Membuat server dengan autentikasi Microsoft Entra-only diaktifkan di Azure SQL

Berlaku untuk:Azure SQL DatabaseAzure SQL Managed Instance

Panduan cara ini menguraikan langkah-langkah untuk membuat server logis untuk Azure SQL Database atau Azure SQL Managed Instance dengan autentikasi Microsoft Entra-only yang diaktifkan selama provisi . Fitur autentikasi khusus Microsoft Entra mencegah pengguna tersambung ke server atau instans terkelola menggunakan autentikasi SQL, dan hanya mengizinkan koneksi yang diautentikasi dengan ID Microsoft Entra (sebelumnya Azure Active Directory).

Catatan

ID Microsoft Entra sebelumnya dikenal sebagai Azure Active Directory (Azure AD).

Prasyarat

• Versi 2.26.1 atau yang lebih baru diperlukan saat menggunakan Azure CLI. Untuk informasi selengkapnya tentang penginstalan dan versi terbaru, lihat Pasang Azure CLI.
• Modul Az 6.1.0 atau lebih tinggi diperlukan saat menggunakan PowerShell.
• Jika Anda memprovisikan instans terkelola menggunakan Azure CLI, PowerShell, atau REST API, jaringan virtual dan subnet perlu dibuat sebelum Anda mulai. Untuk informasi selengkapnya, lihat Membuat jaringan virtual untuk Azure SQL Managed Instance.

Izin

Untuk memprovisikan server logis instans terkelola, Anda harus memiliki izin yang sesuai untuk membuat sumber daya ini. Pengguna Azure dengan izin yang lebih tinggi, seperti Pemilik langganan, Kontributor, Administrator Layanan, dan Co-Administrator memiliki hak istimewa untuk membuat SQL server atau instans terkelola. Untuk membuat sumber daya ini dengan peran Azure RBAC dengan hak istimewa paling rendah, gunakan peran Kontributor SQL Server untuk SQL Database dan peran Kontributor SQL Managed Instance untuk SQL Managed Instance.

Peran SQL Security Manager Azure RBAC tidak memiliki cukup izin untuk membuat server atau instans dengan autentikasi khusus Microsoft Entra diaktifkan. Peran SQL Security Manager akan diperlukan untuk mengelola fitur autentikasi khusus Microsoft Entra setelah pembuatan server atau instans.

Provisi dengan autentikasi khusus Microsoft Entra diaktifkan

Bagian berikut memberi Anda contoh dan skrip tentang cara membuat server logis atau instans terkelola dengan admin Microsoft Entra yang ditetapkan untuk server atau instans, dan mengaktifkan autentikasi khusus Microsoft Entra selama pembuatan server. Untuk informasi selengkapnya tentang fitur ini, lihat Autentikasi khusus Microsoft Entra.

Dalam contoh kami, kami mengaktifkan autentikasi khusus Microsoft Entra selama pembuatan server atau instans terkelola, dengan admin server dan kata sandi yang ditetapkan sistem. Ini akan mencegah akses admin server saat autentikasi Microsoft Entra-only diaktifkan, dan hanya memungkinkan admin Microsoft Entra untuk mengakses sumber daya. Menambahkan parameter ke API adalah opsional untuk menyertakan admin server dan kata sandi Anda sendiri selama pembuatan server. Namun, kata sandi tidak dapat diatur ulang hingga Anda menonaktifkan autentikasi khusus Microsoft Entra. Contoh cara menggunakan parameter opsional ini untuk menentukan ID masuk admin server ditampilkan di tab PowerShell pada halaman ini.

Catatan

Untuk mengubah properti yang ada setelah server atau pembuatan instans terkelola, API lain yang ada harus digunakan. Untuk informasi selengkapnya, lihat Mengelola autentikasi Microsoft Entra-only menggunakan API dan Mengonfigurasi dan mengelola autentikasi Microsoft Entra dengan Azure SQL.

Jika autentikasi khusus Microsoft Entra diatur ke false, yang secara default, admin server dan kata sandi harus disertakan dalam semua API selama pembuatan server atau instans terkelola.

Database Azure SQL

Portal

1. Telusuri halaman opsi Pilih penyebaran SQL di portal Azure.

2. Jika Anda belum masuk ke portal Azure, masuk jika diminta.

3. Di bawah database SQL, biarkan Jenis sumber daya diatur ke Database tunggal dan pilih Buat.

4. Pada tab Dasar formulir Buat Database SQL, di bawah Detail proyek, pilih Langganan Azure yang diinginkan.

5. Untuk Grup sumber daya, pilih Buat baru, masukkan nama untuk grup sumber daya, lalu pilih OK.

6. Untuk Nama database, masukkan nama database Anda.

7. Untuk Server, pilih Buat baru, dan isi formulir server baru dengan nilai berikut:

   • Nama server: Masukkan nama server unik. Nama server harus unik secara global untuk semua server di Azure, bukan hanya unik dalam langganan. Masukkan nilai, dan portal Azure akan memberi tahu Anda apakah tersedia atau tidak.
   • Lokasi: Pilih lokasi dari menu drop-down
   • Metode autentikasi: Pilih Gunakan autentikasi Microsoft Entra-only.
   • Pilih Atur admin, untuk membuka panel ID Microsoft Entra dan pilih perwakilan Microsoft Entra sebagai administrator Microsoft Entra server logis Anda. Setelah selesai, gunakan tombol Pilih untuk mengatur admin Anda.

   

8. Pilih Berikutnya: Jaringan di bagian bawah halaman.

9. Pada tab Jaringan, untuk metode Konektivitas, pilih Titik akhir publik.

10. Untuk aturan Firewall, atur Tambahkan alamat IP klien saat ini ke Ya. Biarkan Izinkan layanan dan sumber daya Azure untuk mengakses server ini diatur ke Tidak.

11. Biarkan pengaturan Kebijakan koneksi dan pengaturan Versi TLS minimum sebagai nilai defaultnya.

12. Pilih Berikutnya: Keamanan di bagian bawah halaman. Konfigurasikan salah satu pengaturan untuk Pertahanan Microsoft untuk SQL, Ledger, Identitas, dan Enkripsi data transparan untuk lingkungan Anda. Anda juga dapat melewati pengaturan ini.

    Catatan

    Menggunakan identitas terkelola yang ditetapkan pengguna karena identitas server didukung dengan autentikasi khusus Microsoft Entra. Untuk menyambungkan ke instans sebagai identitas, tetapkan ke Azure Virtual Machine dan jalankan SSMS pada VM tersebut. Untuk lingkungan produksi, menggunakan identitas terkelola untuk admin Microsoft Entra direkomendasikan karena langkah-langkah keamanan yang disederhanakan dan disederhanakan dengan autentikasi tanpa kata sandi ke sumber daya Azure.

13. Pilih Tinjau + buat di bagian bawah halaman.

14. Pada halaman Tinjau + buat, setelah mengulas, pilih Buat.

Azure CLI

Perintah Azure CLI az sql server create digunakan untuk menyediakan server logis Azure SQL baru. Perintah di bawah ini akan menyediakan server baru dengan autentikasi khusus Microsoft Entra diaktifkan.

Administrator SQL server akan dibuat secara otomatis dan kata sandi akan diatur ke kata sandi acak. Karena konektivitas autentikasi SQL dinonaktifkan dengan pembuatan server ini, login administrator SQL tidak akan digunakan.

Admin Microsoft Entra server akan menjadi akun yang Anda tetapkan untuk <MSEntraAccount>, dan dapat digunakan untuk mengelola server.

Ganti nilai berikut dalam contoh:

• <MSEntraAccount>: Dapat berupa pengguna atau grup Microsoft Entra. Misalnya: DummyLogin
• <MSEntraAccountSID>: ID Objek Microsoft Entra untuk pengguna
• <ResourceGroupName>: Nama grup sumber daya untuk server logis Anda
• <ServerName>: Gunakan nama server logis yang unik

az sql server create \
    --enable-ad-only-auth \
    --external-admin-principal-type User \
    --external-admin-name <MSEntraAccount> \
    --external-admin-sid <MSEntraAccountSID> \
    -g <ResourceGroupName> \
    -n <ServerName>

Untuk informasi selengkapnya, lihat buat server sql az.

Untuk memeriksa status server setelah pembuatan, lihat perintah berikut:

az sql server show --name <ServerName> --resource-group <ResourceGroupName> --expand-ad-admin

PowerShell

Perintah New-AzSqlServer PowerShell digunakan untuk menyediakan server logis baru. Perintah di bawah ini akan menyediakan server baru dengan autentikasi khusus Microsoft Entra diaktifkan.

Administrator SQL server akan dibuat secara otomatis dan kata sandi akan diatur ke kata sandi acak. Karena konektivitas autentikasi SQL dinonaktifkan dengan pembuatan server ini, login administrator SQL tidak akan digunakan.

Admin Microsoft Entra server akan menjadi akun yang Anda tetapkan untuk <MSEntraAccount>, dan dapat digunakan untuk mengelola server.

Ganti nilai berikut dalam contoh:

• <ResourceGroupName>: Nama grup sumber daya untuk server logis Anda
• <Location>: Lokasi server, seperti West US, atau Central US
• <ServerName>: Gunakan nama server logis yang unik
• <MSEntraAccount>: Dapat berupa pengguna atau grup Microsoft Entra. Misalnya: DummyLogin

$server = @{
    ResourceGroupName = "<ResourceGroupName>"
    Location = "<Location>"
    ServerName = "<ServerName>"
    ServerVersion = "12.0"
    ExternalAdminName = "<MSEntraAccount>"
    EnableActiveDirectoryOnlyAuthentication = $true
}

New-AzSqlServer @server

Berikut adalah contoh dalam menentukan nama admin server (bukan membiarkan nama admin server dibuat secara otomatis) pada waktu pembuatan server logis. Seperti disebutkan sebelumnya, login ini tidak dapat digunakan saat autentikasi khusus Microsoft Entra diaktifkan.

$cred = Get-Credential
New-AzSqlServer -ResourceGroupName "<ResourceGroupName>" -Location "<Location>" -ServerName "<ServerName>" -ServerVersion "12.0" -ExternalAdminName "<MSEntraAccount>" -EnableActiveDirectoryOnlyAuthentication -SqlAdministratorCredentials $cred

Untuk informasi lebih lanjut, lihat New-AzSqlServer.

REST API

Rest API Buat Atau Perbarui Server dapat digunakan untuk membuat server logis dengan autentikasi khusus Microsoft Entra yang diaktifkan selama provisi.

Skrip di bawah ini akan menyediakan server logis, mengatur admin Microsoft Entra sebagai <MSEntraAccount>, dan mengaktifkan autentikasi khusus Microsoft Entra. Administrator SQL server juga akan dibuat secara otomatis dan kata sandi akan diatur ke kata sandi acak. Karena konektivitas autentikasi SQL dinonaktifkan dengan provisi ini, login administrator SQL tidak akan digunakan.

Admin Microsoft Entra, <MSEntraAccount> dapat digunakan untuk mengelola server saat provisi selesai.

Ganti nilai berikut dalam contoh:

• <tenantId>: Dapat ditemukan dengan masuk ke portal Azure, dan masuk ke sumber daya ID Microsoft Entra Anda. Di panel Ringkasan, Anda akan melihat ID Penyewa
• <subscriptionId>: ID langganan Anda dapat ditemukan di portal Microsoft Azure
• <ServerName>: Gunakan nama server logis yang unik
• <ResourceGroupName>: Nama grup sumber daya untuk server logis Anda
• <MicrosoftEntraAccount>: Dapat berupa pengguna, grup, atau aplikasi Microsoft Entra. Misalnya: DummyLogin
• <Location>: Lokasi server, seperti westus2, atau centralus
• <objectId>: Dapat ditemukan dengan masuk ke portal Azure, dan masuk ke sumber daya ID Microsoft Entra Anda. Di panel Pengguna, cari pengguna Microsoft Entra dan temukan ID Objek mereka. Jika Anda menggunakan aplikasi (perwakilan layanan) sebagai admin Microsoft Entra, ganti nilai ini dengan ID Aplikasi. Anda juga perlu memperbarui principalType juga.
• <principalType>: Salah satu dari tiga opsi: Pengguna, Grup, Aplikasi. Jenis objek Microsoft Entra yang digunakan sebagai admin. Identitas terkelola dan perwakilan layanan adalah Aplikasi.

Import-Module Azure
Import-Module MSAL.PS

$tenantId = '<tenantId>'
$clientId = '1950a258-227b-4e31-a9cf-717495945fc2' # Static Microsoft client ID used for getting a token
$subscriptionId = '<subscriptionId>'
$uri = "urn:ietf:wg:oauth:2.0:oob" 
$authUrl = "https://login.windows.net/$tenantId"
$serverName = "<ServerName>"
$resourceGroupName = "<ResourceGroupName>"

Login-AzAccount -tenantId $tenantId

# login as a user with SQL Server Contributor role or higher 

# Get a token

$result = Get-MsalToken -RedirectUri $uri -ClientId $clientId -TenantId $tenantId -Scopes "https://management.core.windows.net/.default"

#Authetication header
$authHeader = @{
'Content-Type'='application\json; '
'Authorization'=$result.CreateAuthorizationHeader()
}

# Enable Microsoft Entra-only auth 
# No server admin is specified, Microsoft Entra admin is configured, and Microsoft Entra-only authentication is set to true
# Server admin (login and password) is randomly generated by the system

# Authentication body
# The sid is the Microsoft Entra Object ID for the user or group, and Application ID for applications. Update the principalType as well

$body = '{ 
"location": "<Location>",
"properties": { "administrators":{ "login":"<MSEntraAccount>", "sid":"<objectId>", "tenantId":"<tenantId>", "principalType":"User", "azureADOnlyAuthentication":true }
  }
}'

# Provision the server

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/?api-version=2020-11-01-preview -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Untuk memeriksa status server, Anda dapat menggunakan skrip berikut:

$uri = 'https://management.azure.com/subscriptions/'+$subscriptionId+'/resourceGroups/'+$resourceGroupName+'/providers/Microsoft.Sql/servers/'+$serverName+'?api-version=2020-11-01-preview&$expand=administrators/activedirectory'

$responce=Invoke-WebRequest -Uri $uri -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

$responce.statuscode

$responce.content

Templat ARM

Untuk informasi selengkapnya dan template ARM, lihat Template Azure Resource Manager untuk Azure SQL Database & SQL Managed Instance.

Untuk memprovisikan server logis dengan admin Microsoft Entra yang ditetapkan untuk server dan autentikasi khusus Microsoft Entra yang diaktifkan menggunakan Templat ARM, lihat server logis Azure SQL kami dengan templat mulai cepat autentikasi khusus Microsoft Entra.

Anda juga dapat menggunakan templat berikut. Gunakan Penyebaran khusus di portal Microsoft Azure, dan Buat template Anda sendiri di editor. Selanjutnya, Simpan konfigurasi setelah Anda menempelkan pada contoh.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "server": {
            "type": "string",
            "defaultValue": "[uniqueString('sql', resourceGroup().id)]",
            "metadata": {
                "description": "The name of the logical server."
            }
        },
        "location": {
            "type": "string",
            "defaultValue": "[resourceGroup().location]",
            "metadata": {
                "description": "Location for all resources."
            }
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL server."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin if the admin is a user or group. For Applications, use the Application ID."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers",
            "apiVersion": "2020-11-01-preview",
            "name": "[parameters('server')]",
            "location": "[parameters('location')]",
            "properties": {
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}

Instans Terkelola Azure SQL

Portal

1. Telusuri halaman opsi Pilih penyebaran SQL di portal Azure.

2. Jika Anda belum masuk ke portal Azure, masuk jika diminta.

3. Di bawah Instans terkelola SQL, biarkan Jenis sumber daya diatur ke Instans tunggal, dan pilih Buat.

4. Isi informasi wajib yang diperlukan pada tab Dasar-dasar untuk Detail proyek dan Detail Instans Terkelola. Ini adalah kumpulan informasi minimum yang diperlukan untuk memprovisikan SQL Managed Instance.

   

   Untuk informasi selengkapnya tentang opsi konfigurasi, lihat Mulai Cepat: Membuat Azure SQL Managed Instance.

5. Di bawah Autentikasi, pilih Gunakan autentikasi Microsoft Entra-only untuk metode Autentikasi.

6. Pilih Atur admin untuk membuka panel ID Microsoft Entra dan pilih perwakilan Microsoft Entra sebagai administrator Microsoft Entra instans terkelola Anda. Setelah selesai, gunakan tombol Pilih untuk mengatur admin Anda.

   

7. Anda dapat membiarkan pengaturan lainnya ke default. Untuk informasi selengkapnya tentang Jaringan, Keamanan, atau tab dan pengaturan lainnya, ikuti panduan dalam artikel Mulai cepat: Membuat Azure SQL Managed Instance.

8. Setelah Anda selesai mengonfigurasi pengaturan, pilih Tinjau + buat untuk melanjutkan. Pilih Buat untuk mulai menyediakan instans terkelola.

Azure CLI

Perintah Azure CLI az sql mi create digunakan untuk menyediakan Azure SQL Managed Instance baru. Perintah di bawah ini akan menyediakan instans terkelola baru dengan autentikasi khusus Microsoft Entra diaktifkan.

Catatan

Script membutuhkan jaringan virtual dan subnet dibuat sebagai prasyarat.

Administrator SQL instans terkelola akan dibuat secara otomatis dan kata sandi akan diatur ke kata sandi acak. Karena autentikasi SQL dinonaktifkan dengan provisi ini, admin SQL tidak akan digunakan.

Admin Microsoft Entra akan menjadi akun yang Anda tetapkan untuk <MSEntraAccount>, dan dapat digunakan untuk mengelola instans saat provisi selesai.

Ganti nilai berikut dalam contoh:

• <MSEntraAccount>: Dapat berupa pengguna atau grup Microsoft Entra. Misalnya: DummyLogin
• <MSEntraAccountSID>: ID Objek Microsoft Entra untuk pengguna
• <managedinstancename>: Beri nama instans terkelola yang ingin Anda buat
• <ResourceGroupName>: Nama grup sumber daya untuk instans terkelola Anda. Grup sumber daya juga harus menyertakan jaringan virtual dan subnet yang dibuat
• Parameter subnet perlu diperbarui dengan <Subscription ID>, <ResourceGroupName>, <VNetName>, dan <SubnetName>. ID langganan Anda dapat ditemukan di portal Microsoft Azure

az sql mi create \
    --enable-ad-only-auth \
    --external-admin-principal-type User \
    --external-admin-name <MSEntraAccount> \
    --external-admin-sid <MSEntraAccountSID> \
    -g <ResourceGroupName> \
    -n <managedinstancename> \
    --subnet /subscriptions/<Subscription ID>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>

Untuk informasi selengkapnya, lihat az sql mi create.

PowerShell

Perintah PowerShell New-AzSqlInstance ​​digunakan untuk menyediakan Azure SQL Managed Instance baru. Perintah di bawah ini akan menyediakan instans terkelola baru dengan autentikasi khusus Microsoft Entra diaktifkan.

Catatan

Script membutuhkan jaringan virtual dan subnet dibuat sebagai prasyarat.

Administrator SQL instans terkelola akan dibuat secara otomatis dan kata sandi akan diatur ke kata sandi acak. Karena konektivitas autentikasi SQL dinonaktifkan dengan provisi ini, login administrator SQL tidak akan digunakan.

Admin Microsoft Entra akan menjadi akun yang Anda tetapkan untuk <MSEntraAccount>, dan dapat digunakan untuk mengelola instans saat provisi selesai.

Ganti nilai berikut dalam contoh:

• <managedinstancename>: Beri nama instans terkelola yang ingin Anda buat
• <ResourceGroupName>: Nama grup sumber daya untuk instans terkelola Anda. Grup sumber daya juga harus menyertakan jaringan virtual dan subnet yang dibuat
• <MSEntraAccount>: Dapat berupa pengguna atau grup Microsoft Entra. Misalnya: DummyLogin
• <Location>: Lokasi server, seperti West US, atau Central US
• Parameter SubnetId perlu diperbarui dengan <Subscription ID>, <ResourceGroupName>, <VNetName>, dan <SubnetName>. ID langganan Anda dapat ditemukan di portal Microsoft Azure

$instanceName = @{
    Name = "<managedinstancename>"
    ResourceGroupName = "<ResourceGroupName>"
    ExternalAdminName = "<MSEntraAccount>"
    EnableActiveDirectoryOnlyAuthentication = $true
    Location = "<Location>"
    SubnetId = "/subscriptions/<SubscriptionID>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>"
    LicenseType = "LicenseIncluded"
    StorageSizeInGB = 128
    VCore = 4
    Edition = "GeneralPurpose"
    ComputeGeneration = "Gen5"
}

New-AzSqlInstance $instanceName

Untuk informasi lebih lanjut, lihat New-AzSqlInstance.

REST API

SQL Managed Instances - Create Or Update REST API dapat digunakan untuk membuat instans terkelola dengan autentikasi khusus Microsoft Entra yang diaktifkan selama provisi.

Catatan

Script membutuhkan jaringan virtual dan subnet dibuat sebagai prasyarat.

Skrip di bawah ini akan menyediakan instans terkelola, mengatur admin Microsoft Entra sebagai <MSEntraAccount>, dan mengaktifkan autentikasi khusus Microsoft Entra. Administrator SQL instans juga akan dibuat secara otomatis dan kata sandi akan diatur ke kata sandi acak. Karena konektivitas autentikasi SQL dinonaktifkan dengan provisi ini, login administrator SQL tidak akan digunakan.

Admin Microsoft Entra, <MSEntraAccount> dapat digunakan untuk mengelola instans saat provisi selesai.

Ganti nilai berikut dalam contoh:

• <tenantId>: Dapat ditemukan dengan masuk ke portal Azure, dan masuk ke sumber daya ID Microsoft Entra Anda. Di panel Ringkasan, Anda akan melihat ID Penyewa
• <subscriptionId>: ID langganan Anda dapat ditemukan di portal Microsoft Azure
• <instanceName>: Gunakan nama instans terkelola yang unik
• <ResourceGroupName>: Nama grup sumber daya untuk server logis Anda
• <MSEntraAccount>: Dapat berupa pengguna atau grup Microsoft Entra. Misalnya: DummyLogin
• <Location>: Lokasi server, seperti westus2, atau centralus
• <objectId>: Dapat ditemukan dengan masuk ke portal Azure, dan masuk ke sumber daya ID Microsoft Entra Anda. Di panel Pengguna, cari pengguna Microsoft Entra dan temukan ID Objek mereka. Jika Anda menggunakan aplikasi (perwakilan layanan) sebagai admin Microsoft Entra, ganti nilai ini dengan ID Aplikasi. Anda juga perlu memperbarui principalType.
• Parameter subnetId perlu diperbarui dengan <ResourceGroupName>, Subscription ID, <VNetName>, dan <SubnetName>

Import-Module Azure
Import-Module MSAL.PS

$tenantId = '<tenantId>'
$clientId = '1950a258-227b-4e31-a9cf-717495945fc2' # Static Microsoft client ID used for getting a token
$subscriptionId = '<subscriptionId>'
$uri = "urn:ietf:wg:oauth:2.0:oob" 
$instanceName = "<instanceName>"
$resourceGroupName = "<ResourceGroupName>"
$scopes ="https://management.core.windows.net/.default"

Login-AzAccount -tenantId $tenantId

# Login as an Microsoft Entra user with permission to provision a managed instance

$result = Get-MsalToken -RedirectUri $uri -ClientId $clientId -TenantId $tenantId -Scopes $scopes

$authHeader = @{
'Content-Type'='application\json; '
'Authorization'=$result.CreateAuthorizationHeader()
}

$body = '{
"name": "<instanceName>", "type": "Microsoft.Sql/managedInstances", "identity": { "type": "SystemAssigned"},"location": "<Location>", "sku": {"name": "GP_Gen5", "tier": "GeneralPurpose", "family":"Gen5","capacity": 8},
"properties": {"administrators":{ "login":"<MSEntraAccount>", "sid":"<objectId>", "tenantId":"<tenantId>", "principalType":"User", "azureADOnlyAuthentication":true },
"subnetId": "/subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>",
"licenseType": "LicenseIncluded", "vCores": 8, "storageSizeInGB": 2048, "collation": "SQL_Latin1_General_CP1_CI_AS", "proxyOverride": "Proxy", "timezoneId": "UTC", "privateEndpointConnections": [], "storageAccountType": "GRS", "zoneRedundant": false 
  }
}'

# To provision the instance, execute the `PUT` command

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$instanceName/?api-version=2020-11-01-preview -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Untuk memeriksa hasilnya, jalankan perintah GET:

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$instanceName/?api-version=2020-11-01-preview -Method GET -Headers $authHeader  | Format-List

Templat ARM

Untuk menyediakan instans terkelola, jaringan virtual, dan subnet baru, dengan admin Microsoft Entra yang ditetapkan untuk instans dan autentikasi khusus Microsoft Entra diaktifkan, gunakan templat berikut.

Gunakan Penyebaran khusus di portal Microsoft Azure, dan Buat template Anda sendiri di editor. Selanjutnya, Simpan konfigurasi setelah Anda menempelkan pada contoh.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "managedInstanceName": {
            "type": "String",
            "metadata": {
                "description": "Enter managed instance name."
            }
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL managed instance."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin. The Object ID of the Azure AD admin if the admin is a user or group. For Applications, use the Application ID."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        },
        "location": {
            "defaultValue": "[resourceGroup().location]",
            "type": "String",
            "metadata": {
                "description": "Enter location. If you leave this field blank resource group location would be used."
            }
        },
        "virtualNetworkName": {
            "type": "String",
            "defaultValue": "SQLMI-VNET",
            "metadata": {
                "description": "Enter virtual network name. If you leave this field blank name will be created by the template."
            }
        },
        "addressPrefix": {
            "defaultValue": "10.0.0.0/16",
            "type": "String",
            "metadata": {
                "description": "Enter virtual network address prefix."
            }
        },
        "subnetName": {
            "type": "String",
            "defaultValue": "ManagedInstances",
            "metadata": {
                "description": "Enter subnet name. If you leave this field blank name will be created by the template."
            }
        },
        "subnetPrefix": {
            "defaultValue": "10.0.0.0/24",
            "type": "String",
            "metadata": {
                "description": "Enter subnet address prefix."
            }
        },
        "skuName": {
            "defaultValue": "GP_Gen5",
            "allowedValues": [
                "GP_Gen5",
                "BC_Gen5"
            ],
            "type": "String",
            "metadata": {
                "description": "Enter sku name."
            }
        },
        "vCores": {
            "defaultValue": 16,
            "allowedValues": [
                8,
                16,
                24,
                32,
                40,
                64,
                80
            ],
            "type": "Int",
            "metadata": {
                "description": "Enter number of vCores."
            }
        },
        "storageSizeInGB": {
            "defaultValue": 256,
            "minValue": 32,
            "maxValue": 8192,
            "type": "Int",
            "metadata": {
                "description": "Enter storage size."
            }
        },
        "licenseType": {
            "defaultValue": "LicenseIncluded",
            "allowedValues": [
                "BasePrice",
                "LicenseIncluded"
            ],
            "type": "String",
            "metadata": {
                "description": "Enter license type."
            }
        }
    },
    "variables": {
        "networkSecurityGroupName": "[concat('SQLMI-', parameters('managedInstanceName'), '-NSG')]",
        "routeTableName": "[concat('SQLMI-', parameters('managedInstanceName'), '-Route-Table')]"
    },
    "resources": [
        {
            "type": "Microsoft.Network/networkSecurityGroups",
            "apiVersion": "2020-06-01",
            "name": "[variables('networkSecurityGroupName')]",
            "location": "[parameters('location')]",
            "properties": {
                "securityRules": [
                    {
                        "name": "allow_tds_inbound",
                        "properties": {
                            "description": "Allow access to data",
                            "protocol": "Tcp",
                            "sourcePortRange": "*",
                            "destinationPortRange": "1433",
                            "sourceAddressPrefix": "VirtualNetwork",
                            "destinationAddressPrefix": "*",
                            "access": "Allow",
                            "priority": 1000,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "allow_redirect_inbound",
                        "properties": {
                            "description": "Allow inbound redirect traffic to SQL Managed Instance inside the virtual network",
                            "protocol": "Tcp",
                            "sourcePortRange": "*",
                            "destinationPortRange": "11000-11999",
                            "sourceAddressPrefix": "VirtualNetwork",
                            "destinationAddressPrefix": "*",
                            "access": "Allow",
                            "priority": 1100,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "deny_all_inbound",
                        "properties": {
                            "description": "Deny all other inbound traffic",
                            "protocol": "*",
                            "sourcePortRange": "*",
                            "destinationPortRange": "*",
                            "sourceAddressPrefix": "*",
                            "destinationAddressPrefix": "*",
                            "access": "Deny",
                            "priority": 4096,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "deny_all_outbound",
                        "properties": {
                            "description": "Deny all other outbound traffic",
                            "protocol": "*",
                            "sourcePortRange": "*",
                            "destinationPortRange": "*",
                            "sourceAddressPrefix": "*",
                            "destinationAddressPrefix": "*",
                            "access": "Deny",
                            "priority": 4096,
                            "direction": "Outbound"
                        }
                    }
                ]
            }
        },
        {
            "type": "Microsoft.Network/routeTables",
            "apiVersion": "2020-06-01",
            "name": "[variables('routeTableName')]",
            "location": "[parameters('location')]",
            "properties": {
                "disableBgpRoutePropagation": false
            }
        },
        {
            "type": "Microsoft.Network/virtualNetworks",
            "apiVersion": "2020-06-01",
            "name": "[parameters('virtualNetworkName')]",
            "location": "[parameters('location')]",
            "dependsOn": [
                "[variables('routeTableName')]",
                "[variables('networkSecurityGroupName')]"
            ],
            "properties": {
                "addressSpace": {
                    "addressPrefixes": [
                        "[parameters('addressPrefix')]"
                    ]
                },
                "subnets": [
                    {
                        "name": "[parameters('subnetName')]",
                        "properties": {
                            "addressPrefix": "[parameters('subnetPrefix')]",
                            "routeTable": {
                                "id": "[resourceId('Microsoft.Network/routeTables', variables('routeTableName'))]"
                            },
                            "networkSecurityGroup": {
                                "id": "[resourceId('Microsoft.Network/networkSecurityGroups', variables('networkSecurityGroupName'))]"
                            },
                            "delegations": [
                                {
                                    "name": "miDelegation",
                                    "properties": {
                                        "serviceName": "Microsoft.Sql/managedInstances"
                                    }
                                }
                            ]
                        }
                    }
                ]
            }
        },
        {
            "type": "Microsoft.Sql/managedInstances",
            "apiVersion": "2020-11-01-preview",
            "name": "[parameters('managedInstanceName')]",
            "location": "[parameters('location')]",
            "dependsOn": [
                "[parameters('virtualNetworkName')]"
            ],
            "sku": {
                "name": "[parameters('skuName')]"
            },
            "identity": {
                "type": "SystemAssigned"
            },
            "properties": {
                "subnetId": "[resourceId('Microsoft.Network/virtualNetworks/subnets', parameters('virtualNetworkName'), parameters('subnetName'))]",
                "storageSizeInGB": "[parameters('storageSizeInGB')]",
                "vCores": "[parameters('vCores')]",
                "licenseType": "[parameters('licenseType')]",
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}

Berikan izin Pembaca Direktori

Setelah penyebaran selesai untuk instans terkelola, Anda mungkin melihat bahwa SQL Managed Instance memerlukan izin Baca untuk mengakses ID Microsoft Entra. Izin baca dapat diberikan dengan mengklik pesan yang ditampilkan di portal Microsoft Azure oleh seseorang dengan hak istimewa. Untuk informasi selengkapnya, lihat Peran Pembaca Direktori di Microsoft Entra untuk Azure SQL.

Batasan

• Untuk mengatur ulang kata sandi administrator server, autentikasi khusus Microsoft Entra harus dinonaktifkan.
• Jika autentikasi khusus Microsoft Entra dinonaktifkan, Anda harus membuat server dengan admin server dan kata sandi saat menggunakan semua API.

Konten terkait

• Jika Anda sudah memiliki server logis atau instans terkelola SQL, dan hanya ingin mengaktifkan autentikasi khusus Microsoft Entra, lihat Tutorial: Mengaktifkan autentikasi khusus Microsoft Entra dengan Azure SQL.
• Untuk informasi selengkapnya tentang fitur autentikasi khusus Microsoft Entra, lihat Autentikasi khusus Microsoft Entra dengan Azure SQL.
• Jika Anda ingin menerapkan pembuatan server dengan autentikasi khusus Microsoft Entra diaktifkan, lihat Azure Policy untuk autentikasi khusus Microsoft Entra dengan Azure SQL