Tutorial: Menetapkan peran Pembaca Direktori ke grup Microsoft Entra dan mengelola penetapan peran

Artikel ini membimbing Anda dalam membuat grup di Microsoft Entra ID (sebelumnya Azure Active Directory) dan menetapkan peran Directory Readers kepada grup tersebut. Penempatan peran memungkinkan pemilik grup menambahkan identitas terkelola untuk sumber daya Azure Synapse Analytics ke grup. Pendekatan ini menghindari keharusan bagi Administrator Peran Istimewa untuk menetapkan peran Pembaca Direktori langsung ke setiap identitas.

Tutorial ini menggunakan fitur yang diperkenalkan dalam Menggunakan grup Microsoft Entra untuk mengelola penetapan peran.

Catatan

Server principal Microsoft Entra saat ini sedang dalam pratinjau untuk Azure Synapse Analytics.

Alih-alih peran Directory Readers, Anda dapat menetapkan izin Microsoft Graph tingkat lebih rendah untuk mengikuti prinsip hak istimewa terkecil. Untuk informasi lebih lanjut, lihat Managed identities in Microsoft Entra for Azure Synapse Analytics.

Prerequisites

Penetapan peran Directory Readers menggunakan portal Azure

Membuat grup baru dan menetapkan pemilik dan peran

  1. Anda membutuhkan pengguna dengan izin Privileged Role Administrator untuk pengaturan awal ini.
  2. Minta pengguna berhak istimewa masuk ke portal Azure.
  3. Pergi ke sumber daya Microsoft Entra ID. Di bawah Kelola, buka Grup. Pilih Grup baru untuk membuat grup baru.
  4. Pilih Keamanan sebagai tipe grup, dan isi bidang lainnya. Pastikan pengaturan peran Microsoft Entra dapat ditetapkan ke grup disetel ke Ya. Kemudian tetapkan peran pembaca direktori Microsoft Entra ID ke grup.
  5. Tetapkan pengguna Microsoft Entra sebagai pemilik grup. Pemilik grup dapat menjadi pengguna Microsoft Entra reguler tanpa peran administratif. Pemilik harus adalah pengguna yang mengelola sumber daya Azure Synapse Anda.
  6. Pilih Buat.

Periksa grup yang Anda buat

Catatan

Pastikan Tipe Grup adalah Security. Azure Synapse SQL tidak mendukung grup Microsoft 365.

Untuk memeriksa dan mengelola grup yang Anda buat, kembali ke panel Grup di portal Azure, dan cari nama grup Anda. Anda dapat menambahkan lebih banyak pemilik dan anggota di bawah menu Pemilik dan Anggota pada pengaturan Kelola setelah memilih grup Anda. Anda juga dapat meninjau Peran yang ditetapkan untuk grup tersebut.

Tambahkan identitas yang dikelola Azure Synapse ke grup

Untuk langkah-langkah berikut, Anda tidak lagi membutuhkan pengguna Privileged Role Administrator.

  1. Masuk ke portal Azure sebagai pengguna yang mengelola sumber daya Azure Synapse dan memiliki grup yang Anda buat.

  2. Temukan identitas terkelola untuk workspace Azure Synapse Anda. Untuk informasi tentang identitas workspace, lihat Managed service identity for Azure Synapse Analytics.

  3. Di Microsoft Entra ID, di bawah Kelola, pilih aplikasi Enterprise. Cari identitas yang dikelola dan catat ID Objeknya.

  4. Di Microsoft Entra ID, di bawah Kelola, pilih Grup. Pilih grup yang Anda buat, lalu pilih Anggota>Tambahkan anggota. Cari dan tambahkan identitas yang dikelola Azure Synapse.

Catatan

Diperlukan beberapa menit agar izin akses diterapkan dan memungkinkan akses ke Microsoft Graph.

Remarks

Anda dapat membuat identitas server selama pembuatan server logis atau setelah server dibuat. Untuk informasi lebih lanjut tentang cara membuat atau mengatur identitas server di Azure Synapse, lihat Managed identities for Azure Synapse Analytics.

Menetapkan peran Directory Readers ke identitas server tidak diperlukan untuk Azure Synapse saat menyiapkan admin Microsoft Entra untuk server logis. Namun, untuk mengaktifkan pembuatan objek Microsoft Entra di Azure Synapse atas nama aplikasi Microsoft Entra, peran Directory Readers (atau izin tingkat rendah yang dibahas dalam Managed identities di Microsoft Entra untuk Azure SQL) diperlukan. Jika Anda tidak menetapkan peran ke identitas server logis, pembuatan pengguna Microsoft Entra gagal.

Penetapan peran Pembaca Direktori menggunakan PowerShell

Important

Administrator Peran Istimewa perlu menjalankan langkah-langkah awal ini. Selain PowerShell, MICROSOFT Entra ID menawarkan Microsoft Graph API untuk Membuat grup yang dapat ditetapkan peran di ID Microsoft Entra.

  1. Unduh modul Microsoft Graph PowerShell dengan menggunakan perintah berikut. Anda mungkin perlu menjalankan PowerShell sebagai administrator.

    Install-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Authentication
# To verify that the module is ready to use, run the following command:
Get-Module Microsoft.Graph.Authentication

  2. Sambungkan ke penyewa Microsoft Entra Anda.

    Connect-MgGraph

  3. Buat grup keamanan untuk menetapkan peran Pembaca Direktori.

    • DirectoryReaderGroup, Directory Reader Group, dan DirRead dapat diubah sesuai dengan preferensi Anda.
    $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
$group

  4. Tetapkan peran Directory Readers ke grup.

    # Displays the Directory Readers role information
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
$roleDefinition

    # Assigns the Directory Readers role to the group
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
$roleAssignment

  5. Tetapkan pemilik untuk grup tersebut.

    • Ganti <username> dengan pengguna yang Anda inginkan untuk memiliki grup ini. Tambahkan beberapa pemilik dengan mengulangi langkah-langkah ini.
    $newGroupOwner = Get-MgUser -UserId "<username>"
$newGroupOwner

    $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)"

    Periksa pemilik grup:

    Get-MgGroupOwner -GroupId $group.Id

    Anda juga dapat memverifikasi pemilik grup di portal Azure. Untuk memeriksa grup yang Anda buat, lihat Memeriksa grup yang dibuat.

Menetapkan perwakilan layanan sebagai anggota grup

Untuk langkah-langkah berikut, Anda tidak lagi membutuhkan pengguna Privileged Role Administrator.

  1. Sebagai pemilik grup yang juga mengelola sumber daya Azure Synapse, jalankan perintah berikut untuk terhubung ke Microsoft Entra ID.

    Connect-MgGraph

  2. Tetapkan prinsipal layanan sebagai anggota grup yang Anda buat.

    # Returns the service principal of your Azure SQL resource
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
$managedIdentity

    # Adds the service principal to the group
New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id

    Perintah berikut akan mengembalikan ID Objek perwakilan layanan yang menunjukkan bahwa perwakilan layanan tersebut telah ditambahkan ke grup:

    Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"

Konten terkait

  • Terakhir diperbarui pada