Zelfstudie: De rol Directory Readers toewijzen aan een Microsoft Entra-groep en het beheren van roltoewijzingen.

Dit artikel begeleidt je bij het aanmaken van een groep in Microsoft Entra ID (voorheen Azure Active Directory) en het toewijzen van die groep de rol Directory Readers. De roltoewijzing stelt groepseigenaren in staat om beheerde identiteiten voor Azure Synapse Analytics-resources aan de groep toe te voegen. Deze aanpak voorkomt dat een Privileged Role Administrator de Directory Readers-rol direct aan elke identiteit moet toewijzen.

In deze zelfstudie wordt de functie gebruikt die is geïntroduceerd in Microsoft Entra-groepen gebruiken om roltoewijzingen te beheren.

Note

Microsoft Entra Server Principals zijn momenteel in preview voor Azure Synapse Analytics.

In plaats van de rol Directory Readers kun je lagere Microsoft Graph-rechten toewijzen om het principe van least privilege te volgen. Voor meer informatie, zie Managed Identities in Microsoft Entra for Azure Synapse Analytics.

Prerequisites

roltoewijzing voor Directory Readers met de Azure-portal

Een nieuwe groep maken en eigenaars en rol toewijzen

  1. Je hebt een gebruiker nodig met Privileged Role Administrator-rechten voor deze initiële setup.
  2. Laat de bevoorrechte gebruiker inloggen op het Azure-portaal.
  3. Ga naar de Microsoft Entra ID-resource . Ga onder Beheren naar Groepen. Selecteer Nieuwe groep om een nieuwe groep te maken.
  4. Selecteer Beveiliging als groepstype en vul de rest van de velden in. Zorg ervoor dat de instelling Microsoft Entra-rollen aan de groep kan worden toegewezen, is omgezet naar Ja. Wijs vervolgens de rol Directory-lezers van Microsoft Entra ID toe aan de groep.
  5. Wijs Microsoft Entra-gebruikers toe als eigenaren van de groep. Een groepseigenaar kan een gewone Microsoft Entra-gebruiker zijn zonder een administratieve rol. De eigenaar moet een gebruiker zijn die je Azure Synapse-resource beheert.
  6. Klik op Creëren.

Controleer de groep die je hebt aangemaakt

Note

Zorg ervoor dat het groepstypeSecurity is. Azure Synapse SQL ondersteunt geen Microsoft 365-groepen.

Om de groep die je hebt aangemaakt te controleren en te beheren, ga je terug naar het Groepen-paneel in het Azure-portaal en zoek je op je groepsnaam. Je kunt meer eigenaren en leden toevoegen in het menu Eigenaren en Leden bij de instelling Beheren nadat je je groep hebt geselecteerd. U kunt ook de toegewezen rollen voor de groep bekijken.

Voeg een door Azure Synapse beheerde identiteit toe aan de groep

Voor de volgende stappen heb je de gebruiker Privileged Role Administrator niet meer nodig.

  1. Log in op het Azure-portaal als gebruiker die de Azure Synapse-resource beheert en eigenaar is van de groep die je hebt aangemaakt.

  2. Vind de beheerde identiteit voor je Azure Synapse workspace. Voor informatie over workspace-identiteiten, zie Managed service identity for Azure Synapse Analytics.

  3. In Microsoft Entra ID, onder Beheren, selecteer Enterprise-applicaties. Zoek naar de beheerde identiteit en noteer de Object-ID.

  4. In Microsoft Entra ID, onder Beheren, selecteer Groepen. Selecteer de groep die je hebt aangemaakt en selecteer vervolgens Leden>Leden toevoegen. Zoek naar en voeg de Azure Synapse managed identity toe.

Note

Het kan een paar minuten duren voordat de machtigingen zich verspreiden en toegang tot Microsoft Graph mogelijk maken.

Remarks

Je kunt de serveridentiteit aanmaken tijdens het aanmaken van de logische server of nadat de server is aangemaakt. Voor meer informatie over hoe je de serveridentiteit aanmaakt of instelt in Azure Synapse, zie Managed identities for Azure Synapse Analytics.

Het toewijzen van de rol Directory Readers aan de serveridentiteit is niet vereist voor Azure Synapse bij het instellen van een Microsoft Entra-beheerder voor de logische server. Om echter Microsoft Entra-objectcreatie in Azure Synapse namens een Microsoft Entra-applicatie mogelijk te maken, is de rol Directory Readers (of lagere niveaumachtigingen besproken in Managed Identities in Microsoft Entra for Azure SQL) vereist. Als je de rol niet toewijst aan de logische serveridentiteit, faalt het aanmaken van Microsoft Entra-gebruikers.

Roltoewijzing adreslijstlezers met behulp van PowerShell

Important

Een Privileged Role Administrator moet deze eerste stappen uitvoeren. Naast PowerShell biedt Microsoft Entra ID Microsoft Graph API aan voor het maken van een groep die kan worden toegewezen aan rollen in Microsoft Entra-id.

  1. Download de Microsoft Graph PowerShell-module met behulp van de volgende commando's. Mogelijk moet u PowerShell uitvoeren als beheerder.

    Install-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Authentication
# To verify that the module is ready to use, run the following command:
Get-Module Microsoft.Graph.Authentication

  2. Maak verbinding met uw Microsoft Entra-tenant.

    Connect-MgGraph

  3. Maak een beveiligingsgroep om de rol Adreslijstlezers toe te wijzen.

    • DirectoryReaderGroup, Directory Reader Groupen DirRead kan worden gewijzigd op basis van uw voorkeur.
    $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
$group

  4. Wijs de rol Directory Readers toe aan de groep.

    # Displays the Directory Readers role information
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
$roleDefinition

    # Assigns the Directory Readers role to the group
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
$roleAssignment

  5. Wijs eigenaren toe aan de groep.

    • Vervang <username> door de gebruiker die u eigenaar wilt zijn van deze groep. Voeg meerdere eigenaren toe door deze stappen te herhalen.
    $newGroupOwner = Get-MgUser -UserId "<username>"
$newGroupOwner

    $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)"

    Controleer de eigenaren van de groep:

    Get-MgGroupOwner -GroupId $group.Id

    U kunt ook de eigenaren van de groep verifiëren in Azure Portal. Om de groep te controleren die je hebt aangemaakt, zie Controleren van de groep die is aangemaakt.

Wijs de service-principal als lid van de groep toe

Voor de volgende stappen heb je de gebruiker Privileged Role Administrator niet meer nodig.

  1. Als groepseigenaar die ook de Azure Synapse-resource beheert, voer je het volgende commando uit om verbinding te maken met Microsoft Entra ID.

    Connect-MgGraph

  2. Wijs de service-principal toe als lid van de groep die je hebt aangemaakt.

    # Returns the service principal of your Azure SQL resource
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
$managedIdentity

    # Adds the service principal to the group
New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id

    Met de volgende opdracht wordt de object-id van de service-principal geretourneerd die aangeeft dat deze is toegevoegd aan de groep:

    Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"

Verwante onderwerpen

  • Laatst bijgewerkt om