Skonfiguruj tożsamość zarządzaną i uwierzytelnianie Microsoft Entra dla SQL Server obsługiwanego przez Azure Arc

Dotyczy: SQL Server 2025 (17.x)

Ten artykuł zawiera instrukcje krok po kroku dotyczące ustawiania i konfigurowania zarządzanej tożsamości Microsoft Entra ID dla SQL Server obsługiwanej przez Azure Arc.

Aby zapoznać się z omówieniem tożsamości zarządzanej z SQL Server, zobacz Zarządzana tożsamość SQL Server włączona przez Azure Arc.

Wymagania wstępne

Przed użyciem tożsamości zarządzanej z funkcją SQL Server włączoną przez Azure Arc, upewnij się, że spełniasz następujące wymagania wstępne:

• Obsługiwane dla SQL Server 2025 i nowszych, uruchomionych na systemie Windows.
• Połączenie SQL Server z Azure Arc.
• Najnowsza wersja rozszerzenia Azure dla SQL Server.

Włącz podstawową tożsamość zarządzaną

Jeśli na serwerze zainstalowano rozszerzenie Azure dla SQL Server, możesz włączyć podstawową tożsamość zarządzaną dla wystąpienia SQL Server bezpośrednio z portalu Azure. Istnieje również możliwość ręcznego włączenia podstawowej tożsamości zarządzanej przez zaktualizowanie rejestru, ale należy zachować szczególną ostrożność.

Przyznawanie uprawnień aplikacji dla tożsamości

Aby włączyć uwierzytelnianie Microsoft Entra dla wystąpień SQL Server, każda systemowo przypisana tożsamość zarządzana wymaga User.Read.All, GroupMember.Read.All i Application.Read.All uprawnień do wykonywania zapytań Microsoft Graph. Aby uzyskać więcej informacji na temat tych uprawnień, zobacz:

• User.Read.All: Zezwala na dostęp do Microsoft Entra informacji o użytkowniku.
• GroupMember.Read.All: Zezwala na dostęp do Microsoft Entra informacji o grupie.
• Application.Read.All: Zezwala na dostęp do informacji o jednostce usługi Microsoft Entra (aplikacji).

Te uprawnienia to uprawnienia na poziomie aplikacji (role aplikacji) i muszą być przypisane bezpośrednio do każdej tożsamości zarządzanej. Nie można przypisać ich ręcznie do grupy zabezpieczeń Microsoft Entra i przyznać członkom za pośrednictwem członkostwa w grupie. W przypadku środowisk z wieloma maszynami alternatywą jest przypisanie roli Directory Readers do grupy zabezpieczeń Microsoft Entra, której można przypisywać role, i dodanie tożsamości zarządzanych jako członków. W przeciwieństwie do uprawnień roli aplikacji, tę rolę w Microsoft Entra można przyznać na poziomie grupy, upraszczając zarządzanie na dużą skalę. Jednak Directory Readers przyznaje szeroki dostęp do odczytu we wszystkich obiektach katalogu, co znacznie przekracza trzy docelowe uprawnienia Graph API. Rola Czytelnicy katalogu nie jest zalecana w środowiskach produkcyjnych, w których wymagany jest dostęp z najniższymi uprawnieniami.

Poniższy skrypt programu PowerShell przyznaje wymagane uprawnienia tożsamości zarządzanej. Upewnij się, że ten skrypt jest uruchamiany w programie PowerShell 7.5 lub nowszej wersji i ma zainstalowany moduł Microsoft.Graph 2.28 lub nowszy.

# Set your Azure tenant and managed identity name
$tenantID = '<Enter-Your-Azure-Tenant-Id>'
$managedIdentityName = '<Enter-Your-Arc-HostMachine-Name>'

# Connect to Microsoft Graph
try {
    Connect-MgGraph -TenantId $tenantID -ErrorAction Stop
    Write-Output "Connected to Microsoft Graph successfully."
}
catch {
    Write-Error "Failed to connect to Microsoft Graph: $_"
    return
}

# Get Microsoft Graph service principal
$graphAppId = '00000003-0000-0000-c000-000000000000'
$graphSP = Get-MgServicePrincipal -Filter "appId eq '$graphAppId'"
if (-not $graphSP) {
    Write-Error "Microsoft Graph service principal not found."
    return
}

# Get the managed identity service principal
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '$managedIdentityName'"
if (-not $managedIdentity) {
    Write-Error "Managed identity '$managedIdentityName' not found."
    return
}

# Define roles to assign
$requiredRoles = @(
    "User.Read.All",
    "GroupMember.Read.All",
    "Application.Read.All"
)

# Assign roles using scoped syntax
foreach ($roleValue in $requiredRoles) {
    $appRole = $graphSP.AppRoles | Where-Object {
        $_.Value -eq $roleValue -and $_.AllowedMemberTypes -contains "Application"
    }

    if ($appRole) {
        try {
            New-MgServicePrincipalAppRoleAssignment   -ServicePrincipalId $managedIdentity.Id `
                -PrincipalId $managedIdentity.Id `
                -ResourceId $graphSP.Id `
                -AppRoleId $appRole.Id `
                -ErrorAction Stop

            Write-Output "Successfully assigned role '$roleValue' to '$managedIdentityName'."
        }
        catch {
            Write-Warning "Failed to assign role '$roleValue': $_"
        }
    }
    else {
        Write-Warning "Role '$roleValue' not found in Microsoft Graph AppRoles."
    }
}

Twórz loginy i użytkowników

Wykonaj kroki opisane w samouczku Microsoft Entra aby utworzyć identyfikatory logowania i użytkowników dla tożsamości zarządzanej.

Treści powiązane

• Zarządzana tożsamość dla SQL Server włączona przez Azure Arc
• uwierzytelnianie Microsoft Entra dla SQL Server
• Co to są tożsamości zarządzane dla zasobów Azure?