Oktatóanyag: Címtárolvasói szerepkör hozzárendelése egy Microsoft Entra-csoporthoz és szerepkör-hozzárendelések kezelése

Ez a cikk bemutatja, hogyan hozhat létre egy csoportot a Microsoft Entra ID-ben (korábban Azure Active Directory), és hogyan rendelheti hozzá ehhez a csoporthoz a Directory Readers szerepkört. A szerep kiosztás lehetővé teszi a csoport tulajdonosai számára, hogy Azure Synapse Analytics erőforrásainak menedzselt identitásait adják hozzá a csoporthoz. Ez a megközelítés elkerüli, hogy a Privilegged Role Administrator közvetlenül minden identitáshoz rendelje a Directory Readers szerepet.

Ez az oktatóanyag a Microsoft Entra-csoportokban bevezetett funkciót használja a szerepkör-hozzárendelések kezeléséhez.

Note

A Microsoft Entra serverprincipálok jelenleg előzetes verzióban érhetők el az Azure Synapse Analyticsben.

A Directory Readers szerep helyett alacsonyabb szintű Microsoft Graph jogosultságokat rendelhetsz a legkisebb jogosultság elvének követésére. További információért lásd: Managed identities in Microsoft Entra for Azure Synapse Analytics.

Prerequisites

Directory Readers szerepkiosztása az Azure portál használatával

Új csoport létrehozása és tulajdonosok és szerepkör hozzárendelése

  1. Ehhez a kezdeti beállításhoz Privileged Role Administrator jogosultságokra van szükséged.
  2. Jelentkezzen be a jogosult felhasználóval a Azure portálra.
  3. Nyissa meg a Microsoft Entra ID erőforrást . A Kezelés csoportban válassza a Csoportok lehetőséget. Új csoport létrehozásához válassza az Új csoport lehetőséget.
  4. Csoporttípusként válassza a Biztonság lehetőséget, és töltse ki a többi mezőt. Győződj meg róla, hogy a Microsoft Entra-szerepkörök hozzárendelhetők a csoporthoz beállítás Igen értékre legyen állítva. Ezután rendelje hozzá a Microsoft Entra ID Directory olvasói szerepkört a csoporthoz.
  5. Rendelje hozzá a Microsoft Entra-felhasználókat a csoport tulajdonosaiként. Egy csoporttulajdonos lehet normál Microsoft Entra-felhasználó adminisztratív szerepkör nélkül. A tulajdonosnak olyan felhasználónak kell lennie, aki kezeli az Azure Synapse erőforrásodat.
  6. Válassza a Create gombot.

Nézd meg a létrehozott csoportot

Note

Győződj meg róla, hogy a csoporttípusBiztonság legyen. Azure Synapse SQL nem támogatja a Microsoft 365 csoportokat.

A létrehozott csoport ellenőrzéséhez és kezeléséhez térj vissza az Azure portál Csoportok paneljére, és keresd meg a csoportod nevét. A Kezelés beállítás Tulajdonosok és Tagok menüjében további tulajdonosokat és tagokat adhatsz hozzá, miután kiválasztottad a csoportodat. A csoporthoz tartozó hozzárendelt szerepköröket is áttekintheti.

Adjon hozzá egy Azure Synapse felügyelt identitást a csoporthoz

A következő lépésekhez már nincs szükséged a Privileged Role Administrator felhasználóra.

  1. Jelentkezzen be az Azure portálra olyan felhasználóként, aki kezeli az Azure Synapse-erőforrást, és birtokolja az Ön által létrehozott csoportot.

  2. Keresse meg az Azure Synapse munkaterületének menedzselt identitását. A munkaterület-identitásokkal kapcsolatos információkért lásd: Felügyelt szolgáltatásidentitás az Azure Synapse Analyticshez.

  3. A Microsoft Entra ID-ben, a Manage területen válaszd ki a Enterprise applications elemet. Keresd meg a kezelt identitást, és jegyezd meg az objektumazonosítóját.

  4. Microsoft Entra ID-ben, a Kezelés területen válaszd a Csoportok lehetőséget. Válaszd ki a létrehozott csoportot, majd válaszd a Tagok>Tagok hozzáadása. Keresd meg és add hozzá az Azure Synapse managed identity-t.

Note

Néhány percbe telhet, mire a jogosultságok terjednek és lehetővé teszik a hozzáférést a Microsoft Graph-hoz.

Remarks

A szerverazonosítót logikai szerver létrehozása közben vagy a szerver létrehozása után is létrehozhatod. További információért a szerveridentitás létrehozásáról vagy beállításáról Azure Synapse-ban lásd: Managed identities for Azure Synapse Analytics.

Az Azure Synapse számára nem szükséges a Directory Readers szerepének hozzárendelése a szerver identitásához, amikor Microsoft Entra admint állítanak be a logikai szerverhez. Azonban ahhoz, hogy az Azure Synapse-ben engedélyezhető legyen a Microsoft Entra-objektumok létrehozása egy Microsoft Entra-alkalmazás nevében, a Directory Readers szerepkör (vagy a Managed identities in Microsoft Entra for Azure SQL című témakörben ismertetett alacsonyabb szintű jogosultságok) szükséges. Ha nem rendeled a szerepet a logikai szerver identitásához, a Microsoft Entra felhasználók létrehozása kudarcot vall.

Címtárolvasók szerepkör-hozzárendelése a PowerShell használatával

Important

Egy Privilegged Role Administrator-nak kell végrehajtania ezeket a kezdeti lépéseket. A PowerShell mellett a Microsoft Entra ID a Microsoft Graph API-t is kínálja szerepkörhöz rendelhető csoport létrehozásához a Microsoft Entra ID-ban.

  1. Töltse le a Microsoft Graph PowerShell modult az alábbi parancsok segítségével. Előfordulhat, hogy rendszergazdaként kell futtatnia a PowerShellt.

    Install-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Authentication
# To verify that the module is ready to use, run the following command:
Get-Module Microsoft.Graph.Authentication

  2. Csatlakozzon a Microsoft Entra bérlői fiókjához.

    Connect-MgGraph

  3. Hozzon létre egy biztonsági csoportot a Címtárolvasók szerepkör hozzárendeléséhez.

    • DirectoryReaderGroup, Directory Reader Groupés DirRead a beállításoknak megfelelően módosítható.
    $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
$group

  4. Rendeld hozzá a Directory Readers szerepkört a csoporthoz.

    # Displays the Directory Readers role information
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
$roleDefinition

    # Assigns the Directory Readers role to the group
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
$roleAssignment

  5. Tulajdonosok hozzárendelése a csoporthoz.

    • Cserélje le <username> a csoportot tulajdonolni kívánt felhasználóra. Több tulajdonost is hozzáadhatsz ezeknek a lépéseknek a megismétlésével.
    $newGroupOwner = Get-MgUser -UserId "<username>"
$newGroupOwner

    $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)"

    Ellenőrizze a csoport tulajdonosait:

    Get-MgGroupOwner -GroupId $group.Id

    A csoport tulajdonosait az Azure Portalon is ellenőrizheti. A létrehozott csoport ellenőrzéséhez nézze meg a Létrehozott csoport ellenőrzését.

A szolgáltatásnév hozzárendelése a csoport tagjaként

A következő lépésekhez már nincs szükség a Privileged Role Administrator szerepkörre.

  1. Csoporttulajdonosként, aki az Azure Synapse erőforrást is kezeli, futassa a következő parancsot a Microsoft Entra ID-hez való csatlakozáshoz.

    Connect-MgGraph

  2. Add hozzá a szolgáltatásnevet a létrehozott csoport tagjaként.

    # Returns the service principal of your Azure SQL resource
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
$managedIdentity

    # Adds the service principal to the group
New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id

    A következő parancs visszaadja a szolgáltatásnév objektumazonosítóját, amely azt jelzi, hogy hozzáadták a csoporthoz:

    Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: