Tutorial: Zuweisen der Rolle „Verzeichnisleseberechtigte“ zu einer Microsoft Entra-Gruppe und Verwalten von Rollenzuweisungen

Dieser Artikel führt Sie dabei, eine Gruppe in Microsoft Entra ID (früher Azure Active Directory) zu erstellen und dieser Gruppe die Directory Readers-Rolle zuzuweisen. Die Rollenzuweisung ermöglicht es Gruppeneigentümern, verwaltete Identitäten für Azure Synapse Analytics-Ressourcen zur Gruppe hinzuzufügen. Dieser Ansatz vermeidet, dass ein Privileged Role Administrator die Rolle „Directory Readers“ direkt jeder Identität zuweisen muss.

Dieses Tutorial verwendet das Feature, das in Verwenden von Microsoft Entra-Gruppen zum Verwalten von Rollenzuweisungen eingeführt wurde.

Hinweis

Microsoft Entra Server Principals befinden sich derzeit in der Vorschauversion für Azure Synapse Analytics.

Anstelle der Rolle Verzeichnisleser können Sie Microsoft Graph-Berechtigungen mit geringeren Rechten zuweisen, um dem Prinzip der geringsten Rechte zu folgen. Weitere Informationen finden Sie unter Managed Identities in Microsoft Entra for Azure Synapse Analytics.

Prerequisites

Verzeichnisleser-Rollenzuweisung mithilfe des Azure-Portals

Erstellen einer neuen Gruppe und Zuweisen von Besitzern und Rolle

  1. Für diese anfängliche Einrichtung benötigen Sie einen Benutzer mit Privileged Role Administrator-Berechtigungen.
  2. Lassen Sie den privilegierten Nutzer sich im Azure-Portal anmelden.
  3. Gehen Sie zur Microsoft Entra ID-Ressource. Wechseln Sie unter "Verwalten" zu "Gruppen". Wählen Sie Neue Gruppe aus, um eine neue Gruppe zu erstellen.
  4. Wählen Sie als Gruppentyp die Option Sicherheit aus, und füllen Sie die restlichen Felder aus. Stellen Sie sicher, dass die Einstellung Microsoft Entra-Rollen der Gruppe zugewiesen werden kann auf Ja gesetzt ist. Weisen Sie der Gruppe als Nächstes die Microsoft Entra ID-Rolle Verzeichnisleseberechtigte zu.
  5. Weise Microsoft Entra-Nutzer als Eigentümer der Gruppe zu. Ein Gruppeninhaber kann ein regulärer Microsoft Entra-Nutzer ohne Verwaltungsfunktion sein. Der Besitzer sollte ein Benutzer sein, der deine Azure Synapse-Ressource verwaltet.
  6. Wählen Sie "Erstellen" aus.

Überprüfe die Gruppe, die du erstellt hast

Hinweis

Stellen Sie sicher, dass der Gruppentyp auf Security festgelegt ist. Azure Synapse SQL unterstützt keine Microsoft 365-Gruppen.

Um die von Ihnen erstellte Gruppe zu überprüfen und zu verwalten, kehren Sie im Azure-Portal zum Bereich Groups zurück und suchen Sie nach Ihrem Gruppennamen. Sie können nach der Auswahl Ihrer Gruppe im Menü „Besitzer“ und „Mitglieder“ der Einstellung „Verwalten“ weitere Besitzer und Mitglieder hinzufügen. Unter Zugewiesene Rollen können Sie außerdem die zugewiesenen Rollen der Gruppe überprüfen.

Fügen Sie der Gruppe eine verwaltete Azure Synapse-Identität hinzu

Für die folgenden Schritte benötigen Sie den Benutzer Privilegierter Rollen-Administrator nicht mehr.

  1. Melden Sie sich als Nutzer im Azure-Portal an, der die Azure Synapse-Ressource verwaltet und Eigentümer der von Ihnen erstellten Gruppe ist.

  2. Suchen Sie die verwaltete Identität für Ihren Azure Synapse-Arbeitsbereich. Für Informationen zu Workspace-Identitäten siehe Managed service identity for Azure Synapse Analytics.

  3. In Microsoft Entra ID wählen Sie unter Verwalten die Option Unternehmensanwendungen aus. Suchen Sie nach der verwalteten Identität und notieren Sie deren Objekt-ID.

  4. In Microsoft Entra ID wählen Sie unter Verwalten, Gruppen aus. Wählen Sie die Gruppe aus, die Sie erstellt haben, und wählen Sie dann Mitglieder>Mitglieder hinzufügen. Suche nach und füge die Azure Synapse verwaltete Identität hinzu.

Hinweis

Es kann ein paar Minuten dauern, bis die Berechtigungen weitergegeben werden und den Zugriff auf Microsoft Graph ermöglichen.

Bemerkungen

Man kann die Serveridentität während der Erstellung des logischen Servers oder nach der Erstellung des Servers erstellen. Für weitere Informationen darüber, wie man die Serveridentität in Azure Synapse erstellt oder festlegt, siehe Managed Identities for Azure Synapse Analytics.

Die Zuweisung der Verzeichnisleser-Rolle an die Serveridentität ist für Azure Synapse nicht erforderlich, wenn ein Microsoft Entra-Administrator für den logischen Server eingerichtet wird. Um jedoch die Erstellung von Microsoft Entra-Objekten in Azure Synapse im Auftrag einer Microsoft Entra-Anwendung zu ermöglichen, ist die Rolle Directory Readers (oder niedrigere Berechtigungen, die in Managed Identities in Microsoft Entra for Azure SQL besprochen werden) erforderlich. Wenn du die Rolle nicht der logischen Serveridentität zuweist, schlägt das Erstellen von Microsoft Entra-Benutzern fehl.

Zuweisen der Rolle „Verzeichnisleseberechtigte“ mithilfe von PowerShell

Important

Ein Administrator für privilegierte Rollen muss diese ersten Schritte ausführen. Neben PowerShell bietet Microsoft Entra ID die Microsoft Graph-API zum Erstellen einer Gruppe, der Rollen zugewiesen werden können, in Microsoft Entra ID.

  1. Laden Sie das Microsoft Graph PowerShell-Modul mit folgenden Befehlen herunter. Möglicherweise müssen Sie PowerShell als Administrator ausführen.

    Install-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Authentication
# To verify that the module is ready to use, run the following command:
Get-Module Microsoft.Graph.Authentication

  2. Stellen Sie eine Verbindung zu Ihrem Microsoft Entra-Mandanten her.

    Connect-MgGraph

  3. Erstellen Sie eine Sicherheitsgruppe, um die Rolle Verzeichnisleseberechtigte zuzuweisen.

    • DirectoryReaderGroup, Directory Reader Group und DirRead können nach Belieben geändert werden.
    $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
$group

  4. Weisen Sie der Gruppe die Rolle Directory Readers zu.

    # Displays the Directory Readers role information
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
$roleDefinition

    # Assigns the Directory Readers role to the group
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
$roleAssignment

  5. Weisen Sie der Gruppe Besitzende zu.

    • Ersetzen Sie <username> durch den Benutzer, der als Besitzer dieser Gruppe fungieren soll. Fügen Sie mehrere Besitzer hinzu, indem Sie diese Schritte wiederholen.
    $newGroupOwner = Get-MgUser -UserId "<username>"
$newGroupOwner

    $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)"

    Überprüfen Sie die Besitzenden der Gruppe:

    Get-MgGroupOwner -GroupId $group.Id

    Die Besitzer der Gruppe können auch im Azure-Portal überprüft werden. Um die von dir erstellte Gruppe zu überprüfen, siehe Kontrolle der erstellten Gruppe.

Weisen Sie den Service-Auftrag als Mitglied der Gruppe

Für die folgenden Schritte benötigen Sie den Benutzer Privilegierter Rollen-Administrator nicht mehr.

  1. Als Gruppeninhaber, der auch die Azure Synapse-Ressource verwaltet, führen Sie folgenden Befehl aus, um sich mit Microsoft Entra ID zu verbinden.

    Connect-MgGraph

  2. Weise den Service Principal als Mitglied der von dir erstellten Gruppe zu.

    # Returns the service principal of your Azure SQL resource
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
$managedIdentity

    # Adds the service principal to the group
New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id

    Der folgende Befehl gibt die Objekt-ID des Dienstprinzipals zurück, was bedeutet, dass er der Gruppe hinzugefügt wurde:

    Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"

Verwandte Inhalte

  • Zuletzt aktualisiert um