Esercitazione: Abilitare l'autenticazione solo Microsoft Entra-only con Azure SQL

Si applica a:database SQL di Azure Istanza gestita di SQL di Azure

Questo articolo illustra come abilitare la funzionalità di autenticazione solo Entra-only di Microsoft all'interno di database SQL di Azure e Istanza gestita di SQL di Azure. Se si sta cercando di effettuare il provisioning di un database SQL o di un Istanza gestita di SQL con l'autenticazione solo Entra di Microsoft abilitata, vedere Creare un server con l'autenticazione solo Entra-only abilitata in Azure SQL.

Nota

Microsoft Entra ID era precedentemente noto come Azure Active Directory (Azure AD).

In questa esercitazione apprenderai a:

• Assegnare il ruolo per abilitare l'autenticazione solo Microsoft Entra-only
• Abilitare l'autenticazione solo Microsoft Entra-only usando il portale di Azure, l'interfaccia della riga di comando di Azure o PowerShell
• Controllare se l'autenticazione solo Entra-only di Microsoft è abilitata
• Testare la connessione ad Azure SQL
• Disabilitare l'autenticazione solo Entra-only con il portale di Azure, l'interfaccia della riga di comando di Azure o PowerShell

Prerequisiti

• Un tenant di Microsoft Entra. Per altre informazioni, vedere Configurare e gestire l'autenticazione di Microsoft Entra con Azure SQL.
• Un database SQL o un Istanza gestita di SQL con un database e account di accesso o utenti. Vedere Avvio rapido: Creare un database singolo database SQL di Azure se non è già stato creato un database SQL di Azure o Avvio rapido: Creare un Istanza gestita di SQL di Azure.

Assegnare il ruolo per abilitare l'autenticazione solo Microsoft Entra-only

Per abilitare o disabilitare l'autenticazione solo Entra di Microsoft, i ruoli predefiniti selezionati sono necessari per gli utenti di Microsoft Entra che eseguono queste operazioni in questa esercitazione. In questa esercitazione verrà assegnato il ruolo Gestione sicurezza SQL all'utente.

Per altre informazioni su come assegnare un ruolo a un account Microsoft Entra, vedere Assegnare ruoli di amministratore e non amministratore agli utenti con MICROSOFT Entra ID

Per altre informazioni sull'autorizzazione necessaria per abilitare o disabilitare l'autenticazione solo Microsoft Entra-only, vedere la sezione Autorizzazioni dell'articolo Autenticazione solo Entra-only di Microsoft Entra.For more information on the required permission to enable or disable Microsoft Entra-only authentication, see the Permissions section of Microsoft Entra-only authentication article.

1. In questo esempio si assegnerà il ruolo Gestione sicurezza SQL all'utente UserSqlSecurityManager@contoso.onmicrosoft.com. Usando l'utente con privilegi che può assegnare i ruoli di Microsoft Entra, accedere al portale di Azure.

2. Passare alla risorsa di SQL Server e selezionare Controllo di accesso (IAM) nel menu. Selezionare il pulsante Aggiungi e quindi Aggiungi assegnazione di ruolo nel menu a discesa.

   

3. Nel riquadro Aggiungi assegnazione di ruolo selezionare Gestione sicurezza SQL ruolo e selezionare l'utente che si vuole avere la possibilità di abilitare o disabilitare l'autenticazione solo Microsoft Entra-only.

   

4. Fare clic su Salva.

Abilitare l'autenticazione solo Entra-only di Microsoft

Portale

Abilitare in database SQL usando portale di Azure

Per abilitare l'autenticazione solo Entra-only di Microsoft nel portale di Azure, seguire questa procedura:

1. Usando l'utente con il ruolo Gestione sicurezza SQL, passare al portale di Azure.

2. Passare alla risorsa di SQL Server e selezionare Microsoft Entra ID nel menu Impostazioni.

   

3. Se non è stato aggiunto un amministratore di Microsoft Entra, è necessario impostarlo prima di abilitare l'autenticazione solo Entra di Microsoft.

4. Selezionare la casella Support only Microsoft Entra authentication for this server (Supporta solo l'autenticazione Microsoft Entra per questo server).

5. Verrà visualizzato il popup Enable Microsoft Entra-only authentication (Abilita autenticazione solo Entra-only). Selezionare Sì per abilitare la funzionalità e Salvare l'impostazione.

Abilitare in Istanza gestita di SQL usando portale di Azure

Per abilitare l'autenticazione solo Entra-only di Microsoft nella portale di Azure, vedere i passaggi seguenti.

1. Usando l'utente con il ruolo Gestione sicurezza SQL, passare al portale di Azure.

2. Passare alla risorsa dell'istanza gestita di SQL e selezionare Amministratore di Microsoft Entra nel menu Impostazioni.

3. Se non è stato aggiunto un amministratore di Microsoft Entra, è necessario impostarlo prima di abilitare l'autenticazione solo Entra di Microsoft.

4. Selezionare la casella di controllo Support only Microsoft Entra authentication for this managed instance (Supporta solo l'autenticazione di Microsoft Entra per questa istanza gestita).

5. Verrà visualizzato il popup Enable Microsoft Entra-only authentication (Abilita autenticazione solo Entra-only). Selezionare Sì per abilitare la funzionalità e Salvare l'impostazione.

L’interfaccia della riga di comando di Azure

Abilitare in database SQL con l'interfaccia della riga di comando di Azure

Per abilitare l'autenticazione solo Entra-only in database SQL di Azure tramite l'interfaccia della riga di comando di Azure, vedere i comandi seguenti. Installare la versione più recente dell'interfaccia della riga di comando di Azure. È necessario avere l'interfaccia della riga di comando di Azure versione 2.14.2 o successiva. Per altre informazioni su questi comandi, vedere az sql server ad-only-auth.

Per altre informazioni sulla gestione dell'autenticazione solo di Microsoft Entra-only con le API, vedere Managing Microsoft Entra-only authentication using APIs (Gestione dell'autenticazione solo Entra-only con Le API di Microsoft Entra).For more information on managing Microsoft Entra-only authentication using APIs.

Nota

L'amministratore di Microsoft Entra deve essere impostato per il server prima di abilitare l'autenticazione solo di Microsoft Entra.The Microsoft Entra-admin must be set for the server before enabling Microsoft Entra-only authentication. In caso contrario, il comando dell'interfaccia della riga di comando di Azure avrà esito negativo.

Per le autorizzazioni e le azioni necessarie all'utente che eseguono questi comandi per abilitare l'autenticazione solo Microsoft Entra-only, vedere l'articolo Sull'autenticazione solo Entra-only di Microsoft.

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL.

   az login
   

2. Eseguire il comando seguente, sostituendo <myserver> con il nome del server SQL e <myresource> con la risorsa di Azure che contiene il server SQL.

   az sql server ad-only-auth enable --resource-group <myresource> --name <myserver>
   

Abilitare in Istanza gestita di SQL tramite l'interfaccia della riga di comando di Azure

Per abilitare l'autenticazione solo Entra-only in Istanza gestita di SQL di Azure tramite l'interfaccia della riga di comando di Azure, vedere i comandi seguenti. Installare la versione più recente dell'interfaccia della riga di comando di Azure.

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL.

   az login
   

2. Eseguire il comando seguente, sostituendo <myserver> con il nome del server SQL e <myresource> con la risorsa di Azure che contiene il server SQL.

   az sql mi ad-only-auth enable --resource-group <myresource> --name <myserver>
   

PowerShell

Abilitare in database SQL con PowerShell

Per abilitare l'autenticazione solo Entra-only in database SQL di Azure tramite PowerShell, vedere i comandi seguenti. Per eseguire questi comandi, è necessario il modulo Az.Sql 2.10.0 o versione successiva. Per altre informazioni su questi comandi, vedere Enable-AzSqlInstanceActiveDirectoryOnlyAuthentication.

Per altre informazioni sulla gestione dell'autenticazione solo di Microsoft Entra-only con le API, vedere Managing Microsoft Entra-only authentication using APIs (Gestione dell'autenticazione solo Entra-only con Le API)

Nota

L'amministratore di Microsoft Entra deve essere impostato per il server prima di abilitare l'autenticazione solo di Microsoft Entra.The Microsoft Entra-admin must be set for the server before enabling Microsoft Entra-only authentication. In caso contrario, il comando di PowerShell avrà esito negativo.

Per le autorizzazioni e le azioni necessarie all'utente che eseguono questi comandi per abilitare l'autenticazione solo Microsoft Entra-only, vedere l'articolo Sull'autenticazione solo Entra-only di Microsoft. Se l'utente dispone di autorizzazioni insufficienti, verrà visualizzato l'errore seguente:

Enable-AzSqlServerActiveDirectoryOnlyAuthentication : The client
'UserSqlServerContributor@contoso.onmicrosoft.com' with object id
'<guid>' does not have authorization to perform
action 'Microsoft.Sql/servers/azureADOnlyAuthentications/write' over scope
'/subscriptions/<guid>...'

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL.

   Connect-AzAccount
   

2. Eseguire il comando seguente, sostituendo <myserver> con il nome del server SQL e <myresource> con la risorsa di Azure che contiene il server SQL.

   Enable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName <myserver>  -ResourceGroupName <myresource>
   

Abilitare in Istanza gestita di SQL con PowerShell

Per abilitare l'autenticazione solo Entra di Microsoft in Istanza gestita di SQL di Azure tramite PowerShell, vedere i comandi seguenti. Per eseguire questi comandi, è necessario il modulo Az.Sql 2.10.0 o versione successiva.

Per altre informazioni sulla gestione dell'autenticazione solo di Microsoft Entra-only con le API, vedere Managing Microsoft Entra-only authentication using APIs (Gestione dell'autenticazione solo Entra-only con Le API di Microsoft Entra).For more information on managing Microsoft Entra-only authentication using APIs.

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL.

   Connect-AzAccount
   

2. Eseguire il comando seguente, sostituendo <myinstance> con il nome Istanza gestita di SQL e <myresource> con la risorsa di Azure che contiene l'istanza gestita di SQL.

   Enable-AzSqlInstanceActiveDirectoryOnlyAuthentication -InstanceName <myinstance> -ResourceGroupName <myresource>
   

Controllare lo stato di autenticazione solo Entra-only di Microsoft

Controllare se l'autenticazione solo Entra di Microsoft è abilitata per il server o l'istanza.

Portale

Controllare lo stato in database SQL

Passare alla risorsa di SQL Server nel portale di Azure. Selezionare Microsoft Entra ID nel menu Impostazioni.

Controllare lo stato in Istanza gestita di SQL

Passare alla risorsa dell'istanzagestita di SQL nel portale di Azure. Selezionare Microsoft Entra admin (Amministratore di Microsoft Entra) nel menu Impostazioni.

L’interfaccia della riga di comando di Azure

Questi comandi possono essere usati per verificare se l'autenticazione solo Entra di Microsoft è abilitata per il server logico per database SQL di Azure o Istanza gestita di SQL. I membri dei ruoli collaboratore e collaboratore di SQL Server Istanza gestita di SQL possono usare questi comandi per controllare lo stato dell'autenticazione solo Entra-only di Microsoft, ma non possono abilitare o disabilitare la funzionalità.

Controllare lo stato in database SQL

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL. Per altre informazioni sulla gestione dell'autenticazione solo di Microsoft Entra-only con le API, vedere Managing Microsoft Entra-only authentication using APIs (Gestione dell'autenticazione solo Entra-only con Le API)

   az login
   

2. Eseguire il comando seguente, sostituendo <myserver> con il nome del server SQL e <myresource> con la risorsa di Azure che contiene il server SQL.

   az sql server ad-only-auth get --resource-group <myresource> --name <myserver>
   

3. Verrà visualizzato l'output seguente:

   {
    "azureAdOnlyAuthentication": true,
    "/subscriptions/<guid>/resourceGroups/mygroup/providers/Microsoft.Sql/servers/myserver/azureADOnlyAuthentications/Default",
    "name": "Default",
    "resourceGroup": "myresource",
    "type": "Microsoft.Sql/servers"
   }
   

Controllare lo stato in Istanza gestita di SQL

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL.

   az login
   

2. Eseguire il comando seguente, sostituendo <myserver> con il nome del server SQL e <myresource> con la risorsa di Azure che contiene il server SQL.

   az sql mi ad-only-auth get --resource-group <myresource> --name <myserver>
   

3. Verrà visualizzato l'output seguente:

   {
    "azureAdOnlyAuthentication": true,
    "id": "/subscriptions/<guid>/resourceGroups/myresource/providers/Microsoft.Sql/managedInstances/myinstance/azureADOnlyAuthentications/Default",
    "name": "Default",
    "resourceGroup": "myresource",
    "type": "Microsoft.Sql/managedInstances"
   }
   

PowerShell

Questi comandi possono essere usati per verificare se l'autenticazione solo Entra di Microsoft è abilitata per il server logico per database SQL di Azure o Istanza gestita di SQL. I membri dei ruoli collaboratore e collaboratore di SQL Server Istanza gestita di SQL possono usare questi comandi per controllare lo stato dell'autenticazione solo Entra-only di Microsoft, ma non possono abilitare o disabilitare la funzionalità.

Lo stato restituirà True se la funzionalità è abilitata e False se disabilitata.

Controllare lo stato in database SQL

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL. Per altre informazioni sulla gestione dell'autenticazione solo di Microsoft Entra-only con le API, vedere Managing Microsoft Entra-only authentication using APIs (Gestione dell'autenticazione solo Entra-only con Le API)

   Connect-AzAccount
   

2. Eseguire il comando seguente, sostituendo <myserver> con il nome del server SQL e <myresource> con la risorsa di Azure che contiene il server SQL.

   Get-AzSqlServerActiveDirectoryOnlyAuthentication  -ServerName <myserver> -ResourceGroupName <myresource>
   

Controllare lo stato in Istanza gestita di SQL

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL.

   Connect-AzAccount
   

2. Eseguire il comando seguente, sostituendo <myinstance> con il nome Istanza gestita di SQL e <myresource> con la risorsa di Azure che contiene l'istanza gestita di SQL.

   Get-AzSqlInstanceActiveDirectoryOnlyAuthentication -InstanceName <myinstance> -ResourceGroupName <myresource>
   

Testare l'autenticazione SQL con un errore di connessione

Dopo aver abilitato l'autenticazione solo Entra-only, eseguire il test con SQL Server Management Studio (SSMS) per connettersi al database SQL o all'Istanza gestita di SQL. Usare l'autenticazione SQL per la connessione.

Verrà visualizzato un messaggio di accesso non riuscito simile all'output seguente:

Cannot connect to <myserver>.database.windows.net.
Additional information:
  Login failed for user 'username'. Reason: Azure Active Directory only authentication is enabled.
  Please contact your system administrator. (Microsoft SQL Server, Error: 18456)

Disabilitare l'autenticazione solo Entra di Microsoft

Disabilitando la funzionalità di autenticazione solo Entra di Microsoft, è possibile consentire sia l'autenticazione SQL che l'autenticazione Di Microsoft Entra per Azure SQL.

Portale

Disabilitare in database SQL usando portale di Azure

1. Usando l'utente con il ruolo Gestione sicurezza SQL, passare al portale di Azure.
2. Passare alla risorsa di SQL Server e selezionare Microsoft Entra ID nel menu Impostazioni.
3. Per disabilitare la funzionalità di autenticazione solo Entra di Microsoft, deselezionare la casella di controllo Support only Microsoft Entra authentication for this server (Supporto solo per l'autenticazione Microsoft Entra per questo server ) e Save the setting (Salva l'impostazione).

Disabilitare in Istanza gestita di SQL usando portale di Azure

1. Usando l'utente con il ruolo Gestione sicurezza SQL, passare al portale di Azure.
2. Passare alla risorsa dell'istanza gestita di SQL e selezionare Amministratore di Active Directory nel menu Impostazioni.
3. Per disabilitare la funzionalità di autenticazione solo Entra di Microsoft, deselezionare la casella di controllo Support only Microsoft Entra authentication for this managed instance (Supporto solo per l'autenticazione di Microsoft Entra per questa istanza gestita) e Save the setting (Salva l'impostazione).

L’interfaccia della riga di comando di Azure

Disabilitare in database SQL usando l'interfaccia della riga di comando di Azure

Per disabilitare l'autenticazione solo Entra-only in database SQL di Azure tramite l'interfaccia della riga di comando di Azure, vedere i comandi seguenti.

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL.

   az login
   

2. Eseguire il comando seguente, sostituendo <myserver> con il nome del server SQL e <myresource> con la risorsa di Azure che contiene il server SQL.

   az sql server ad-only-auth disable --resource-group <myresource> --name <myserver>
   

3. Dopo aver disabilitato l'autenticazione solo Entra-only, quando si controlla lo stato verrà visualizzato l'output seguente:

   {
    "azureAdOnlyAuthentication": false,
    "/subscriptions/<guid>/resourceGroups/mygroup/providers/Microsoft.Sql/servers/myserver/azureADOnlyAuthentications/Default",
    "name": "Default",
    "resourceGroup": "myresource",
    "type": "Microsoft.Sql/servers"
   }
   

Disabilitare in Istanza gestita di SQL con l'interfaccia della riga di comando di Azure

Per disabilitare l'autenticazione solo Entra-only in Istanza gestita di SQL di Azure tramite l'interfaccia della riga di comando di Azure, vedere i comandi seguenti.

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL.

   az login
   

2. Eseguire il comando seguente, sostituendo <myserver> con il nome del server SQL e <myresource> con la risorsa di Azure che contiene il server SQL.

   az sql mi ad-only-auth disable --resource-group <myresource> --name <myserver>
   

3. Dopo aver disabilitato l'autenticazione solo Entra-only, quando si controlla lo stato verrà visualizzato l'output seguente:

   {
    "azureAdOnlyAuthentication": false,
    "id": "/subscriptions/<guid>/resourceGroups/myresource/providers/Microsoft.Sql/managedInstances/myinstance/azureADOnlyAuthentications/Default",
    "name": "Default",
    "resourceGroup": "myresource",
    "type": "Microsoft.Sql/managedInstances"
   }
   

PowerShell

Disabilitare in database SQL con PowerShell

Per disabilitare l'autenticazione solo Entra di Microsoft in database SQL di Azure tramite PowerShell, vedere i comandi seguenti.

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL.

   Connect-AzAccount
   

2. Eseguire il comando seguente, sostituendo <myserver> con il nome del server SQL e <myresource> con la risorsa di Azure che contiene il server SQL.

   Disable-AzSqlServerActiveDirectoryOnlyAuthentication -ServerName <myserver>  -ResourceGroupName <myresource>
   

Disabilitare in Istanza gestita di SQL con PowerShell

Per disabilitare l'autenticazione solo Entra-only in Istanza gestita di SQL di Azure tramite PowerShell, vedere i comandi seguenti.

1. Accedere ad Azure usando l'account con il ruolo Gestione sicurezza SQL.

   Connect-AzAccount
   

2. Eseguire il comando seguente, sostituendo <myinstance> con il nome Istanza gestita di SQL e <myresource> con la risorsa di Azure che contiene l'istanza gestita.

   Disable-AzSqlInstanceActiveDirectoryOnlyAuthentication -InstanceName <myinstance> -ResourceGroupName <myresource>
   

Testare di nuovo la connessione a SQL di Azure

Dopo aver disabilitato l'autenticazione di Microsoft Entra-only, testare la connessione usando un account di accesso di autenticazione SQL. A questo momento dovrebbe essere possibile connettersi al server o all'istanza.

Passaggi successivi

• Autenticazione esclusiva di Microsoft Entra-con Azure SQL
• Creare un server con l'autenticazione solo Entra-only abilitata in Azure SQL
• Uso di Criteri di Azure per applicare l'autenticazione solo Entra-only con Azure SQL