Eğitim: Microsoft Entra grubuna Dizin Okuyucuları rolünü atama ve rol atamalarının yönetimi

Bu makale, Microsoft Entra ID'de (eski adıyla Azure Active Directory) bir grup oluşturma ve bu gruba Directory Readers rolünü atama sürecini anlatır. Rol ataması, grup sahiplerinin Azure Synapse Analytics kaynakları için yönetilen kimlikleri gruba eklemelerine olanak tanır. Bu yaklaşım, bir Ayrıcalıklı Rol Yöneticisi'nin Dizin Okuyucuları rolünü doğrudan her kimliğe atamasını gerektirmez.

Bu öğreticide Rol atamalarını yönetmek için Microsoft Entra gruplarını kullanma başlığında sunulan özellik kullanılır.

Not

Microsoft Entra sunucu sorumluları, Azure Synapse Analytics için şu anda önizleme aşamasındadır.

Dizin Okuyucuları rolü yerine, en düşük ayrıcalık ilkesine uyacak alt düzey Microsoft Graph izinleri atayabilirsiniz. Daha fazla bilgi için bkz. Managed identities in Microsoft Entra for Azure Synapse Analytics.

Prerequisites

• Microsoft Entra kiracısı. Daha fazla bilgi için Azure Synapse Analytics ile Microsoft Entra kimlik doğrulamasını yapılandırma ve yönetme bölümüne bakınız.
• Bir Azure Synapse çalışma alanı veya bağımsız bir özel SQL havuzu.

Azure portalını kullanarak Dizin Okuyucuları rolü atama

Yeni bir grup oluştur ve sahipleri ile rolleri ata

1. Bu ilk kurulum için Privileged Role Administrator izinlerine sahip bir kullanıcıya ihtiyacınız var.
2. Ayrıcalıklı kullanıcının Azure portalına giriş yapmasını sağla.
3. Microsoft Entra Id kaynağına gidin. Yönet'in altında Gruplar'a gidin. Yeni grup oluşturmak için Yeni grup'u seçin.
4. Grup türü olarak Güvenlik'i seçin ve kalan alanları doldurun. Microsoft Entra rolleri gruba atanabilir ayarının Evet olarak ayarlandığından emin olun. Ardından Gruba Microsoft Entra ID Dizin okuyucuları rolünü atayın.
5. Microsoft Entra kullanıcılarını grubun sahipleri olarak atayın. Bir grup sahibi, yönetici rolü olmadan da normal bir Microsoft Entra kullanıcısı olabilir. Sahibi, Azure Synapse kaynağınızı yöneten bir kullanıcı olmalıdır.
6. Oluştur'i seçin.

Oluşturduğunuz grubu kontrol edin

Not

Grup TürününGüvenlik olduğundan emin olun. Azure Synapse SQL Microsoft 365 gruplarını desteklemiyor.

Oluşturduğunuz grubu kontrol etmek ve yönetmek için Azure portalındaki Gruplar paneline geri dönün ve grup adınızı arayın. Grubu seçtikten sonra, Yönet ayarındaki Sahipler ve Üyeler menüsünden daha fazla sahip ve üye ekleyebilirsiniz. Grup için Atanan rolleri de gözden geçirebilirsiniz.

Gruba Azure Synapse managed identity ekleyin

Aşağıdaki adımlar için artık Ayrıcalıklı Rol Yöneticisi kullanıcısına ihtiyacınız yoktur.

1. Azure Synapse kaynağını yöneten ve oluşturduğunuz grubun sahibi olan bir kullanıcı olarak Azure portalına giriş yapın.

2. Azure Synapse çalışma alanınız için yönetilen kimliği bulun. Workspace identities hakkında bilgi için bkz. Managed service identity for Azure Synapse Analytics.

3. Microsoft Entra ID'de, Yönet bölümünde Kurumsal uygulamaları seçin. Yönetilen kimliği arayın ve Nesne Kimliği'ni not edin.

4. Microsoft Entra ID'de, Yönet bölümünde Gruplar seçeneğini seçin. Oluşturduğunuz grubu seçin, ardından Üyeler>Üye ekle seçin. Azure Synapse yönetilen kimliğini arayın ve ekleyin.

Not

İzinlerin yayılması ve Microsoft Graph'a erişim izni vermesi birkaç dakika sürebilir.

Remarks

Mantıksal sunucu oluşturulduğunda veya sunucu oluşturulduktan sonra sunucu kimliğini oluşturabilirsiniz. Azure Synapse'ta sunucu kimliğinin nasıl oluşturulacağı veya ayarlanacağı hakkında daha fazla bilgi için Azure Synapse Analytics için yönetilen kimlikler sayfasına bakınız.

Azure Synapse için mantıksal sunucuya bir Microsoft Entra yöneticisi ayarlarken Dizin Okuyucuları rolünün sunucu kimliğine atanması gerekmez. Ancak, Microsoft Entra uygulaması adına Azure Synapse'te Microsoft Entra nesnesi oluşturulmasını etkinleştirmek için Dizin Okuyucuları rolü (veya Azure SQL için Microsoft Entra'daki Yönetilen kimlikler bölümünde ele alınan daha düşük düzey izinler) gereklidir. Eğer rolü mantıksal sunucu kimliğine atamazsanız, Microsoft Entra kullanıcıları oluşturma işlemi başarısız olur.

PowerShell kullanarak Dizin Okuyucuları rol ataması

Important

Privileged Role Administrator bu ilk adımları uygulamalıdır. Microsoft Entra ID, PowerShell'e ek olarak Microsoft Entra ID'de rol atanabilir grup oluşturmak için Microsoft Graph API'si sunar.

1. Microsoft Graph PowerShell modülünü aşağıdaki komutları kullanarak indirin. PowerShell'i yönetici olarak çalıştırmanız gerekebilir.

   Install-Module Microsoft.Graph.Authentication
   Import-Module Microsoft.Graph.Authentication
   # To verify that the module is ready to use, run the following command:
   Get-Module Microsoft.Graph.Authentication
   

2. Microsoft Entra kiracınıza bağlanın.

   Connect-MgGraph
   

3. Dizin Okuyucuları rolünü atamak için bir güvenlik grubu oluşturun.

   • DirectoryReaderGroup, Directory Reader Groupve DirRead tercihinize göre değiştirilebilir.

   $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
   $group
   

4. Dizin Okuyucuları rolünü gruba atayın.

   # Displays the Directory Readers role information
   $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
   $roleDefinition
   

   # Assigns the Directory Readers role to the group
   $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
   $roleAssignment
   

5. Gruba yöneticiler atayın.

   • Bu grubun sahibi olmasını istediğiniz kullanıcıyla <username> öğesini değiştirin. Bu adımları tekrarlayarak birkaç sahip ekleyin.

   $newGroupOwner = Get-MgUser -UserId "<username>"
   $newGroupOwner
   

   $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)" 
   

   Grubun sahiplerini denetleyin:

   Get-MgGroupOwner -GroupId $group.Id
   

   Grubun sahiplerini Azure portalından da doğrulayabilirsiniz. Oluşturduğunuz grubu kontrol etmek için, Oluşturulan grubun kontrol edilmesi bölümüne bakın.

Hizmet sorumlusunu grubun üyesi olarak atama

Aşağıdaki adımlar için artık Ayrıcalıklı Rol Yöneticisi kullanıcısına ihtiyacınız yoktur.

1. Azure Synapse kaynağını da yöneten bir grup sahibi olarak, Microsoft Entra ID'ye bağlanmak için aşağıdaki komutu çalıştırın.

   Connect-MgGraph
   

2. Hizmet sorumlusunu oluşturduğunuz grubun bir üyesi olarak ata.

   • <ServerName> ile mantıksal sunucunuzun veya yönetilen örneğinizin adını değiştirin. Daha fazla bilgi için, gruba Azure SQL servis kimliği ekle bölümüne bakınız.

   # Returns the service principal of your Azure SQL resource
   $managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
   $managedIdentity
   

   # Adds the service principal to the group
   New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id
   

   Aşağıdaki komut, gruba eklendiğini belirten hizmet sorumlusu Nesne Kimliğini döndürür:

   Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"
   

İlgili içerik

• Azure Synapse Analytics için Microsoft Entra'da yönetilen kimlikler
• Azure Synapse Analytics ile Microsoft Entra kimlik doğrulamasını yapılandırın ve yönetin
• Azure Synapse Analytics için Microsoft Entra kimlik doğrulaması