الدرس: تعيين دور قارئات الدليل لمجموعة Microsoft Entra وإدارة تعيينات الأدوار

ترشدك هذه المقالة خلال إنشاء مجموعة في Microsoft Entra ID (المعروف سابقا باسم Azure Active Directory) وتعيين دور قراء الدليل لتلك المجموعة. يسمح تعيين الأدوار لأصحاب المجموعات بإضافة هويات مدارة لموارد Azure Synapse Analytics إلى المجموعة. يتجنب هذا النهج ضرورة تعيين مسؤول الأدوار المميزة لدور قارئ الدليل مباشرة لكل هوية.

يستخدم هذا الدرس الميزة التي تم تقديمها في مجموعات استخدام Microsoft Entra لإدارة تعيينات الأدوار.

Note

مبادئ خوادم Microsoft Entra حاليا قيد المعاينة ل Azure Synapse Analytics.

بدلا من دور قارئ الدليل، يمكنك تعيين أذونات Microsoft Graph منخفضة المستوى لتتبع مبدأ أقل امتياز. لمزيد من المعلومات، انظر Managed identities in Microsoft Entra for Azure Synapse Analytics.

المتطلبات المسبقه

تعيين أدوار قراء الدليل باستخدام بوابة Azure

أنشئ مجموعة جديدة وعين المالكين والدور

  1. تحتاج إلى مستخدم لديه صلاحيات مسؤول الأدوار المميزة لهذا الإعداد الأولي.
  2. اجعل المستخدم المميز يسجل الدخول إلى بوابة Azure.
  3. اذهب إلى مورد Microsoft Entra ID. تحت المراقبة، انتقل إلى المجموعات. اختر مجموعة جديدة لإنشاء مجموعة جديدة.
  4. اختر Security كنوع مجموعة، واملأ بقية الحقول. تأكد من أن أدوار Microsoft Entra التي يمكن تعيينها للمجموعة تم تحويلها إلى Yes. ثم قم بتعيين دور قارئات دليل Microsoft Entra ID للمجموعة.
  5. تعيين مستخدمي Microsoft Entra كمالكين للمجموعة. يمكن لمالك المجموعة أن يكون مستخدما عاديا ل Microsoft Entra دون دور إداري. يجب أن يكون المالك مستخدما يدير مورد Azure Synapse الخاص بك.
  6. حدد إنشاء.

تحقق من المجموعة التي أنشأتها

Note

تأكد من أن نوع المجموعة هو الأمان. Azure Synapse SQL لا يدعم مجموعات Microsoft 365.

للتحقق من المجموعة التي أنشأتها وإدارتها، عد إلى لوحة المجموعات في بوابة Azure، وابحث عن اسم مجموعتك. يمكنك إضافة المزيد من الملاك والأعضاء ضمن قائمة المالكينوالأعضاء في إعداد الإدارة بعد اختيار مجموعتك. يمكنك أيضا مراجعة الأدوار المعينة للمجموعة.

Add an Azure Synapse managed identity إلى المجموعة

للخطوات التالية، لم تعد بحاجة إلى مستخدم مسؤول الدور المميز.

  1. سجل الدخول إلى بوابة Azure كمستخدم يدير مورد Azure Synapse ويملك المجموعة التي أنشأتها.

  2. Find the managed identity لمساحة Azure Synapse الخاصة بك. للحصول على معلومات حول هويات مساحة العمل، انظر Managed service identity for Azure Synapse Analytics.

  3. في Microsoft Entra ID، تحت إدارةالبرنامج، اختر تطبيقات المؤسسات. ابحث عن الهوية المدارة وسجل معرف الكائن الخاص بها.

  4. في Microsoft Entra ID، تحت إدارةالمجموعات. اختر المجموعة التي أنشأتها، ثم اختر إضافة الأعضاء للأعضاء>. Search for and add the Azure Synapse managed identity.

Note

قد يستغرق الأمر بضع دقائق حتى تنتشر الأذونات وتسمح بالوصول إلى Microsoft Graph.

Remarks

يمكنك إنشاء هوية الخادم أثناء إنشاء الخادم المنطقي أو بعد إنشاء الخادم. لمزيد من المعلومات حول كيفية إنشاء أو تعيين هوية الخادم في Azure Synapse، راجع Managed identities for Azure Synapse Analytics.

تعيين دور قارئ الدليل لهوية الخادم ليس ضروريا ل Azure Synapse عند إعداد مسؤول Microsoft Entra للخادم المنطقي. ومع ذلك، لتمكين إنشاء كائنات Microsoft Entra في Azure Synapse نيابة عن تطبيق Microsoft Entra، يلزم دور قارئ الدليل (أو الأذونات الأدنى التي تناقش في الهويات المدارة في Microsoft Entra for Azure SQL). إذا لم تقم بتعيين الدور لهوية الخادم المنطقية، فإن إنشاء مستخدمي Microsoft Entra سيفشل في ذلك.

تعيين أدوار قارئ الدليل باستخدام PowerShell

مهم

يحتاج مسؤول الأدوار المميزة إلى تنفيذ هذه الخطوات الأولية. بالإضافة إلى PowerShell، يقدم Microsoft Entra ID واجهة برمجة تطبيقات Microsoft Graph API لإنشاء مجموعة قابلة للتعيين بأدوار في Microsoft Entra ID.

  1. قم بتنزيل وحدة Microsoft Graph PowerShell باستخدام الأوامر التالية. قد تحتاج إلى تشغيل PowerShell كمسؤول.

    Install-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Authentication
# To verify that the module is ready to use, run the following command:
Get-Module Microsoft.Graph.Authentication

  2. اتصل بمستأجر Microsoft Entra الخاص بك.

    Connect-MgGraph

  3. أنشئ مجموعة أمان لتعيين دور قارئ الدليل .

    • DirectoryReaderGroup, Directory Reader Group, ويمكن DirRead تغييرها حسب تفضيلك.
    $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
$group

  4. تعيين دور قارئ الدليل للمجموعة.

    # Displays the Directory Readers role information
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
$roleDefinition

    # Assigns the Directory Readers role to the group
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
$roleAssignment

  5. تعيين مالكين للمجموعة.

    • استبدل <username> بالمستخدم الذي تريد أن يمتلك هذه المجموعة. أضف عدة ملاك بتكرار هذه الخطوات.
    $newGroupOwner = Get-MgUser -UserId "<username>"
$newGroupOwner

    $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)"

    تحقق من أصحاب المجموعة:

    Get-MgGroupOwner -GroupId $group.Id

    يمكنك أيضا التحقق من مالكي المجموعة من خلال بوابة Azure. للتحقق من المجموعة التي أنشأتها، راجع التحقق من المجموعة التي تم إنشاؤها.

تعيين مدير الخدمة كعضو في المجموعة

للخطوات التالية، لم تعد بحاجة إلى مستخدم مسؤول الدور المميز.

  1. بصفتك مالك مجموعة يدير أيضا مورد Azure Synapse، قم بتشغيل الأمر التالي للاتصال ب Microsoft Entra ID.

    Connect-MgGraph

  2. عين مدير الخدمة كعضو في المجموعة التي أنشأتها.

    # Returns the service principal of your Azure SQL resource
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
$managedIdentity

    # Adds the service principal to the group
New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id

    سيعيد الأمر التالي معرف الكائن الرئيسي للخدمة مما يشير إلى أنه تمت إضافته إلى المجموعة:

    Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"

المحتوى ذو الصلة

  • تاريخ آخر تحديث في