使用 Azure SQL 設定和管理 Microsoft Entra 驗證

若要在 Azure 入口網站中為邏輯伺服器設定 Microsoft Entra 管理員，請遵循下列步驟：

1. 在 Azure 入口網站的 [目錄 + 訂用帳戶] 窗格中，選擇包含 Azure SQL 資源的目錄作為 [目前的目錄]。

2. 搜尋 [SQL 伺服器]，然後選取資料庫資源的邏輯伺服器，以開啟 [SQL 伺服器] 窗格。

   

3. 在邏輯伺服器的 [SQL 伺服器] 窗格中，選取 [設定] 底下的 [Microsoft Entra ID]，以開啟 [Microsoft Entra ID] 窗格。

4. 在 [Microsoft Entra ID] 窗格上，選取 [設定管理員] 以開啟 [Microsoft Entra ID] 窗格。

   

5. [Microsoft Entra ID] 窗格會顯示您目前的目錄中的所有使用者、群組和應用程式，並可讓您依名稱、別名或識別碼進行搜尋。 尋找 Microsoft Entra 管理員所需的身分識別，選取後按一下 [選取] 以關閉窗格。

6. 在邏輯伺服器的 [Microsoft Entra ID] 頁面頂端，選取 [儲存]。

   

   [物件識別碼] 顯示在 Microsoft Entra 使用者和群組的管理員名稱旁邊。 對於應用程式 (服務主體)，會顯示 [應用程式 ID]。

變更管理員的程序可能需要幾分鐘的時間。 然後，新的管理員會顯示在 [Microsoft Entra 管理員] 欄位。

若要移除管理員，請在 [Microsoft Entra ID] 頁面頂端選取 [移除管理員]，然後選取 [儲存]。 移除 Microsoft Entra 管理員會停用邏輯伺服器的 Microsoft Entra 驗證。

若要執行 PowerShell Cmdlet，Azure PowerShell 必須已安裝且正在執行中。 如需詳細資訊，請參閱如何安裝和設定 Azure PowerShell。

下列 Azure PowerShell Cmdlet 可用來設定和管理適用於 Azure SQL 資料庫和 Azure Synapse Analytics 的 Microsoft Entra 管理員：

使用 PowerShell 命令 get-help 來查看這其中每個命令的詳細資訊。 例如： get-help Set-AzSqlServerActiveDirectoryAdministrator 。

下列指令碼會在名為 Example-Resource-Group 的資源群組中，為範例伺服器 example-server 設定名為 DBA_Group (範例物件識別碼 aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) 的 Microsoft Entra 管理員群組：

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
    DisplayName = "DBA_Group"
}

Set-AzSqlServerActiveDirectoryAdministrator @parameters

DisplayName 輸入參數可接受 Microsoft Entra ID 顯示名稱或使用者主體名稱，例如下列範例：DisplayName="Adrian King" 和 DisplayName="adrian@contoso.com"。 如果您使用 Microsoft Entra 群組，則僅支援顯示名稱。

下列範例使用選用的 ObjectID 參數：

$parameters = @{
  ResourceGroupName = "Example-Resource-Group"
  ServerName = "example-server"
  DisplayName = "DBA_Group"
  ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}
Set-AzSqlServerActiveDirectoryAdministrator @parameters

下列範例傳回伺服器目前的 Microsoft Entra 管理員相關資訊：

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Get-AzSqlServerActiveDirectoryAdministrator @parameters | Format-List

下列範例將移除 Microsoft Entra 管理員：

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Remove-AzSqlServerActiveDirectoryAdministrator @parameters

您可以使用下列 Azure CLI 命令，為 Azure SQL 資料庫和 Azure Synapse Analytics 設定 Microsoft Entra 管理員：

如需更多的 CLI 命令，請參閱 az sql server。

您也可以使用伺服器 Azure AD 管理員 REST API 來建立、更新、刪除及取得 Azure SQL 資料庫和 Azure Synapse Analytics 的 Microsoft Entra 管理員。

若要使用 Azure 入口網站來為 SQL 受控執行個體授與 Microsoft Entra ID 讀取權限，請以全域系統管理員或特殊權限角色管理員的身分登入並遵循下列步驟：

1. 在 Azure 入口網站中，在右上角選取您的帳戶，然後選擇 [切換目錄] 以確認哪個目錄是您目前的目錄。 視需要切換目錄。

   

2. 在 Azure 入口網站的 [目錄 + 訂用帳戶] 窗格中，選擇包含受控執行個體的目錄作為 [目前的目錄]。

3. 搜尋 [SQL 受控執行個體]，然後選取您的受控執行個體以開啟 [SQL 受控執行個體] 窗格。 然後，選取 [設定] 底下的 [Microsoft Entra ID]，以開啟執行個體的 [Microsoft Entra ID] 窗格。

   

4. 在 [Microsoft Entra 管理員] 窗格上，從導覽列選取 [設定管理員] 以開啟 [Microsoft Entra ID] 窗格。

   

5. 在 [Microsoft Entra ID] 窗格中，搜尋使用者，核取使用者或群組旁邊的方塊，讓其成為管理員，按 [選取] 關閉窗格，然後返回受控執行個體的 [Microsoft Entra 管理員] 頁面。

   [Microsoft Entra ID] 窗格會顯示您目前目錄中的所有成員和群組。 呈現灰色的使用者或群組無法選取，因為他們不受支援成為 Microsoft Entra 管理員。 選取您想要以管理員身分指派的身分識別。

6. 從受控執行個體的 [Microsoft Entra 管理員] 頁面導覽列中，選取 [儲存] 以確認您的 Microsoft Entra 管理員。

   

   管理員變更作業完成後，新的管理員會出現在 [Microsoft Entra 管理員] 欄位中。

   [物件識別碼] 顯示在 Microsoft Entra 使用者和群組的管理員名稱旁邊。 對於應用程式 (服務主體)，會顯示 [應用程式 ID]。

若要執行 PowerShell Cmdlet，Azure PowerShell 必須已安裝且正在執行中。 如需詳細資訊，請參閱如何安裝和設定 Azure PowerShell。

下表列出了可用來定義和管理受控執行個體的 Microsoft Entra 管理員的 PowerShell Cmdlet：

下列範例命令會針對名為「Sample-Instance」的受控執行個體取得 Microsoft Entra 管理員的相關資訊，此執行個體與名為「Example-Resource-Group」的資源群組相關聯。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
}

Get-AzSqlInstanceActiveDirectoryAdministrator @parameters

此範例命令會針對名爲「Sample-Instance」的 SQL 受控執行個體，將 Microsoft Entra 管理員設定為名爲 DBA 的群組 (具有範例物件識別碼 aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb)。 此伺服器與資源群組「Example-Resource-Group」相關聯。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    DisplayName = "DBAs"
    ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}

Set-AzSqlInstanceActiveDirectoryAdministrator @parameters

此範例會針對名為「Sample-Instance」的 SQL 受控執行個體移除 Microsoft Entra 管理員，此執行個體與資源群組「Example-Resource-Group」相關聯。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    Confirm = $true
    PassThru = $true
}

Remove-AzSqlInstanceActiveDirectoryAdministrator @parameters

您也可以透過呼叫下列 Azure CLI 命令，針對 SQL 受控執行個體設定和管理 Microsoft Entra 管理員：

如需有關 CLI 命令的詳細資訊，請參閱 az sql mi。

您可以使用受控執行個體管理員 REST API 來建立、更新、刪除及取得 SQL 受控執行個體的 Microsoft Entra 管理員。

執行個體未被指派目錄讀取者權限時，在 Azure 入口網站中，SQL 受控執行個體的 [Microsoft Entra ID] 頁面會顯示一個方便的橫幅。

1. 選取 [Microsoft Entra ID] 頁面頂端的橫幅，並向系統指派或使用者指派的代表執行個體的受控識別授與權限。 只能由租用戶中的全域系統管理員或特殊權限角色管理員執行此作業。

   

2. 作業成功時，右上角會顯示成功通知：

   

下列 PowerShell 指令會將身分識別新增至目錄讀取者角色。 這可用來將權限指派給邏輯伺服器的受控執行個體或主要伺服器身分識別 (或任何 Microsoft Entra 身分識別)。

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Global Administrator** or **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

如需如何透過 Azure CLI 指派 Azure 角色的詳細資訊，請參閱使用 Azure CLI 指派 Azure 角色。

使用 REST API 指派 Azure 角色。