Создание сервера с включенной проверкой подлинности только в Microsoft Entra в SQL Azure

Применимо к:База данных SQL Azure Управляемый экземпляр SQL Azure

В этом руководстве описаны действия по созданию логического сервера для База данных SQL Azure или Управляемый экземпляр SQL Azure с включенной проверкой подлинности только для Microsoft Entra во время подготовки. Функция проверки подлинности только для Microsoft Entra запрещает пользователям подключаться к серверу или управляемому экземпляру с помощью проверки подлинности SQL и разрешает только подключения, прошедшие проверку подлинности с помощью идентификатора Microsoft Entra (ранее — Azure Active Directory).

Примечание.

Идентификатор Microsoft Entra ранее был известен как Azure Active Directory (Azure AD).

Необходимые компоненты

• При использовании Azure CLI требуется версия 2.26.1 или более поздняя. Дополнительные сведения об установке Azure CLI и последней версии см. в этой статье.
• При использовании PowerShell необходимо использовать модуль AZ 6.1.0 или выше.
• Когда вы подготавливаете управляемый экземпляр с помощью Azure CLI, PowerShell или REST API, перед началом работы необходимо создать виртуальную сеть и подсеть. Дополнительные сведения см. в статье о создании виртуальной сети для Управляемого экземпляра SQL Azure.

Разрешения

Чтобы подготовить к работе логический сервер или управляемый экземпляр, необходимы соответствующие разрешения для создания этих ресурсов. Пользователи Azure с разрешениями более высокого уровня, например владельцы подписок, участники, администраторы служб и соадминистраторы, имеют право на создание сервера SQL или управляемого экземпляра. Чтобы создать эти ресурсы с минимально привилегированной ролью Azure RBAC, используйте роль Участник SQL Server для Базы данных SQL и роль Участник управляемого экземпляра SQL для Управляемого экземпляра SQL.

Роль Диспетчера безопасности SQL Azure RBAC не имеет достаточных разрешений для создания сервера или экземпляра с включенной проверкой подлинности только для Microsoft Entra. Роль диспетчера безопасности SQL потребуется для управления функцией проверки подлинности только для Microsoft Entra после создания сервера или экземпляра.

Подготовка с включенной проверкой подлинности только для Microsoft Entra

В следующем разделе приведены примеры и сценарии по созданию логического сервера или управляемого экземпляра с набором администраторов Microsoft Entra для сервера или экземпляра и включена проверка подлинности только для Microsoft Entra во время создания сервера. Дополнительные сведения о функции см. в разделе проверки подлинности только для Microsoft Entra.

В наших примерах мы включаем проверку подлинности только для Microsoft Entra во время создания сервера или управляемого экземпляра с администратором сервера и паролем назначаемого системой. Это позволит предотвратить доступ администратора сервера, если включена проверка подлинности только для Microsoft Entra, и только администратор Microsoft Entra может получить доступ к ресурсу. Необязательно добавлять параметры в интерфейсы API, чтобы включить собственный администратор сервера и пароль во время создания сервера. Однако пароль нельзя сбросить, пока не отключите проверку подлинности только для Microsoft Entra. Пример использования этих необязательных параметров для указания имени пользователя администратора сервера представлен на вкладке PowerShell на этой странице.

Примечание.

Чтобы изменить имеющиеся свойства после создания сервера или управляемого экземпляра, следует использовать другие имеющиеся интерфейсы API. Дополнительные сведения см. в разделе "Управление проверкой подлинности только для Microsoft Entra" с помощью API и настройки проверки подлинности Microsoft Entra с помощью SQL Azure и управления ими.

Если для проверки подлинности microsoft Entra задано значение false, то по умолчанию администратор сервера и пароль должны быть включены во все API во время создания сервера или управляемого экземпляра.

База данных SQL Azure

Портал

1. Перейдите на страницу Выберите вариант развертывания SQL на портале Azure.

2. Если вы еще не вошли на портал Azure, выполните вход при появлении соответствующего запроса.

3. В разделе Базы данных SQL оставьте для параметра Тип ресурса значение Отдельная база данных и нажмите кнопку Создать.

4. На вкладке Основные сведения формы Создание базы данных SQL в разделе Сведения о проекте выберите подходящую подписку Azure.

5. В разделе Группа ресурсов щелкните Создать новую, введите имя группы ресурсов и нажмите ОК.

6. В поле Имя базы данных введите имя для вашей базы данных.

7. В группе Сервер выберите Создать и заполните форму создания сервера следующим образом:

   • В поле Имя сервера введите уникальное имя сервера. Имена серверов должны быть глобально уникальными для всех серверов в Azure, а не только в рамках подписки. Введите значение, и портал Azure сообщит вам, доступно оно или нет.
   • Расположение. Выберите расположение из раскрывающегося списка.
   • Метод проверки подлинности: выбор проверки подлинности только для Microsoft Entra.
   • Выберите "Задать администратора", чтобы открыть область идентификатора Microsoft Entra и выбрать субъект Microsoft Entra в качестве администратора логического сервера Microsoft Entra. Когда все будет готово, нажать кнопку Выбрать, чтобы задать администратора.

   

8. В нижней части страницы нажмите кнопку Далее: сети.

9. На вкладке Сеть в разделе Метод подключения выберите Общедоступная конечная точка.

10. В разделе Правила брандмауэра установите переключатель Добавить текущий IP-адрес клиента в положение Да. Оставьте значение Нет для параметра Разрешить доступ к серверу службам и ресурсам Azure.

11. Оставьте для параметров Политика подключения и Минимальная версия протокола TLS значения по умолчанию.

12. Выберите Далее: безопасность доступа в нижней части страницы. Настройте любые параметры Microsoft Defender для SQL, реестра, удостоверений и прозрачного шифрования данных для своей среды. Вы также можете пропустить эти параметры.

    Примечание.

    Использование управляемого удостоверения, назначаемого пользователем, в качестве удостоверения сервера поддерживается только для проверки подлинности Microsoft Entra. Чтобы подключиться к экземпляру в качестве удостоверения, назначьте его виртуальной машине Azure и запустите SSMS на этой виртуальной машине. Для рабочих сред рекомендуется использовать управляемое удостоверение администратора Microsoft Entra из-за расширенных упрощенных мер безопасности с проверкой подлинности без пароля в ресурсах Azure.

13. В нижней части страницы выберите Review + create (Проверить и создать).

14. На странице Просмотр и создание после проверки нажмите кнопку Создать.

CLI Azure.

Команда Azure CLI az sql server create используется для подготовки нового логического сервера. Следующая команда подготовит новый сервер с включенной проверкой подлинности только для Microsoft Entra.

Администратор SQL сервера будет автоматически создан, а пароль будет задан случайным паролем. Так как подключение к проверке подлинности SQL отключено при создании этого сервера, имя входа администратора SQL не будет использоваться.

Администратор Microsoft Entra будет учетной записью, которую <MSEntraAccount>вы задали, и может использоваться для управления сервером.

Замените в примере приведенные ниже значения.

• <MSEntraAccount>: может быть пользователем или группой Microsoft Entra. Например: DummyLogin
• <MSEntraAccountSID>: идентификатор объекта Microsoft Entra для пользователя
• <ResourceGroupName>: имя группы ресурсов для логического сервера.
• <ServerName>: используйте уникальное имя логического сервера.

az sql server create \
    --enable-ad-only-auth \
    --external-admin-principal-type User \
    --external-admin-name <MSEntraAccount> \
    --external-admin-sid <MSEntraAccountSID> \
    -g <ResourceGroupName> \
    -n <ServerName>

Дополнительные сведения см. в разделе az sql server create.

Чтобы проверить состояние сервера после создания, используйте следующую команду:

az sql server show --name <ServerName> --resource-group <ResourceGroupName> --expand-ad-admin

PowerShell

Команда New-AzSqlServer PowerShell используется для подготовки нового логического сервера. Следующая команда подготовит новый сервер с включенной проверкой подлинности только для Microsoft Entra.

Администратор SQL сервера будет автоматически создан, а пароль будет задан случайным паролем. Так как подключение к проверке подлинности SQL отключено при создании этого сервера, имя входа администратора SQL не будет использоваться.

Администратор Microsoft Entra будет учетной записью, которую <MSEntraAccount>вы задали, и может использоваться для управления сервером.

Замените в примере приведенные ниже значения.

• <ResourceGroupName>: имя группы ресурсов для логического сервера.
• <Location>: расположение сервера, например West US или Central US.
• <ServerName>: используйте уникальное имя логического сервера.
• <MSEntraAccount>: может быть пользователем или группой Microsoft Entra. Например: DummyLogin

$server = @{
    ResourceGroupName = "<ResourceGroupName>"
    Location = "<Location>"
    ServerName = "<ServerName>"
    ServerVersion = "12.0"
    ExternalAdminName = "<MSEntraAccount>"
    EnableActiveDirectoryOnlyAuthentication = $true
}

New-AzSqlServer @server

Ниже приведен пример того, как можно указать имя администратора сервера (а не создавать его автоматически) во время создания логического сервера. Как упоминание ранее, это имя входа невозможно использовать, если включена проверка подлинности только для Microsoft Entra.

$cred = Get-Credential
New-AzSqlServer -ResourceGroupName "<ResourceGroupName>" -Location "<Location>" -ServerName "<ServerName>" -ServerVersion "12.0" -ExternalAdminName "<MSEntraAccount>" -EnableActiveDirectoryOnlyAuthentication -SqlAdministratorCredentials $cred

Дополнительные сведения см. в разделе New-AzSqlServer.

REST API

Серверы — создание или обновление REST API можно использовать для создания логического сервера с включенной проверкой подлинности только для Microsoft Entra во время подготовки.

Приведенный ниже сценарий подготавливает логический сервер, задает администратора Microsoft Entra как <MSEntraAccount>и включает проверку подлинности только для Microsoft Entra. Администратор SQL сервера также будет создан автоматически, и пароль будет задан случайным паролем. Так как подключение к проверке подлинности SQL отключено с этой подготовкой, имя входа администратора SQL не будет использоваться.

Администратор <MSEntraAccount> Microsoft Entra может использоваться для управления сервером после завершения подготовки.

Замените в примере приведенные ниже значения.

• <tenantId>: можно найти, перейдя в портал Azure и перейдя к ресурсу идентификатора Microsoft Entra. В области Обзор должен отображаться параметр Идентификатор клиента.
• <subscriptionId>: ваш идентификатор подписки можно найти на портале Azure.
• <ServerName>: используйте уникальное имя логического сервера.
• <ResourceGroupName>: имя группы ресурсов для логического сервера.
• <MicrosoftEntraAccount>: может быть пользователем, группой или приложением Microsoft Entra. Например: DummyLogin
• <Location>: расположение сервера, например westus2 или centralus.
• <objectId>: можно найти, перейдя в портал Azure и перейдя к ресурсу идентификатора Microsoft Entra. На панели "Пользователь" найдите пользователя Microsoft Entra и найдите свой идентификатор объекта. Если вы используете приложение (субъект-службу) в качестве администратора Microsoft Entra, замените это значение идентификатором приложения. Вам также потребуется обновить principalType.
• <principalType>: один из трех вариантов: пользователь, группа, приложение. Тип объекта Microsoft Entra, используемого в качестве администратора. Управляемые удостоверения и субъекты-службы — приложения.

Import-Module Azure
Import-Module MSAL.PS

$tenantId = '<tenantId>'
$clientId = '1950a258-227b-4e31-a9cf-717495945fc2' # Static Microsoft client ID used for getting a token
$subscriptionId = '<subscriptionId>'
$uri = "urn:ietf:wg:oauth:2.0:oob" 
$authUrl = "https://login.windows.net/$tenantId"
$serverName = "<ServerName>"
$resourceGroupName = "<ResourceGroupName>"

Login-AzAccount -tenantId $tenantId

# login as a user with SQL Server Contributor role or higher 

# Get a token

$result = Get-MsalToken -RedirectUri $uri -ClientId $clientId -TenantId $tenantId -Scopes "https://management.core.windows.net/.default"

#Authetication header
$authHeader = @{
'Content-Type'='application\json; '
'Authorization'=$result.CreateAuthorizationHeader()
}

# Enable Microsoft Entra-only auth 
# No server admin is specified, Microsoft Entra admin is configured, and Microsoft Entra-only authentication is set to true
# Server admin (login and password) is randomly generated by the system

# Authentication body
# The sid is the Microsoft Entra Object ID for the user or group, and Application ID for applications. Update the principalType as well

$body = '{ 
"location": "<Location>",
"properties": { "administrators":{ "login":"<MSEntraAccount>", "sid":"<objectId>", "tenantId":"<tenantId>", "principalType":"User", "azureADOnlyAuthentication":true }
  }
}'

# Provision the server

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/?api-version=2020-11-01-preview -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Чтобы проверить состояние сервера, можно использовать следующий скрипт:

$uri = 'https://management.azure.com/subscriptions/'+$subscriptionId+'/resourceGroups/'+$resourceGroupName+'/providers/Microsoft.Sql/servers/'+$serverName+'?api-version=2020-11-01-preview&$expand=administrators/activedirectory'

$responce=Invoke-WebRequest -Uri $uri -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

$responce.statuscode

$responce.content

Шаблон ARM

Дополнительные сведения и шаблоны ARM см. в разделе о шаблонах Azure Resource Manager для Базы данных SQL Azure и Управляемого экземпляра SQL.

Чтобы подготовить логический сервер с набором администраторов Microsoft Entra для сервера и проверки подлинности только для Microsoft Entra с помощью шаблона ARM, ознакомьтесь с шаблоном быстрого запуска проверки подлинности только для Microsoft Entra.

Вы также можете использовать указанный ниже шаблон. Используйте инструкции из разделов о пользовательском развертывании на портале Azure и создании собственного шаблона с помощью редактора. Затем необходимо сохранить конфигурацию после того, как вставлен пример.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "server": {
            "type": "string",
            "defaultValue": "[uniqueString('sql', resourceGroup().id)]",
            "metadata": {
                "description": "The name of the logical server."
            }
        },
        "location": {
            "type": "string",
            "defaultValue": "[resourceGroup().location]",
            "metadata": {
                "description": "Location for all resources."
            }
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL server."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin if the admin is a user or group. For Applications, use the Application ID."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers",
            "apiVersion": "2020-11-01-preview",
            "name": "[parameters('server')]",
            "location": "[parameters('location')]",
            "properties": {
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}

Управляемый экземпляр SQL Azure

Портал

1. Перейдите на страницу Выберите вариант развертывания SQL на портале Azure.

2. Если вы еще не вошли на портал Azure, выполните вход при появлении соответствующего запроса.

3. В разделе Управляемые экземпляры SQL оставьте для параметра Тип ресурса значение Отдельная база данных и нажмите кнопку Создать.

4. Заполните обязательные поля на вкладке Основное в разделах Сведения о проекте и Сведения об управляемом экземпляре. Это минимальный набор необходимых сведений для подготовки Управляемого экземпляра SQL.

   

   Дополнительные сведения о параметрах конфигурации см. в статье Краткое руководство. Создание Управляемого экземпляра SQL Azure.

5. В разделе "Проверка подлинности" выберите "Использовать проверку подлинности только для Microsoft Entra" для метода проверки подлинности.

6. Выберите "Задать администратора" , чтобы открыть область идентификатора Microsoft Entra и выбрать субъект Microsoft Entra в качестве администратора Microsoft Entra. Когда все будет готово, нажать кнопку Выбрать, чтобы задать администратора.

   

7. Для остальных параметров можно оставить значения по умолчанию. Дополнительные сведения о вкладках Сеть, Безопасность, а также других вкладках и параметрах можно найти в статье Краткое руководство. Создание Управляемого экземпляра SQL Azure.

8. Настроив параметры, выберите Проверить и создать чтобы продолжить. Выберите Создать, чтобы начать подготовку управляемого экземпляра.

CLI Azure.

Команда Azure CLI az sql mi create используется для подготовки нового Управляемого экземпляра SQL Azure. Следующая команда подготовит новый управляемый экземпляр с включенной проверкой подлинности только для Microsoft Entra.

Примечание.

Для данного сценария требуется создать виртуальную сеть и подсеть в качестве необходимого компонента.

Администратор SQL управляемого экземпляра будет автоматически создан, а пароль будет задан случайным паролем. Так как проверка подлинности SQL отключена с этой подготовкой, администратор SQL не будет использоваться.

Администратор Microsoft Entra будет учетной записью, которую <MSEntraAccount>вы задали, и может использоваться для управления экземпляром после завершения подготовки.

Замените в примере приведенные ниже значения.

• <MSEntraAccount>: может быть пользователем или группой Microsoft Entra. Например: DummyLogin
• <MSEntraAccountSID>: идентификатор объекта Microsoft Entra для пользователя
• <managedinstancename>: имя управляемого экземпляра, который требуется создать.
• <ResourceGroupName>: имя группы ресурсов для управляемого экземпляра. Группа ресурсов также должна включать созданные виртуальную сеть и подсеть.
• Параметр subnet необходимо обновить с помощью <Subscription ID>, <ResourceGroupName>, <VNetName> и <SubnetName>. Ваш идентификатор подписки можно найти на портале Azure.

az sql mi create \
    --enable-ad-only-auth \
    --external-admin-principal-type User \
    --external-admin-name <MSEntraAccount> \
    --external-admin-sid <MSEntraAccountSID> \
    -g <ResourceGroupName> \
    -n <managedinstancename> \
    --subnet /subscriptions/<Subscription ID>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>

Дополнительные сведения см. в разделе az sql mi create.

PowerShell

Команда PowerShell New-AzSqlInstance используется для подготовки нового Управляемого экземпляра SQL Azure. Следующая команда подготовит новый управляемый экземпляр с включенной проверкой подлинности только для Microsoft Entra.

Примечание.

Для данного сценария требуется создать виртуальную сеть и подсеть в качестве необходимого компонента.

Администратор SQL управляемого экземпляра будет автоматически создан, а пароль будет задан случайным паролем. Так как подключение к проверке подлинности SQL отключено с этой подготовкой, имя входа администратора SQL не будет использоваться.

Администратор Microsoft Entra будет учетной записью, которую <MSEntraAccount>вы задали, и может использоваться для управления экземпляром после завершения подготовки.

Замените в примере приведенные ниже значения.

• <managedinstancename>: имя управляемого экземпляра, который требуется создать.
• <ResourceGroupName>: имя группы ресурсов для управляемого экземпляра. Группа ресурсов также должна включать созданные виртуальную сеть и подсеть.
• <MSEntraAccount>: может быть пользователем или группой Microsoft Entra. Например: DummyLogin
• <Location>: расположение сервера, например West US или Central US.
• Параметр SubnetId необходимо обновить с помощью <Subscription ID>, <ResourceGroupName>, <VNetName> и <SubnetName>. Ваш идентификатор подписки можно найти на портале Azure.

$instanceName = @{
    Name = "<managedinstancename>"
    ResourceGroupName = "<ResourceGroupName>"
    ExternalAdminName = "<MSEntraAccount>"
    EnableActiveDirectoryOnlyAuthentication = $true
    Location = "<Location>"
    SubnetId = "/subscriptions/<SubscriptionID>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>"
    LicenseType = "LicenseIncluded"
    StorageSizeInGB = 128
    VCore = 4
    Edition = "GeneralPurpose"
    ComputeGeneration = "Gen5"
}

New-AzSqlInstance $instanceName

Дополнительные сведения см. в статье New-AzSqlInstance.

REST API

Управляемый экземпляр SQL. Создание или обновление REST API можно использовать для создания управляемого экземпляра с включенной проверкой подлинности только для Microsoft Entra во время подготовки.

Примечание.

Для данного сценария требуется создать виртуальную сеть и подсеть в качестве необходимого компонента.

Приведенный ниже сценарий подготавливает управляемый экземпляр, задает администратора Microsoft Entra как <MSEntraAccount>и включает проверку подлинности только для Microsoft Entra. Администратор SQL экземпляра также будет создан автоматически, и пароль будет задан случайным паролем. Так как подключение к проверке подлинности SQL отключено с этой подготовкой, имя входа администратора SQL не будет использоваться.

Администратор <MSEntraAccount> Microsoft Entra может использоваться для управления экземпляром после завершения подготовки.

Замените в примере приведенные ниже значения.

• <tenantId>: можно найти, перейдя в портал Azure и перейдя к ресурсу идентификатора Microsoft Entra. В области Обзор должен отображаться параметр Идентификатор клиента.
• <subscriptionId>: ваш идентификатор подписки можно найти на портале Azure.
• <instanceName>: используйте уникальное имя управляемого экземпляра.
• <ResourceGroupName>: имя группы ресурсов для логического сервера.
• <MSEntraAccount>: может быть пользователем или группой Microsoft Entra. Например: DummyLogin
• <Location>: расположение сервера, например westus2 или centralus.
• <objectId>: можно найти, перейдя в портал Azure и перейдя к ресурсу идентификатора Microsoft Entra. На панели "Пользователь" найдите пользователя Microsoft Entra и найдите свой идентификатор объекта. Если вы используете приложение (субъект-службу) в качестве администратора Microsoft Entra, замените это значение идентификатором приложения. Вам также потребуется обновить principalType.
• Параметр subnetId необходимо обновить с помощью <ResourceGroupName>, Subscription ID, <VNetName> и <SubnetName>.

Import-Module Azure
Import-Module MSAL.PS

$tenantId = '<tenantId>'
$clientId = '1950a258-227b-4e31-a9cf-717495945fc2' # Static Microsoft client ID used for getting a token
$subscriptionId = '<subscriptionId>'
$uri = "urn:ietf:wg:oauth:2.0:oob" 
$instanceName = "<instanceName>"
$resourceGroupName = "<ResourceGroupName>"
$scopes ="https://management.core.windows.net/.default"

Login-AzAccount -tenantId $tenantId

# Login as an Microsoft Entra user with permission to provision a managed instance

$result = Get-MsalToken -RedirectUri $uri -ClientId $clientId -TenantId $tenantId -Scopes $scopes

$authHeader = @{
'Content-Type'='application\json; '
'Authorization'=$result.CreateAuthorizationHeader()
}

$body = '{
"name": "<instanceName>", "type": "Microsoft.Sql/managedInstances", "identity": { "type": "SystemAssigned"},"location": "<Location>", "sku": {"name": "GP_Gen5", "tier": "GeneralPurpose", "family":"Gen5","capacity": 8},
"properties": {"administrators":{ "login":"<MSEntraAccount>", "sid":"<objectId>", "tenantId":"<tenantId>", "principalType":"User", "azureADOnlyAuthentication":true },
"subnetId": "/subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>",
"licenseType": "LicenseIncluded", "vCores": 8, "storageSizeInGB": 2048, "collation": "SQL_Latin1_General_CP1_CI_AS", "proxyOverride": "Proxy", "timezoneId": "UTC", "privateEndpointConnections": [], "storageAccountType": "GRS", "zoneRedundant": false 
  }
}'

# To provision the instance, execute the `PUT` command

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$instanceName/?api-version=2020-11-01-preview -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

Чтобы проверить результаты, выполните команду GET:

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$instanceName/?api-version=2020-11-01-preview -Method GET -Headers $authHeader  | Format-List

Шаблон ARM

Для подготовки нового управляемого экземпляра, виртуальной сети и подсети с помощью администратора Microsoft Entra для экземпляра и включенной проверки подлинности только для Microsoft Entra используйте следующий шаблон.

Используйте инструкции из разделов о пользовательском развертывании на портале Azure и создании собственного шаблона с помощью редактора. Затем необходимо сохранить конфигурацию после того, как вставлен пример.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "managedInstanceName": {
            "type": "String",
            "metadata": {
                "description": "Enter managed instance name."
            }
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL managed instance."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin. The Object ID of the Azure AD admin if the admin is a user or group. For Applications, use the Application ID."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        },
        "location": {
            "defaultValue": "[resourceGroup().location]",
            "type": "String",
            "metadata": {
                "description": "Enter location. If you leave this field blank resource group location would be used."
            }
        },
        "virtualNetworkName": {
            "type": "String",
            "defaultValue": "SQLMI-VNET",
            "metadata": {
                "description": "Enter virtual network name. If you leave this field blank name will be created by the template."
            }
        },
        "addressPrefix": {
            "defaultValue": "10.0.0.0/16",
            "type": "String",
            "metadata": {
                "description": "Enter virtual network address prefix."
            }
        },
        "subnetName": {
            "type": "String",
            "defaultValue": "ManagedInstances",
            "metadata": {
                "description": "Enter subnet name. If you leave this field blank name will be created by the template."
            }
        },
        "subnetPrefix": {
            "defaultValue": "10.0.0.0/24",
            "type": "String",
            "metadata": {
                "description": "Enter subnet address prefix."
            }
        },
        "skuName": {
            "defaultValue": "GP_Gen5",
            "allowedValues": [
                "GP_Gen5",
                "BC_Gen5"
            ],
            "type": "String",
            "metadata": {
                "description": "Enter sku name."
            }
        },
        "vCores": {
            "defaultValue": 16,
            "allowedValues": [
                8,
                16,
                24,
                32,
                40,
                64,
                80
            ],
            "type": "Int",
            "metadata": {
                "description": "Enter number of vCores."
            }
        },
        "storageSizeInGB": {
            "defaultValue": 256,
            "minValue": 32,
            "maxValue": 8192,
            "type": "Int",
            "metadata": {
                "description": "Enter storage size."
            }
        },
        "licenseType": {
            "defaultValue": "LicenseIncluded",
            "allowedValues": [
                "BasePrice",
                "LicenseIncluded"
            ],
            "type": "String",
            "metadata": {
                "description": "Enter license type."
            }
        }
    },
    "variables": {
        "networkSecurityGroupName": "[concat('SQLMI-', parameters('managedInstanceName'), '-NSG')]",
        "routeTableName": "[concat('SQLMI-', parameters('managedInstanceName'), '-Route-Table')]"
    },
    "resources": [
        {
            "type": "Microsoft.Network/networkSecurityGroups",
            "apiVersion": "2020-06-01",
            "name": "[variables('networkSecurityGroupName')]",
            "location": "[parameters('location')]",
            "properties": {
                "securityRules": [
                    {
                        "name": "allow_tds_inbound",
                        "properties": {
                            "description": "Allow access to data",
                            "protocol": "Tcp",
                            "sourcePortRange": "*",
                            "destinationPortRange": "1433",
                            "sourceAddressPrefix": "VirtualNetwork",
                            "destinationAddressPrefix": "*",
                            "access": "Allow",
                            "priority": 1000,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "allow_redirect_inbound",
                        "properties": {
                            "description": "Allow inbound redirect traffic to SQL Managed Instance inside the virtual network",
                            "protocol": "Tcp",
                            "sourcePortRange": "*",
                            "destinationPortRange": "11000-11999",
                            "sourceAddressPrefix": "VirtualNetwork",
                            "destinationAddressPrefix": "*",
                            "access": "Allow",
                            "priority": 1100,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "deny_all_inbound",
                        "properties": {
                            "description": "Deny all other inbound traffic",
                            "protocol": "*",
                            "sourcePortRange": "*",
                            "destinationPortRange": "*",
                            "sourceAddressPrefix": "*",
                            "destinationAddressPrefix": "*",
                            "access": "Deny",
                            "priority": 4096,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "deny_all_outbound",
                        "properties": {
                            "description": "Deny all other outbound traffic",
                            "protocol": "*",
                            "sourcePortRange": "*",
                            "destinationPortRange": "*",
                            "sourceAddressPrefix": "*",
                            "destinationAddressPrefix": "*",
                            "access": "Deny",
                            "priority": 4096,
                            "direction": "Outbound"
                        }
                    }
                ]
            }
        },
        {
            "type": "Microsoft.Network/routeTables",
            "apiVersion": "2020-06-01",
            "name": "[variables('routeTableName')]",
            "location": "[parameters('location')]",
            "properties": {
                "disableBgpRoutePropagation": false
            }
        },
        {
            "type": "Microsoft.Network/virtualNetworks",
            "apiVersion": "2020-06-01",
            "name": "[parameters('virtualNetworkName')]",
            "location": "[parameters('location')]",
            "dependsOn": [
                "[variables('routeTableName')]",
                "[variables('networkSecurityGroupName')]"
            ],
            "properties": {
                "addressSpace": {
                    "addressPrefixes": [
                        "[parameters('addressPrefix')]"
                    ]
                },
                "subnets": [
                    {
                        "name": "[parameters('subnetName')]",
                        "properties": {
                            "addressPrefix": "[parameters('subnetPrefix')]",
                            "routeTable": {
                                "id": "[resourceId('Microsoft.Network/routeTables', variables('routeTableName'))]"
                            },
                            "networkSecurityGroup": {
                                "id": "[resourceId('Microsoft.Network/networkSecurityGroups', variables('networkSecurityGroupName'))]"
                            },
                            "delegations": [
                                {
                                    "name": "miDelegation",
                                    "properties": {
                                        "serviceName": "Microsoft.Sql/managedInstances"
                                    }
                                }
                            ]
                        }
                    }
                ]
            }
        },
        {
            "type": "Microsoft.Sql/managedInstances",
            "apiVersion": "2020-11-01-preview",
            "name": "[parameters('managedInstanceName')]",
            "location": "[parameters('location')]",
            "dependsOn": [
                "[parameters('virtualNetworkName')]"
            ],
            "sku": {
                "name": "[parameters('skuName')]"
            },
            "identity": {
                "type": "SystemAssigned"
            },
            "properties": {
                "subnetId": "[resourceId('Microsoft.Network/virtualNetworks/subnets', parameters('virtualNetworkName'), parameters('subnetName'))]",
                "storageSizeInGB": "[parameters('storageSizeInGB')]",
                "vCores": "[parameters('vCores')]",
                "licenseType": "[parameters('licenseType')]",
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}

Предоставление разрешений для роли "Читатели каталогов"

После завершения развертывания для управляемого экземпляра можно заметить, что Управляемый экземпляр SQL требует разрешений на чтение для доступа к идентификатору Microsoft Entra. Чтобы предоставить разрешения на чтение, щелкните отображаемое сообщение на портале Azure (при этом пользователь должен иметь достаточные привилегии). Дополнительные сведения см. в статье "Читатели каталогов" в Microsoft Entra для SQL Azure.

Ограничения

• Чтобы сбросить пароль администратора сервера, необходимо отключить проверку подлинности только для Microsoft Entra.
• Если проверка подлинности только для Microsoft Entra отключена, необходимо создать сервер с администратором сервера и паролем при использовании всех API.

Связанный контент

• Если у вас уже есть логический сервер или управляемый экземпляр SQL и требуется включить проверку подлинности только для Microsoft Entra, см . руководство. Включение проверки подлинности только для Microsoft Entra с помощью SQL Azure.
• Дополнительные сведения о функции проверки подлинности только для Microsoft Entra см. в статье microsoft Entra-only authentication with Azure SQL.
• Если вы хотите применить создание сервера с включенной проверкой подлинности только для Microsoft Entra, ознакомьтесь с Политика Azure для проверки подлинности только для Microsoft Entra с помощью SQL Azure