Megosztás a következőn keresztül:

Felügyelt identitás és Microsoft Entra-hitelesítés beállítása az Azure Arc által engedélyezett SQL Serverhez

A következőkre vonatkozik: SQL Server 2025 (17.x)

Ez a cikk részletes útmutatást nyújt a Microsoft Entra ID felügyelt identitás beállításához és konfigurálásához az Azure Arc által engedélyezett SQL Serverhez.

A SQL Serverrel való felügyelt identitás áttekintéséhez tekintse meg a Azure Arc által engedélyezett SQL Server-felügyelt identitást.

Előfeltételek

Mielőtt használhat felügyelt identitást az Azure Arc által engedélyezett SQL Serverrel, győződjön meg arról, hogy megfelel az alábbi előfeltételeknek:

Az elsődleges felügyelt identitás engedélyezése

Ha telepítette az SQL Serverhez készült bővítményt a kiszolgálóra, az SQL Server-példány elsődleges felügyelt identitását közvetlenül az Azure Portalon engedélyezheti. Az elsődleges felügyelt identitás manuális engedélyezésére is lehetőség van a beállításjegyzék frissítésével, de rendkívül körültekintően kell eljárni.

Ha engedélyezni szeretné az elsődleges felügyelt identitást az Azure Portalon, kövesse az alábbi lépéseket:

  1. Nyissa meg az Azure Arc-erőforrás által engedélyezett SQL Servert az Azure Portalon.

  2. A Beállítások területen válassza a Microsoft Entra ID és a Purview lehetőséget a Microsoft Entra ID és Purview lap megnyitásához .

    Megjegyzés:

    Ha nem látja a Microsoft Entra-azonosító hitelesítésének engedélyezése beállítást, győződjön meg arról, hogy az SQL Server-példány csatlakozik az Azure Archoz, és hogy telepítve van a legújabb SQL-bővítmény.

  3. A Microsoft Entra ID és Purview lapján jelölje be az elsődleges felügyelt identitás használata melletti jelölőnégyzetet, majd a Mentés parancsot a konfiguráció alkalmazásához:

    Képernyőkép a Microsoft Entra lehetőségről az Azure Portalon.

Alkalmazásengedélyek megadása az identitáshoz

Fontos

Csak egy Kiváltságos Szerepkörgazda vagy ennél magasabb jogosultsággal rendelkező szerepkör adhatja meg ezeket az engedélyeket.

Az Arc-kompatibilis gépnevet használó rendszer által hozzárendelt felügyelt identitásnak a következő Microsoft Graph-alkalmazásengedélyekkel (alkalmazásszerepkörök) kell rendelkeznie:

  • User.Read.All: Lehetővé teszi a Microsoft Entra felhasználói adatainak elérését.

  • GroupMember.Read.All: Lehetővé teszi a Microsoft Entra csoportinformációinak elérését.

  • Application.Read.ALL: Lehetővé teszi a Microsoft Entra szolgáltatásnév (alkalmazás) információinak elérését.

A PowerShell használatával megadhatja a szükséges engedélyeket a felügyelt identitáshoz. Másik lehetőségként létrehozhat egy szerepkörhöz hozzárendelhető csoportot. A csoport létrehozása után rendelje hozzá a címtár-olvasók szerepkört vagy a User.Read.All, GroupMember.Read.Allés Application.Read.All engedélyeket a csoporthoz, és adja hozzá az Azure Arc-kompatibilis gépekhez tartozó összes rendszer által hozzárendelt felügyelt identitást a csoporthoz. Nem javasoljuk a Címtárolvasók szerepkör használatát az éles környezetben.

Az alábbi PowerShell-szkript megadja a szükséges engedélyeket a felügyelt identitáshoz. Győződjön meg arról, hogy a szkript a PowerShell 7.5-ös vagy újabb verzióján fut, és telepítve van a Microsoft.Graph 2.28-as vagy újabb modul.

# Set your Azure tenant and managed identity name
$tenantID = '<Enter-Your-Azure-Tenant-Id>'
$managedIdentityName = '<Enter-Your-Arc-HostMachine-Name>'

# Connect to Microsoft Graph
try {
    Connect-MgGraph -TenantId $tenantID -ErrorAction Stop
    Write-Output "Connected to Microsoft Graph successfully."
}
catch {
    Write-Error "Failed to connect to Microsoft Graph: $_"
    return
}

# Get Microsoft Graph service principal
$graphAppId = '00000003-0000-0000-c000-000000000000'
$graphSP = Get-MgServicePrincipal -Filter "appId eq '$graphAppId'"
if (-not $graphSP) {
    Write-Error "Microsoft Graph service principal not found."
    return
}

# Get the managed identity service principal
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '$managedIdentityName'"
if (-not $managedIdentity) {
    Write-Error "Managed identity '$managedIdentityName' not found."
    return
}

# Define roles to assign
$requiredRoles = @(
    "User.Read.All",
    "GroupMember.Read.All",
    "Application.Read.All"
)

# Assign roles using scoped syntax
foreach ($roleValue in $requiredRoles) {
    $appRole = $graphSP.AppRoles | Where-Object {
        $_.Value -eq $roleValue -and $_.AllowedMemberTypes -contains "Application"
    }

    if ($appRole) {
        try {
            New-MgServicePrincipalAppRoleAssignment   -ServicePrincipalId $managedIdentity.Id `
                -PrincipalId $managedIdentity.Id `
                -ResourceId $graphSP.Id `
                -AppRoleId $appRole.Id `
                -ErrorAction Stop

            Write-Output "Successfully assigned role '$roleValue' to '$managedIdentityName'."
        }
        catch {
            Write-Warning "Failed to assign role '$roleValue': $_"
        }
    }
    else {
        Write-Warning "Role '$roleValue' not found in Microsoft Graph AppRoles."
    }
}

Bejelentkezések és felhasználók létrehozása

Kövesse a Microsoft Entra oktatóanyag lépéseit a felügyelt identitáshoz tartozó bejelentkezések és felhasználók létrehozásához.

Kapcsolódó tartalom

  • Last updated on