Samouczek: przypisanie roli Czytelnika katalogu do grupy Microsoft Entra oraz zarządzanie nimi

Ten artykuł przeprowadzi Cię przez tworzenie grupy w Microsoft Entra ID (dawniej Azure Active Directory) i przypisanie tej grupie roli Directory Readers. Przypisanie ról pozwala właścicielom grup dodawać zarządzane tożsamości zasobów Azure Synapse Analytics do grupy. Takie podejście eliminuje konieczność, aby Privileged Role Administrator przypisywał rolę Directory Readers bezpośrednio do każdej tożsamości.

W tym samouczku użyto funkcji wprowadzonej w Używanie grup Microsoft Entra do zarządzania rolami.

Uwaga

Tożsamości serwera Microsoft Entra są obecnie dostępne w wersji zapoznawczej dla Azure Synapse Analytics.

Zamiast roli Directory Readers możesz przypisać uprawnienia Microsoft Graph niższego poziomu, aby stosować zasadę najmniejszych uprawnień. Więcej informacji można znaleźć w Managed identities in Microsoft Entra for Azure Synapse Analytics.

Prerequisites

Przydział ról Directory Readers za pomocą portalu Azure

Tworzenie nowej grupy i przypisywanie właścicieli i roli

  1. Do tej początkowej konfiguracji potrzebujesz użytkownika z uprawnieniami Privileged Role Administrator.
  2. Niech użytkownik z uprawnieniami zaloguje się do portalu Azure.
  3. Przejdź do zasobu Microsoft Entra ID . W obszarze Zarządzanie przejdź do pozycji Grupy. Wybierz pozycję Nowa grupa , aby utworzyć nową grupę.
  4. Wybierz pozycję Zabezpieczenia jako typ grupy i wypełnij pozostałe pola. Upewnij się, że ustawienie role Microsoft Entra można przypisywać do grupy jest przełączone na Tak. Następnie przypisz do grupy rolę czytelników katalogu Entra ID firmy Microsoft.
  5. Przypisz użytkowników Microsoft Entra jako właścicieli grupy. Właściciel grupy może być zwykłym użytkownikiem Microsoft Entra bez roli administratora. Właścicielem powinien być użytkownik, który zarządza twoim zasobem Azure Synapse.
  6. Wybierz Utwórz.

Sprawdź grupę, którą stworzyłeś

Uwaga

Upewnij się, że typ grupy to Bezpieczeństwo. Azure Synapse SQL nie obsługuje grup Microsoft 365.

Aby sprawdzić i zarządzać utworzoną przez siebie grupą, wróć do panelu Grupy w portalu Azure i wyszukaj nazwę swojej grupy. Możesz dodać więcej właścicieli i członków w sekcjach Właściciele i Członkowie w sekcji Zarządzaj po wybraniu grupy. Możesz również przejrzeć przypisane role dla grupy.

Dodaj zarządzaną tożsamość Azure Synapse do grupy

Do kolejnych kroków nie potrzebujesz już użytkownika Privileged Role Administrator.

  1. Zaloguj się do portalu Azure jako użytkownik zarządzający zasobem Azure Synapse i będący właścicielem utworzonej przez Ciebie grupy.

  2. Znajdź zarządzaną tożsamość dla swojego obszaru synapse platformy Azure. Informacje o tożsamościach obszaru roboczego można znaleźć w artykule Tożsamość usługi zarządzanej dla usługi Azure Synapse Analytics.

  3. W Microsoft Entra ID w obszarze Zarządzaj wybierz pozycję Aplikacje dla przedsiębiorstw. Wyszukaj zarządzaną tożsamość i zanotuj jej identyfikator obiektu.

  4. W Microsoft Entra ID, w sekcji Zarządzaj, wybierz Grupy. Wybierz grupę, którą stworzyłeś, a następnie wybierz Członkowie>Dodaj członków. Wyszukaj i dodaj Azure Synapse managed identity.

Uwaga

Propagacja uprawnień i umożliwienie dostępu do Microsoft Graph może zająć kilka minut.

Remarks

Tożsamość serwera możesz utworzyć podczas tworzenia logicznego serwera lub po jego utworzeniu. Aby uzyskać więcej informacji o tym, jak utworzyć lub ustawić tożsamość serwera w Azure Synapse, zobacz Tożsamości zarządzane dla usługi Azure Synapse Analytics.

Przypisanie roli Directory Readers do tożsamości serwera nie jest wymagane w Azure Synapse podczas konfigurowania administratora Microsoft Entra dla logicznego serwera. Aby jednak umożliwić tworzenie obiektów Microsoft Entra w Azure Synapse w imieniu aplikacji Microsoft Entra, wymagana jest rola Directory Readers (lub uprawnienia niższego poziomu omówione w Managed identities in Microsoft Entra for Azure SQL). Jeśli nie przypiszesz roli do tożsamości logicznego serwera, tworzenie użytkowników Microsoft Entra nie powiedzie się.

Przypisywanie roli Czytelników katalogów przy użyciu programu PowerShell

Important

Privileged Role Administrator musi wykonać te początkowe kroki. Oprócz programu PowerShell, Microsoft Entra ID oferuje interfejs API Microsoft Graph do utworzenia grupy z przypisywalnymi rolami w Microsoft Entra ID.

  1. Pobierz moduł Microsoft Graph PowerShell, korzystając z następujących poleceń. Może być konieczne uruchomienie programu PowerShell jako administrator.

    Install-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Authentication
# To verify that the module is ready to use, run the following command:
Get-Module Microsoft.Graph.Authentication

  2. Połącz się ze swoim kontem dzierżawy Microsoft Entra.

    Connect-MgGraph

  3. Utwórz grupę zabezpieczeń, aby przypisać rolę Czytelnicy katalogu.

    • DirectoryReaderGroup, Directory Reader Groupi DirRead można zmienić zgodnie z preferencjami.
    $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
$group

  4. Przypisz grupie rolę Directory Readers.

    # Displays the Directory Readers role information
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
$roleDefinition

    # Assigns the Directory Readers role to the group
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
$roleAssignment

  5. Przypisz właścicieli do grupy.

    • Zastąp element <username> użytkownikiem, którego chcesz, aby był właścicielem tej grupy. Dodaj kilku właścicieli, powtarzając te kroki.
    $newGroupOwner = Get-MgUser -UserId "<username>"
$newGroupOwner

    $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)"

    Sprawdź właścicieli grupy:

    Get-MgGroupOwner -GroupId $group.Id

    Możesz również zweryfikować właścicieli grupy w witrynie Azure Portal. Aby sprawdzić utworzoną przez Ciebie grupę, zobacz Sprawdzenie utworzonej grupy.

Przypisywanie jednostki usługi jako członka grupy

Do kolejnych kroków nie potrzebujesz już użytkownika Privileged Role Administrator.

  1. Jako właściciel grupy, który zarządza także zasobem Azure Synapse, wykonaj następujące polecenie, aby połączyć się z Microsoft Entra ID.

    Connect-MgGraph

  2. Przypisz jednostkę usługi jako członka grupy, którą utworzyłeś.

    # Returns the service principal of your Azure SQL resource
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
$managedIdentity

    # Adds the service principal to the group
New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id

    Następujące polecenie zwróci identyfikator obiektu jednostki usługi wskazujący, że został dodany do grupy:

    Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"

Treści powiązane

  • Ostatnia aktualizacja o