Esercitazione: assegnare il ruolo Lettori della directory a un gruppo Microsoft Entra e gestire le assegnazioni dei ruoli.

Questo articolo ti guida nella creazione di un gruppo in Microsoft Entra ID (precedentemente Azure Active Directory) e nell'assegnazione di quel gruppo al ruolo di Directory Readers. L'assegnazione dei ruoli consente ai proprietari di gruppi di aggiungere identità gestite per le risorse di Azure Synapse Analytics al gruppo. Questo approccio evita di richiedere a un Amministratore di Ruoli Privilegiati di assegnare direttamente il ruolo di Lettori di Directory a ciascuna identità.

Questa esercitazione usa la funzionalità introdotta in Usare i gruppi di Microsoft Entra per gestire le assegnazioni di ruolo.

Nota

Le entità server di Microsoft Entra sono attualmente in anteprima per Azure Synapse Analytics.

Invece del ruolo di Directory Readers, puoi assegnare permessi Microsoft Graph di livello inferiore per seguire il principio del privilegio minimo. Per maggiori informazioni, vedi Managed identities in Microsoft Entra for Azure Synapse Analytics.

Prerequisites

Assegnazione del ruolo Directory Readers tramite il portale Azure

Creare un nuovo gruppo e assegnare i proprietari e i ruoli

  1. Per questa configurazione iniziale serve un utente con permessi di Amministratore di Ruoli Privilegiati .
  2. Fai accedere l'utente privilegiato al portale Azure.
  3. Passare alla risorsa Microsoft Entra ID. In Gestisci passare a Gruppi. Selezionare Nuovo gruppo per creare un nuovo gruppo.
  4. Selezionare Sicurezza come tipo di gruppo e compilare gli altri campi. Assicurati che l'impostazione I ruoli Microsoft Entra possono essere assegnati al gruppo sia impostata su Yes. Assegnare quindi al gruppo il ruolo amministratori che leggono la directory di Microsoft Entra ID.
  5. Assegnare gli utenti Microsoft Entra come proprietari del gruppo. Un proprietario di gruppo può essere un utente Microsoft Entra normale senza un ruolo amministrativo. Il proprietario dovrebbe essere un utente che gestisce la tua risorsa Azure Synapse.
  6. Seleziona Crea.

Controlla il gruppo che hai creato

Nota

Assicurati che il Tipo di Gruppo sia Security. Azure Synapse SQL non supporta i gruppi Microsoft 365.

Per controllare e gestire il gruppo che hai creato, torna nel pannello Gruppi nel portale Azure e cerca il nome del tuo gruppo. Puoi aggiungere altri proprietari e membri nel menu Proprietari e Membri dell'impostazione Gestione dopo aver selezionato il gruppo. È anche possibile esaminare i Ruoli assegnati per il gruppo.

Aggiungi un'identità gestita da Azure Synapse al gruppo

Per i passaggi seguenti, non è più necessario l'utente Privileged Role Administrator.

  1. Accedi al portale Azure come utente che gestisce la risorsa Azure Synapse ed è proprietario del gruppo che hai creato.

  2. Trova l'identità gestita per il tuo workspace Azure Synapse. Per informazioni sulle identità degli spazi di lavoro, vedi Managed service identity for Azure Synapse Analytics.

  3. In Microsoft Entra ID, sotto Gestisci, seleziona applicazioni Enterprise. Cerca l'identità gestita e annota il suo ID Oggetto.

  4. In Microsoft Entra ID, sotto Gestisci, seleziona Gruppi. Seleziona il gruppo che hai creato, poi seleziona Membri>Aggiungi membri. Cerca e aggiungi l'identità gestita di Azure Synapse.

Nota

Possono volerci alcuni minuti perché i permessi si propaghino e permettano l'accesso a Microsoft Graph.

Remarks

Puoi creare l'identità del server durante la creazione del server logico o dopo la creazione del server. Per maggiori informazioni su come creare o impostare l'identità server in Azure Synapse, vedi Managed identities for Azure Synapse Analytics.

Assegnare il ruolo di Directory Readers all'identità del server non è necessario per Azure Synapse quando si configura un amministratore Microsoft Entra per il server logico. Tuttavia, per abilitare la creazione di oggetti Microsoft Entra in Azure Synapse per conto di un'applicazione Microsoft Entra, è necessario il ruolo di Directory Readers (o permessi di livello inferiore discussi in Managed identities in Microsoft Entra for Azure SQL). Se non assegni il ruolo all'identità del server logico, creare utenti Microsoft Entra fallisce.

Assegnazione del ruolo Directory Readers utilizzando PowerShell

Importante

Privileged Role Administrator deve eseguire questi primi passaggi. Oltre a PowerShell, Microsoft Entra ID offre l'API Microsoft Graph per Creare un gruppo a cui è possibile assegnare ruoli in Microsoft Entra ID.

  1. Scarica il modulo PowerShell di Microsoft Graph utilizzando i seguenti comandi. Potrebbe essere necessario eseguire PowerShell come amministratore.

    Install-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Authentication
# To verify that the module is ready to use, run the following command:
Get-Module Microsoft.Graph.Authentication

  2. Connettiti al tenant di Microsoft Entra.

    Connect-MgGraph

  3. Creare un gruppo di sicurezza per assegnare il ruolo con autorizzazioni di lettura nella directory.

    • È possibile modificare DirectoryReaderGroup, Directory Reader Group e DirRead in base alle preferenze.
    $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
$group

  4. Assegna il ruolo di Lettori di directory al gruppo.

    # Displays the Directory Readers role information
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
$roleDefinition

    # Assigns the Directory Readers role to the group
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
$roleAssignment

  5. Assegnare i proprietari al gruppo.

    • Sostituire <username> con l'utente che sarà il proprietario del gruppo. Aggiungi diversi proprietari ripetendo questi passaggi.
    $newGroupOwner = Get-MgUser -UserId "<username>"
$newGroupOwner

    $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)"

    Verifica i proprietari del gruppo:

    Get-MgGroupOwner -GroupId $group.Id

    È anche possibile verificare i proprietari del gruppo nel portale di Azure. Per verificare il gruppo che hai creato, vedi Controllo del gruppo creato.

Assegna il principale del servizio come membro del gruppo

Per i passaggi seguenti, non è più necessario l'utente Amministratore del Ruolo.

  1. Come proprietario di gruppo che gestisce anche la risorsa Azure Synapse, esegui il seguente comando per connetterti a Microsoft Entra ID.

    Connect-MgGraph

  2. Assegna l'entità servizio come membro del gruppo che hai creato.

    # Returns the service principal of your Azure SQL resource
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
$managedIdentity

    # Adds the service principal to the group
New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id

    Il comando seguente restituisce l'ID oggetto dell'entità servizio che indica che l'aggiunta al gruppo è riuscita:

    Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"

Contenuti correlati

  • Ultimo aggiornamento: