Návod: Jak přiřadit roli Čtenáře adresáře ke skupině Microsoft Entra a spravovat přiřazení rolí

Tento článek vás provede vytvořením skupiny v Microsoft Entra ID (dříve Azure Active Directory) a přiřazením této skupiny role Directory Readers. Přiřazení rolí umožňuje vlastníkům skupin přidávat spravované identity pro zdroje Azure Synapse Analytics do skupiny. Tento přístup se vyhýbá nutnosti, aby Privileged Role Administrator přiřazoval roli Directory Readers přímo ke každé identitě.

V tomto kurzu se používá funkce představená v Používání skupin Microsoft Entra ke správě přiřazení rolí.

Poznámka:

Microsoft Entra server principals jsou momentálně v preview pro Azure Synapse Analytics.

Místo role Directory Readers můžete přiřadit nižší úroveň oprávnění Microsoft Graph podle principu nejmenších oprávnění. Pro více informací viz Managed identities in Microsoft Entra for Azure Synapse Analytics.

Prerequisites

Přiřazení rolí Directory Readers pomocí portálu Azure

Vytvoření nové skupiny a přiřazení vlastníků a rolí

  1. Pro toto počáteční nastavení potřebujete uživatele s oprávněními Privileged Role Administrator.
  2. Nechte privilegovaného uživatele přihlásit se do portálu Azure.
  3. Přejděte na prostředek Microsoft Entra ID. V části Spravovat přejděte do skupin. Vyberte Možnost Nová skupina a vytvořte novou skupinu.
  4. Jako typ skupiny vyberte Zabezpečení a vyplňte zbývající pole. Ujistěte se, že nastavení Microsoft Entra role lze přiřadit skupině je nastavené na Ano. Potom skupině přiřaďte roli čtenáře adresáře Microsoft Entra ID.
  5. Přiřaďte uživatele Microsoft Entra jako vlastníky skupiny. Vlastník skupiny může být běžným uživatelem Microsoft Entra bez administrátorské role. Vlastníkem by měl být uživatel, který spravuje váš Azure Synapse resource.
  6. Vyberte Vytvořit.

Zkontrolujte skupinu, kterou jste vytvořili

Poznámka:

Ujistěte se, že typ skupiny je Zabezpečení. Azure Synapse SQL nepodporuje Microsoft 365 groups.

Chcete-li zkontrolovat a spravovat vytvořenou skupinu, vraťte se do panelu Skupiny v Azure portálu a vyhledejte název své skupiny. Po výběru skupiny můžete přidat více vlastníků a členů v menu Vlastníci a členové v nastavení Správa . Můžete také zkontrolovat přiřazené role pro skupinu.

Přidejte spravovanou identitu Azure Synapse do skupiny

V následujících krocích již nepotřebujete uživatele Privileged Role Administrator.

  1. Přihlaste se do portálu Azure jako uživatel, který spravuje prostředek Azure Synapse a vlastní skupinu, kterou jste vytvořili.

  2. Najděte spravovanou identitu pro váš pracovní prostor Azure Synapse. Informace o identitách pracovního prostoru najdete v článku Managed service identity for Azure Synapse Analytics.

  3. V Microsoft Entra ID, v části Spravovat, vyberte Podnikové aplikace. Vyhledejte spravovanou identitu a zaznamenejte její Object ID.

  4. V Microsoft Entra ID, v části Správa, vyberte Skupiny. Vyberte skupinu, kterou jste vytvořili, a poté zvolte Členové>přidat členy. Vyhledejte a přidejte Azure Synapse managed identity.

Poznámka:

Může trvat několik minut, než se oprávnění rozšíří a umožní přístup k Microsoft Graph.

Remarks

Identitu serveru můžete vytvořit při tvorbě logického serveru nebo až po jeho vytvoření. Pro více informací o tom, jak vytvořit nebo nastavit identitu serveru v Azure Synapse, viz Managed identities for Azure Synapse Analytics.

Přiřazení role Directory Readers k identitě serveru není pro Azure Synapse vyžadováno při nastavování Microsoft Entra administrátora pro logický server. Nicméně pro umožnění tvorby objektů Microsoft Entra v Azure Synapse jménem aplikace Microsoft Entra je vyžadována role Directory Readers (nebo nižší úrovně oprávnění popsaná v Managed identities in Microsoft Entra for Azure SQL). Pokud roli nepřiřadíte identitě logického serveru, vytvoření uživatelů Microsoft Entra selže.

Přiřazení role čtenáři adresáře pomocí PowerShellu

Important

Administrátor privilegované role musí tyto počáteční kroky provést. Kromě PowerShellu nabízí Microsoft Entra ID rozhraní Microsoft Graph API k vytvoření skupiny, která se dá přiřadit role v Microsoft Entra ID.

  1. Stáhněte si modul Microsoft Graph PowerShell pomocí následujících příkazů. Možná budete muset spustit PowerShell jako správce.

    Install-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Authentication
# To verify that the module is ready to use, run the following command:
Get-Module Microsoft.Graph.Authentication

  2. Připojte se k tenantovi Microsoft Entra.

    Connect-MgGraph

  3. Vytvořte skupinu zabezpečení pro přiřazení role Čtenářů adresáře.

    • DirectoryReaderGroup, Directory Reader Groupa DirRead lze změnit podle vašich preferencí.
    $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
$group

  4. Přiřaďte skupině roli Directory Readers.

    # Displays the Directory Readers role information
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
$roleDefinition

    # Assigns the Directory Readers role to the group
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
$roleAssignment

  5. Přiřaďte vlastníky k skupině.

    • Nahraďte <username> uživatelem, kterého chcete jako vlastníka této skupiny. Přidejte několik majitelů opakováním těchto kroků.
    $newGroupOwner = Get-MgUser -UserId "<username>"
$newGroupOwner

    $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)"

    Zkontrolujte vlastníky skupiny:

    Get-MgGroupOwner -GroupId $group.Id

    Vlastníky skupiny můžete také ověřit na webu Azure Portal. Pro kontrolu vytvořené skupiny viz Kontrola vytvořené skupiny.

Přiřadit obslužný principál jako člena skupiny

Pro následující kroky již nepotřebujete uživatele Privileged Role Administrator.

  1. Jako vlastník skupiny, který zároveň spravuje prostředek Azure Synapse, spusťte následující příkaz pro připojení k Microsoft Entra ID.

    Connect-MgGraph

  2. Přiřaďte instanční objekt služby jako člena skupiny, kterou jste vytvořili.

    # Returns the service principal of your Azure SQL resource
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
$managedIdentity

    # Adds the service principal to the group
New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id

    Následující příkaz vrátí Object ID hlavního objektu služby, které označuje, že bylo přidáno do skupiny:

    Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"

Související obsah

  • Poslední aktualizace v