Tutorial: Asignar el rol de Lectores de directorio a un grupo de Microsoft Entra y gestionar las asignaciones de roles

Este artículo te guía para crear un grupo en Microsoft Entra ID (anteriormente Azure Active Directory) y asignar a ese grupo el rol de Directory Readers. La asignación de roles permite a los propietarios de grupos añadir identidades gestionadas para los recursos de Azure Synapse Analytics al grupo. Este enfoque evita requerir que un Administrador de Roles Privilegiados asigne directamente el rol de Lectores de Directorio a cada identidad.

En este tutorial se usa la característica que se presentó en Uso de grupos de Microsoft Entra para administrar asignaciones de roles.

Nota:

Las entidades de seguridad del servidor de Microsoft Entra están actualmente en vista previa para Azure Synapse Analytics.

En lugar del rol de Directory Readers, puedes asignar permisos de Microsoft Graph de nivel inferior para seguir el principio de menor privilegio. Para más información, consulta Identidades gestionadas en Microsoft Entra para Azure Synapse Analytics.

Prerequisites

Asignación de roles de Directory Readers utilizando el portal de Azure

Creación de un nuevo grupo y asignación de propietarios y roles

  1. Para esta configuración inicial necesitas un usuario con permisos de Privileged Role Administrator.
  2. Haz que el usuario privilegiado inicie sesión en el portal de Azure.
  3. Vaya al recurso Microsoft Entra ID. En Administrar, vaya a Grupos. Seleccione Nuevo grupo para crear un grupo.
  4. Seleccione Seguridad como el tipo de grupo y rellene el resto de los campos. Asegúrate de que la configuración de roles de Microsoft Entra que se pueden asignar al grupo esté establecida en Sí. A continuación, asigne el rol Lectores de directorio de Microsoft Entra ID al grupo.
  5. Asigna a los usuarios de Microsoft Entra como propietarios del grupo. Un propietario de grupo puede ser un usuario normal de Microsoft Entra sin un rol administrativo. El propietario debería ser un usuario que gestiona tu recurso de Azure Synapse.
  6. Selecciona Crear.

Revisa el grupo que has creado

Nota:

Asegúrate de que el tipo de grupo sea Seguridad. Azure Synapse SQL no soporta grupos de Microsoft 365.

Para comprobar y gestionar el grupo que creaste, vuelve al panel de Grupos en el portal de Azure y busca el nombre de tu grupo. Puedes añadir más propietarios y miembros en los menús Propietarios y Miembros de la configuración Gestionar después de seleccionar tu grupo. También puede revisar los roles asignados para el grupo.

Añadir una identidad gestionada por Azure Synapse al grupo

Para los siguientes pasos, ya no necesitas el usuario Privileged Role Administrator.

  1. Inicia sesión en el portal de Azure como usuario que gestiona el recurso de Azure Synapse y es propietario del grupo que has creado.

  2. Encuentra la identidad gestionada para tu espacio de trabajo en Azure Synapse. Para información sobre identidades de espacios de trabajo, consulte Identidad de servicio gestionado para Azure Synapse Analytics.

  3. En Microsoft Entra ID, en Gestionar, selecciona Aplicaciones empresariales. Busca la identidad gestionada y anota su ID de objeto.

  4. En Microsoft Entra ID, en Gestionar, selecciona Grupos. Selecciona el grupo que has creado y luego selecciona Miembros>Añadir miembros. Busca y añade la identidad gestionada de Azure Synapse.

Nota:

Puede tardar unos minutos en propagarse los permisos y permitir el acceso a Microsoft Graph.

Remarks

Puedes crear la identidad del servidor durante la creación del servidor lógico o después de que el servidor esté creado. Para más información sobre cómo crear o establecer la identidad del servidor en Azure Synapse, consulta Identidades gestionadas para Azure Synapse Analytics.

No es necesario asignar el rol de Directory Readers a la identidad del servidor para Azure Synapse al configurar un administrador de Microsoft Entra para el servidor lógico. Sin embargo, para habilitar la creación de objetos Microsoft Entra en Azure Synapse en nombre de una aplicación Microsoft Entra, se requiere el rol de Directory Readers (o permisos de nivel inferior discutidos en Managed Identities in Microsoft Entra for Azure SQL). Si no asignas el rol a la identidad del servidor lógico, crear usuarios de Microsoft Entra falla.

Asignación del rol de Lectores de Directorio mediante PowerShell

Importante

Un Administrador de Roles Privilegiados debe ejecutar estos pasos iniciales. Además de PowerShell, Microsoft Entra ID ofrece Microsoft Graph API para crear un grupo al que se puedan asignar roles en Microsoft Entra ID.

  1. Descarga el módulo PowerShell de Microsoft Graph usando los siguientes comandos. Es posible que tenga que ejecutar PowerShell como administrador.

    Install-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Authentication
# To verify that the module is ready to use, run the following command:
Get-Module Microsoft.Graph.Authentication

  2. Conéctese al inquilino de Microsoft Entra.

    Connect-MgGraph

  3. Cree un grupo de seguridad para asignar el rol Lectores de directorio.

    • DirectoryReaderGroup, Directory Reader Group y DirRead se pueden cambiar en función de sus preferencias.
    $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
$group

  4. Asigna el rol de Lectores del Directorio al grupo.

    # Displays the Directory Readers role information
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
$roleDefinition

    # Assigns the Directory Readers role to the group
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
$roleAssignment

  5. Asigne propietarios al grupo.

    • Reemplace <username> por el usuario que desee que posea este grupo. Añade varios propietarios repitiendo estos pasos.
    $newGroupOwner = Get-MgUser -UserId "<username>"
$newGroupOwner

    $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)"

    Compruebe los propietarios del grupo:

    Get-MgGroupOwner -GroupId $group.Id

    También puede comprobar los propietarios del grupo en Azure Portal. Para comprobar el grupo que creaste, consulta Comprobando el grupo que se creó.

Asignación de la entidad de servicio como miembro del grupo

Para los siguientes pasos, ya no necesitas el usuario Administrador de roles con privilegios.

  1. Como propietario de grupo que también gestiona el recurso de Azure Synapse, ejecuta el siguiente comando para conectarte a Microsoft Entra ID.

    Connect-MgGraph

  2. Asigna la entidad de servicio como miembro del grupo que has creado.

    # Returns the service principal of your Azure SQL resource
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
$managedIdentity

    # Adds the service principal to the group
New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id

    El siguiente comando devolverá el identificador de objeto de la entidad de servicio que indica que se ha agregado al grupo:

    Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"

Contenido relacionado

  • Se actualizó por última vez el