Tutoriel : attribuer le rôle de lecteurs de répertoire à un groupe Microsoft Entra et gérer les attributions de rôles

Cet article vous guide dans la création d’un groupe dans Microsoft Entra ID (anciennement Azure Active Directory) et l’attribution à ce groupe du rôle Directory Readers. L’attribution de rôle permet aux propriétaires de groupes d’ajouter des identités gérées pour les ressources d’Azure Synapse Analytics au groupe. Cette approche évite d’exiger qu’un Administrateur de rôles privilégiés assigne directement le rôle Lecteurs d’annuaire à chaque identité.

Ce tutoriel utilise la fonctionnalité présentée dans Utiliser des groupes Microsoft Entra pour gérer les attributions de rôles.

Remarque

Les principaux de serveur Microsoft Entra sont actuellement en préversion pour Azure Synapse Analytics.

Au lieu du rôle Lecteurs de répertoire, vous pouvez attribuer des permissions Microsoft Graph de niveau inférieur pour suivre le principe du moindre privilège. Pour plus d’informations, voir Managed Identities in Microsoft Entra for Azure Synapse Analytics.

Prerequisites

Attribution des rôles des lecteurs d’annuaire en utilisant le portail Azure

Créer un groupe et affecter des propriétaires et un rôle

  1. Vous avez besoin d’un utilisateur avec les permissions Privileged Role Administrator pour cette configuration initiale.
  2. Faites en sorte que l’utilisateur privilégié se connecte au portail Azure.
  3. Accédez à la ressource Microsoft Entra ID. Sous Gérer, accédez à Groupes. Sélectionnez Nouveau groupe pour créer un groupe.
  4. Sélectionnez Sécurité comme type de groupe et renseignez le reste des champs. Assurez-vous que le paramètre Les rôles Microsoft Entra peuvent être attribués au groupe est défini sur Oui. Ensuite, affectez au groupe le rôle Microsoft Entra ID Lecteurs de répertoire.
  5. Affectez des utilisateurs Microsoft Entra comme propriétaires du groupe. Un propriétaire de groupe peut être un utilisateur régulier de Microsoft Entra sans rôle administratif. Le propriétaire doit être un utilisateur qui gère votre ressource Azure Synapse.
  6. Cliquez sur Créer.

Vérifie le groupe que tu as créé

Remarque

Assurez-vous que le type de groupe est Security. Azure Synapse SQL ne prend pas en charge les groupes Microsoft 365.

Pour vérifier et gérer le groupe que vous avez créé, retournez dans le panneau Groupes du portail Azure et cherchez le nom de votre groupe. Vous pouvez ajouter plus de propriétaires et de membres sous les menus Propriétaires et Membres des paramètres Gérer après avoir sélectionné votre groupe. Vous pouvez également consulter les Rôles affectés pour le groupe.

Ajouter une identité gérée par Azure Synapse au groupe

Pour les étapes suivantes, vous n’avez plus besoin de l’utilisateur Privileged Role Administrator.

  1. Connectez-vous au portail Azure en tant qu’utilisateur qui gère la ressource Azure Synapse et est propriétaire du groupe que vous avez créé.

  2. Trouvez l’identité gérée pour votre espace de travail Azure Synapse. Pour des informations sur les identités des espaces de travail, voir Identité de service géré pour Azure Synapse Analytics.

  3. Dans Microsoft Entra ID, sous Gérer, sélectionnez Applications d’entreprise. Recherchez l’identité gérée et notez son identifiant d’objet.

  4. Dans Microsoft Entra ID, sous Gérer, sélectionnez Groupes. Sélectionnez le groupe que vous avez créé, puis sélectionnez Membres>Ajouter des membres. Recherchez et ajoutez l’identité gérée Azure Synapse.

Remarque

Il peut falloir quelques minutes pour que les permissions se propagent et permettent l’accès à Microsoft Graph.

Remarks

Vous pouvez créer l’identité du serveur lors de la création du serveur logique ou après la création du serveur. Pour plus d’informations sur la création ou la définition de l’identité serveur dans Azure Synapse, voir Managed Identities for Azure Synapse Analytics.

Attribuer le rôle de lecteurs d'annuaire à l'identité du serveur n'est pas nécessaire pour Azure Synapse lors de la configuration d'un administrateur Microsoft Entra pour le serveur logique. Cependant, pour permettre la création d’objets Microsoft Entra dans Azure Synapse au nom d’une application Microsoft Entra, le rôle Directory Readers (ou les permissions de niveau inférieur discutées dans Managed identities in Microsoft Entra for Azure SQL) est nécessaire. Si vous n'attribuez pas le rôle à l'identité du serveur logique, la création d'utilisateurs Microsoft Entra échoue.

Attribution du rôle Lecteurs d’annuaires à l’aide de PowerShell

Important

Administrateur de rôles privilégiés doit exécuter ces premières étapes. En plus de PowerShell, Microsoft Entra ID offre l’API Microsoft Graph pour créer un groupe avec attribution de rôle dans Microsoft Entra ID.

  1. Téléchargez le module PowerShell Microsoft Graph en utilisant les commandes suivantes. Vous devrez peut-être exécuter PowerShell en tant qu’administrateur.

    Install-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Authentication
# To verify that the module is ready to use, run the following command:
Get-Module Microsoft.Graph.Authentication

  2. Connectez-vous à votre tenant Microsoft Entra.

    Connect-MgGraph

  3. Créez un groupe de sécurité pour affecter le rôle Lecteurs d’annuaires.

    • Vous pouvez changer DirectoryReaderGroup, Directory Reader Groupet DirRead en fonction de vos préférences.
    $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
$group

  4. Attribuez le rôle Directory Readers au groupe.

    # Displays the Directory Readers role information
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
$roleDefinition

    # Assigns the Directory Readers role to the group
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
$roleAssignment

  5. Attribuez des propriétaires au groupe.

    • Remplacez <username> par l’utilisateur qui doit posséder ce groupe. Ajoutez plusieurs propriétaires en répétant ces étapes.
    $newGroupOwner = Get-MgUser -UserId "<username>"
$newGroupOwner

    $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)"

    Vérifiez les propriétaires du groupe :

    Get-MgGroupOwner -GroupId $group.Id

    Vous pouvez également vérifier les propriétaires du groupe dans le portail Azure. Pour vérifier le groupe que vous avez créé, consultez Vérifier le groupe qui a été créé.

Affecter le principal de service comme membre du groupe

Pour les étapes suivantes, vous n’avez plus besoin de l’utilisateur Administrateur de rôle privilégié.

  1. En tant que propriétaire de groupe qui gère également la ressource Azure Synapse, exécutez la commande suivante pour vous connecter à Microsoft Entra ID.

    Connect-MgGraph

  2. Assignez le principal de service comme membre du groupe que vous avez créé.

    # Returns the service principal of your Azure SQL resource
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
$managedIdentity

    # Adds the service principal to the group
New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id

    La commande suivante retourne l’ID d’objet du principal de service indiquant que ce dernier a été ajouté au groupe :

    Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"

Contenu connexe

  • Dernière mise à jour :