Konfigurera och hantera Microsoft Entra-autentisering med Azure SQL

Följ dessa steg för att ange Microsoft Entra-administratören för din logiska server i Azure-portalen:

1. I fönstret Kataloger + prenumerationer i Azure-portalen väljer du den katalog som innehåller din Azure SQL-resurs som aktuell katalog.

2. Sök efter SQL-servrar och välj sedan den logiska servern för databasresursen för att öppna FÖNSTRET SQL-server .

   

3. I fönstret SQL Server för den logiska servern väljer du Microsoft Entra-ID under Inställningar för att öppna fönstret Microsoft Entra-ID .

4. I fönstret Microsoft Entra-ID väljer du Ange administratör för att öppna fönstret Microsoft Entra-ID .

   

5. Fönstret Microsoft Entra-ID visar alla användare, grupper och program i din aktuella katalog och gör att du kan söka efter namn, alias eller ID. Leta rätt på din önskade identitet för Microsoft Entra-administratören och välj den och välj sedan Välj för att stänga fönstret.

6. Längst upp på sidan Microsoft Entra-ID för den logiska servern väljer du Spara.

   

   Objekt-ID visas bredvid administratörsnamnet för Microsoft Entra-användare och -grupper. Program-ID:t visas för program (tjänstens huvudnamn).

Det kan ta flera minuter att ändra administratören. Sedan visas den nya administratören i administrationsfältet Microsoft Entra .

Om du vill ta bort administratören väljer du Ta bort administratör överst på sidan Microsoft Entra-ID och sedan Spara. Om du tar bort Microsoft Entra-administratören inaktiveras Microsoft Entra-autentisering för din logiska server.

Om du vill köra PowerShell-cmdletar måste du ha Azure PowerShell installerat och igång. Mer information finns i Installera och konfigurera Azure PowerShell .

Följande Azure PowerShell-cmdletar kan användas för att ange och hantera en Microsoft Entra-administratör för Azure SQL Database och Azure Synapse Analytics:

Använd PowerShell-kommandot get-help för att se mer information om vart och ett av dessa kommandon. Till exempel get-help Set-AzSqlServerActiveDirectoryAdministrator.

Följande skript anger en Microsoft Entra-administratörsgrupp med namnet DBA_Group (exempelobjekt-ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) för exempelservern example-server i en exempelresursgrupp med namnet Example-Resource-Group:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
    DisplayName = "DBA_Group"
}

Set-AzSqlServerActiveDirectoryAdministrator @parameters

Parametern DisplayName accepterar antingen Visningsnamnet för Microsoft Entra-ID eller användarens huvudnamn, till exempel följande exempel: DisplayName="Adrian King" och DisplayName="adrian@contoso.com". Om du använder en Microsoft Entra-grupp stöds endast visningsnamnet.

I följande exempel används den valfria ObjectID-parametern :

$parameters = @{
  ResourceGroupName = "Example-Resource-Group"
  ServerName = "example-server"
  DisplayName = "DBA_Group"
  ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}
Set-AzSqlServerActiveDirectoryAdministrator @parameters

I följande exempel returneras information om den aktuella Microsoft Entra-administratören för servern:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Get-AzSqlServerActiveDirectoryAdministrator @parameters | Format-List

Följande exempel tar bort en Microsoft Entra-administratör:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Remove-AzSqlServerActiveDirectoryAdministrator @parameters

Du kan ange en Microsoft Entra-administratör för Azure SQL Database och Azure Synapse Analytics med följande Azure CLI-kommandon:

Fler CLI-kommandon finns i az sql server.

Du kan också använda REST API:er för Server Azure AD-administratör för att skapa, uppdatera, ta bort och hämta Microsoft Entra-administratören för Azure SQL Database och Azure Synapse Analytics.

Om du vill ge sql-hanterad instans läsbehörighet till Microsoft Entra-ID med hjälp av Azure-portalen loggar du in som privilegierad rolladministratör och följer dessa steg:

1. Välj ditt konto i det övre högra hörnet i Azure-portalen och välj sedan Växla kataloger för att bekräfta vilken katalog som är din aktuella katalog. Byt kataloger om det behövs.

   

2. I fönstret Kataloger + prenumerationer i Azure-portalen väljer du den katalog som innehåller den hanterade instansen som aktuell katalog.'''

3. Sök efter SQL-hanterade instanser och välj sedan den hanterade instansen för att öppna fönstret SQL-hanterad instans . Välj sedan Microsoft Entra-ID under Inställningar för att öppna fönstret Microsoft Entra-ID för din instans.

   

4. I fönstret Microsoft Entra-administratör väljer du Ange administratör i navigeringsfältet för att öppna fönstret Microsoft Entra-ID .

   

5. I fönstret Microsoft Entra-ID söker du efter en användare, markerar kryssrutan bredvid den användare eller grupp som ska vara administratör och trycker sedan på Välj för att stänga fönstret och gå tillbaka till administratörssidan för Microsoft Entra för din hanterade instans.

   Fönstret Microsoft Entra-ID visar alla medlemmar och grupper i din aktuella katalog. Nedtonade användare eller grupper kan inte väljas eftersom de inte stöds som Microsoft Entra-administratörer. Välj den identitet som du vill tilldela som administratör.

6. I navigeringsfältet på administratörssidan för Microsoft Entra för din hanterade instans väljer du Spara för att bekräfta Microsoft Entra-administratören.

   

   När administratörsändringen har slutförts visas den nya administratören i administrationsfältet Microsoft Entra.

   Objekt-ID visas bredvid administratörsnamnet för Microsoft Entra-användare och -grupper. Program-ID:t visas för program (tjänstens huvudnamn).

Om du vill köra PowerShell-cmdletar måste du ha Azure PowerShell installerat och igång. Mer information finns i Installera och konfigurera Azure PowerShell .

I följande tabell visas de PowerShell-cmdletar som du kan använda för att definiera och hantera Microsoft Entra-administratören för hanterade instanser:

Det här exempelkommandot hämtar information om en Microsoft Entra-administratör för en hanterad instans med namnet "Sample-Instance" som är associerad med en resursgrupp med namnet "Example-Resource-Group".

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
}

Get-AzSqlInstanceActiveDirectoryAdministrator @parameters

Det här exempelkommandot anger Microsoft Entra-administratören till en grupp med namnet DBAs (med exempelobjekt-ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) för SQL Managed Instance med namnet "Sample-Instance". Den här servern är associerad med resursgruppen "Example-Resource-Group".

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    DisplayName = "DBAs"
    ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}

Set-AzSqlInstanceActiveDirectoryAdministrator @parameters

Det här exempelkommandot tar bort Microsoft Entra-administratören för SQL Managed Instance med namnet "Sample-Instance" som är associerad med resursgruppen "Example-Resource-Group".

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    Confirm = $true
    PassThru = $true
}

Remove-AzSqlInstanceActiveDirectoryAdministrator @parameters

Du kan ange och hantera en Microsoft Entra-administratör för SQL Managed Instance genom att anropa följande Azure CLI-kommandon:

Fler CLI-kommandon finns i az sql mi.

Du kan använda REST API:er för administratörer för hanterade instanser för att skapa, uppdatera, ta bort och hämta Microsoft Entra-administratören för SQL-hanterade instanser.

Sidan Microsoft Entra-ID för SQL Managed Instance i Azure-portalen visar en praktisk banderoll när instansen inte har tilldelats behörigheterna katalogläsare.

1. Välj banderollen ovanpå Microsoft Entra-ID-sidan och ge behörighet till den systemtilldelade eller användartilldelade hanterade identiteten som representerar din instans. Endast en privilegierad rolladministratör eller en högre roll i klientorganisationen kan utföra den här åtgärden.

   

2. När åtgärden lyckas visas ett meddelande om lyckat resultat i det övre högra hörnet:

   

Följande PowerShell-skript lägger till en identitet i rollen Katalogläsare. Detta kan användas för att tilldela behörigheter till en hanterad instans eller primär serveridentitet för den logiska servern (eller någon Microsoft Entra-identitet).

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

Se information om hur du tilldelar Azure-roller via Azure CLI här Tilldela Azure-roller med Hjälp av Azure CLI.

Tilldela Azure-roller med hjälp av REST-API:et.