoft Entra ID”页面顶部，选择“保存”。

   

   对于 Microsoft Entra 用户和组，“对象 ID”显示在管理员名称旁。 对于应用程序（服务主体），将显示应用程序 ID。

更改管理员的过程可能需要几分钟时间。 然后，新管理员出现在“Microsoft Entra 管理员”字段中。

要删除管理员，请在“Microsoft Entra ID”页面顶部，选择“移除管理员”，然后选择“保存”。 移除 Microsoft Entra 管理员会禁用逻辑服务器的 Microsoft Entra 身份验证。

若要运行 PowerShell cmdlet，需要已安装并运行 Azure PowerShell。 有关详细信息，请参阅如何安装和配置 Azure PowerShell。

以下 Azure PowerShell cmdlet 可用于为 Azure SQL 数据库和 Azure Synapse Analytics 设置和管理 Microsoft Entra 管理员：

使用 PowerShell 命令 get-help 查看其中每个命令的详细信息。 例如，get-help Set-AzSqlServerActiveDirectoryAdministrator。

以下脚本为名为 Example-Resource-Group 的示例资源组中的示例服务器 example-server 设置名为 DBA_Group 的 Microsoft Entra 管理员组（示例对象 ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb）：

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
    DisplayName = "DBA_Group"
}

Set-AzSqlServerActiveDirectoryAdministrator @parameters

DisplayName 参数接受 Microsoft Entra ID 显示名称或用户主体名称，例如以下示例：DisplayName="Adrian King" 和 DisplayName="adrian@contoso.com"。 如果使用 Microsoft Entra 组，则仅支持显示名称。

以下示例使用可选的 ObjectID 参数：

$parameters = @{
  ResourceGroupName = "Example-Resource-Group"
  ServerName = "example-server"
  DisplayName = "DBA_Group"
  ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}
Set-AzSqlServerActiveDirectoryAdministrator @parameters

以下示例返回有关服务器的当前 Microsoft Entra 管理员的信息：

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Get-AzSqlServerActiveDirectoryAdministrator @parameters | Format-List

以下示例删除 Microsoft Entra 管理员：

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Remove-AzSqlServerActiveDirectoryAdministrator @parameters

可以使用以下 Azure CLI 命令为 Azure SQL 数据库 和 Azure Synapse Analytics 设置 Microsoft Entra 管理员：

有关更多 CLI 命令，请参阅 az sql server。

还可以使用服务器 Azure AD 管理员 REST API 创建、更新、删除和获取 Azure SQL 数据库 和 Azure Synapse Analytics 的 Microsoft Entra 管理员。

要使用 Azure 门户授予 SQL 托管实例 Microsoft Entra ID 的读取权限，请以“全局管理员”或“特权角色管理员”身份登录，然后执行以下步骤：

1. 在 Azure 门户中的右上角选择帐户，然后选择“切换目录”以确认哪个目录是当前目录。 如有必要，请切换目录。

   

2. 在 Azure 门户“目录 + 订阅”窗格中，选择包含托管实例的目录作为“当前目录”。

3. 搜索“SQL 托管实例”，然后选择托管实例 以打开“SQL 托管实例”窗格。 然后，在“设置”下选择“Microsoft Entra ID”，打开实例的“Microsoft Entra ID”窗格。

   

4. 在“Microsoft Entra 管理员”窗格中，从导航栏中选择“设置管理员”以打开“Microsoft Entra ID”窗格。

   

5. 在“Microsoft Entra ID”窗格中，搜索用户，选中要成为管理员的用户或组旁边的框，按下“选择”以关闭窗格，然后返回到托管实例的“Microsoft Entra 管理员”页面。

   “Microsoft Entra ID”窗格显示当前目录中的所有成员和组。 不能选择灰显的用户或组，因为其无法充当 Microsoft Entra 管理员。 选择要以管理员身份分配的标识。

6. 在托管实例的“Microsoft Entra 管理员”页面的导航栏中，选择“保存”以确认 Microsoft Entra 管理员。

   

   管理员更改操作完成后，新管理员将在 Microsoft Entra 管理员字段中显示。

   对于 Microsoft Entra 用户和组，“对象 ID”显示在管理员名称旁。 对于应用程序（服务主体），将显示应用程序 ID。

若要运行 PowerShell cmdlet，需要已安装并运行 Azure PowerShell。 有关详细信息，请参阅如何安装和配置 Azure PowerShell。

下表列出了可用于定义和管理托管实例 Microsoft Entra 管理员的 PowerShell cmdlet：

此示例命令获取名为“Sample-Instance”的托管实例（与名为“Example-Resource-Group”的资源组关联）的 Microsoft Entra 管理员相关信息。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
}

Get-AzSqlInstanceActiveDirectoryAdministrator @parameters

此示例命令将 Microsoft Entra 管理员设置为名为“Sample-Instance”的 SQL 托管实例名为 DBA 的组（包含示例对象 ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb）。 此服务器与资源组“Example-Resource-Group”相关联。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    DisplayName = "DBAs"
    ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}

Set-AzSqlInstanceActiveDirectoryAdministrator @parameters

此示例命令删除名为“Sample-Instance”的 SQL 托管实例（与资源组“Example-Resource-Group”关联）的 Microsoft Entra 管理员。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    Confirm = $true
    PassThru = $true
}

Remove-AzSqlInstanceActiveDirectoryAdministrator @parameters

可以通过调用以下 Azure CLI 命令来设置和管理 SQL 托管实例的 Microsoft Entra 管理员：

有关更多 CLI 命令，请参阅 az sql mi。

可以使用托管实例管理员 REST API 创建、更新、删除和获取 SQL 托管实例的 Microsoft Entra 管理员。

Azure 门户中 SQL 托管实例的“Microsoft Entra ID”页在实例未分配目录读取者权限时显示方便的横幅。

1. 选择“Microsoft Entra ID”页顶部的横幅，并向代表实例的系统分配或用户分配的托管标识授予权限。 只有租户中的全局管理员或特权角色管理员可以执行此操作。

   

2. 操作成功后，右上角会显示“成功”通知：

   

以下 PowerShell 脚本将标识添加到目录读取者角色。 这可用于为逻辑服务器（或任何 Microsoft Entra 标识）分配托管实例或主服务器标识的权限。

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Global Administrator** or **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

有关如何通过 Azure CLI 分配 Azure 角色的详细信息，请参阅此处使用 Azure CLI 分配 Azure 角色。

使用 REST API 分配 Azure 角色。