Delen via

Beheerde identiteit en Microsoft Entra-verificatie instellen voor SQL Server ingeschakeld door Azure Arc

Van toepassing op: SQL Server 2025 (17.x)

Dit artikel bevat stapsgewijze instructies voor het instellen en configureren van de beheerde identiteit van Microsoft Entra ID voor SQL Server die is ingeschakeld door Azure Arc.

Zie Managed Identity for SQL Server enabled by Azure Arc (Beheerde identiteit voor SQL Server ingeschakeld door Azure Arc) voor een overzicht van beheerde identiteiten met SQL Server.

Vereiste voorwaarden

Voordat u een beheerde identiteit kunt gebruiken waarvoor SQL Server is ingeschakeld door Azure Arc, moet u ervoor zorgen dat u voldoet aan de volgende vereisten:

De primaire beheerde identiteit inschakelen

Als u de Azure-extensie voor SQL Server op uw server hebt geïnstalleerd, kunt u de primaire beheerde identiteit voor uw SQL Server-exemplaar rechtstreeks vanuit Azure Portal inschakelen. Het is ook mogelijk om de primaire beheerde identiteit handmatig in te schakelen door het register bij te werken, maar moet uiterst voorzichtig zijn.

Voer de volgende stappen uit om de primaire beheerde identiteit in azure Portal in te schakelen:

  1. Ga in Azure Portal naar uw SQL Server die is ingeschakeld door Azure Arc-resource .

  2. Selecteer onder Instellingende Microsoft Entra-id en Purview om de pagina Microsoft Entra-id en Purview te openen.

    Opmerking

    Als u de optie Microsoft Entra ID-verificatie inschakelen niet ziet, controleert u of uw SQL Server-exemplaar is verbonden met Azure Arc en of u de nieuwste SQL-extensie hebt geïnstalleerd.

  3. Schakel op de pagina Microsoft Entra-id en Purview het selectievakje in naast Een primaire beheerde identiteit gebruiken en gebruik Opslaan om uw configuratie toe te passen:

    Schermopname van de optie Microsoft Entra in Azure Portal.

Toepassingsmachtigingen verlenen aan de identiteit

Belangrijk

Alleen een beheerder van bevoorrechte rollen of een hogere rol kan deze machtigingen verlenen.

De door het systeem toegewezen beheerde identiteit, die gebruikmaakt van de naam van de machine met Arc, moet beschikken over de volgende Microsoft Graph-toepassingsmachtigingen (app-rollen):

U kunt PowerShell gebruiken om vereiste machtigingen toe te kennen aan de beheerde identiteit. U kunt ook een roltoewijzingsgroep maken. Nadat de groep is gemaakt, wijst u de rol Directory Readers of de User.Read.All, GroupMember.Read.Allen Application.Read.All machtigingen toe aan de groep en voegt u alle door het systeem toegewezen beheerde identiteiten voor uw Azure Arc-machines toe aan de groep. Het wordt afgeraden de rol Directory Readers te gebruiken in uw productieomgeving.

Het volgende PowerShell-script verleent de vereiste machtigingen voor de beheerde identiteit. Zorg ervoor dat dit script wordt uitgevoerd op PowerShell 7.5 of hoger en dat de Microsoft.Graph module 2.28 of hoger is geïnstalleerd.

# Set your Azure tenant and managed identity name
$tenantID = '<Enter-Your-Azure-Tenant-Id>'
$managedIdentityName = '<Enter-Your-Arc-HostMachine-Name>'

# Connect to Microsoft Graph
try {
    Connect-MgGraph -TenantId $tenantID -ErrorAction Stop
    Write-Output "Connected to Microsoft Graph successfully."
}
catch {
    Write-Error "Failed to connect to Microsoft Graph: $_"
    return
}

# Get Microsoft Graph service principal
$graphAppId = '00000003-0000-0000-c000-000000000000'
$graphSP = Get-MgServicePrincipal -Filter "appId eq '$graphAppId'"
if (-not $graphSP) {
    Write-Error "Microsoft Graph service principal not found."
    return
}

# Get the managed identity service principal
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '$managedIdentityName'"
if (-not $managedIdentity) {
    Write-Error "Managed identity '$managedIdentityName' not found."
    return
}

# Define roles to assign
$requiredRoles = @(
    "User.Read.All",
    "GroupMember.Read.All",
    "Application.Read.All"
)

# Assign roles using scoped syntax
foreach ($roleValue in $requiredRoles) {
    $appRole = $graphSP.AppRoles | Where-Object {
        $_.Value -eq $roleValue -and $_.AllowedMemberTypes -contains "Application"
    }

    if ($appRole) {
        try {
            New-MgServicePrincipalAppRoleAssignment   -ServicePrincipalId $managedIdentity.Id `
                -PrincipalId $managedIdentity.Id `
                -ResourceId $graphSP.Id `
                -AppRoleId $appRole.Id `
                -ErrorAction Stop

            Write-Output "Successfully assigned role '$roleValue' to '$managedIdentityName'."
        }
        catch {
            Write-Warning "Failed to assign role '$roleValue': $_"
        }
    }
    else {
        Write-Warning "Role '$roleValue' not found in Microsoft Graph AppRoles."
    }
}

Aanmeldingen en gebruikers maken

Volg de stappen in de zelfstudie Microsoft Entra om aanmeldingen en gebruikers voor de beheerde identiteit te maken.

Verwante inhoud

  • Last updated on