Azure SQLを使用したMicrosoft Entra認証の構成と管理

Azure ポータルで論理サーバーのMicrosoft Entra管理者を設定するには、次の手順に従います。

1. Azure portal Directories + subscriptions ペインで、Azure SQL リソースを含むディレクトリを Current directory として選択します。

2. SQL サーバーを検索したら、データベース リソースの論理サーバーを選択し、[SQL Server] ウィンドウを開きます。

   SQL Server を検索して選択する方法を示すスクリーンショット。

3. 論理サーバーの SQL サーバー ペインで、Settings の下にある Microsoft Entra ID を選択して、Microsoft Entra ID ペインを開きます。

4. Microsoft Entra ID ペインで、Set admin を選択して、Microsoft Entra ID ペインを開きます。

   

5. Microsoft Entra ID ペインには、現在のディレクトリ内のすべてのユーザー、グループ、アプリケーションが表示され、名前、エイリアス、または ID で検索できます。 Microsoft Entra管理者の目的の ID を見つけて選択し、Select を選択してウィンドウを閉じます。

6. 論理サーバーの Microsoft Entra ID ページの上部にある Save を選択します。

   スクリーンショットには、Microsoft Entra 管理者を保存するオプションが表示されています

   Object ID は、Microsoft Entraユーザーとグループの管理者名の横に表示されます。 アプリケーション(サービスプリンシパル)の場合は、アプリケーションIDが表示されます。

管理者を変更する処理には数分かかる場合があります。 その後、新しい管理者が Microsoft Entra admin フィールドに表示されます。

管理者を削除するには、Microsoft Entra ID ページの上部にある Remove admin を選択し、 Save を選択します。 Microsoft Entra管理者を削除すると、論理サーバーのMicrosoft Entra認証が無効になります。

PowerShell コマンドレットを実行するには、Azure PowerShellをインストールして実行する必要があります。 詳細については、「Azure PowerShell をインストールして構成する方法」を参照してください。

次のAzure PowerShellコマンドレットを使用して、Azure SQL DatabaseとAzure Synapse AnalyticsのMicrosoft Entra管理者を設定および管理できます。

これらの各コマンドの情報を確認するには、PowerShell の get-help コマンドを使用します。 たとえば、 のようにします。

次のスクリプトでは、サンプル サーバー DBA_Group という名前のMicrosoft Entra管理者グループ (サンプル オブジェクト ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) を、サンプル サーバー example-serverExample-Resource-Group という名前のサンプル リソース グループに設定します。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
    DisplayName = "DBA_Group"
}

Set-AzSqlServerActiveDirectoryAdministrator @parameters

DisplayName パラメーターは、Microsoft Entra ID表示名またはユーザー プリンシパル名のいずれかを受け入れます。例: DisplayName="Adrian King"、DisplayName="adrian@contoso.com"。 Microsoft Entra グループを使用している場合は、表示名のみがサポートされます。

次の例では、オプションとして ObjectID パラメーターを使用します。

$parameters = @{
  ResourceGroupName = "Example-Resource-Group"
  ServerName = "example-server"
  DisplayName = "DBA_Group"
  ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}
Set-AzSqlServerActiveDirectoryAdministrator @parameters

次の例では、サーバーの現在のMicrosoft Entra管理者に関する情報を返します。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Get-AzSqlServerActiveDirectoryAdministrator @parameters | Format-List

次の例では、Microsoft Entra管理者を削除します。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Remove-AzSqlServerActiveDirectoryAdministrator @parameters

次のAzure CLI コマンドを使用して、Azure SQL DatabaseとAzure Synapse AnalyticsのMicrosoft Entra管理者を設定できます。

他の CLI コマンドについては、「az sql server」を参照してください。

Server Azure AD Administrator REST API を使用して、Azure SQL DatabaseとAzure Synapse AnalyticsのMicrosoft Entra管理者を作成、更新、削除、取得することもできます。

Azure ポータルを使用して SQL マネージド インスタンスにMicrosoft Entra IDの読み取りアクセス許可を付与するには、特権ロール管理者としてサインインし、次の手順に従います。

1. Azure ポータルで、アカウントを選択し、Switch ディレクトリを選択して、現在のディレクトリを確認します。 必要に応じてディレクトリを切り替えます。

   

2. Azure portal Directories + subscriptions ペイン で、マネージド インスタンスを含むディレクトリを Current ディレクトリ.'' として選択します。

3. SQL 管理インスタンスを検索し、その後管理インスタンスを選択して、[SQL 管理インスタンス] ウィンドウを開きます。 次に、Settings の下の Microsoft Entra ID を選択して、インスタンスの Microsoft Entra ID ペインを開きます。

   

4. Microsoft Entra admin ペインで、ナビゲーション バーから Set admin を選択して、Microsoft Entra ID ペインを開きます。

   

5. Microsoft Entra ID ウィンドウで、ユーザーを検索し、管理者になるユーザーまたはグループの横にあるチェック ボックスをオンにして、Select キーを押してウィンドウを閉じ、マネージド インスタンスの Microsoft Entra admin ページに戻ります。

   Microsoft Entra ID ペインには、現在のディレクトリ内のすべてのメンバーとグループが表示されます。 グレー表示されたユーザーまたはグループは、Microsoft Entra管理者としてサポートされていないため、選択できません。 管理者として割り当てる ID を選択します。

6. マネージド インスタンスの Microsoft Entra admin ページのナビゲーション バーで、Save を選択して、Microsoft Entra管理者を確認します。

   

   管理者の変更操作が完了すると、Microsoft Entra管理者フィールドに新しい管理者が表示されます。

   Object ID は、Microsoft Entraユーザーとグループの管理者名の横に表示されます。 アプリケーション(サービスプリンシパル)の場合は、アプリケーションIDが表示されます。

PowerShell コマンドレットを実行するには、Azure PowerShellをインストールして実行する必要があります。 詳細については、「Azure PowerShell をインストールして構成する方法」を参照してください。

次の表に、マネージド インスタンスのMicrosoft Entra管理者の定義と管理に使用できる PowerShell コマンドレットを示します。

このコマンド例では、"Example-Resource-Group" という名前のリソース グループに関連付けられた "Sample-Instance" という名前のマネージド インスタンスのMicrosoft Entra管理者に関する情報を取得します。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
}

Get-AzSqlInstanceActiveDirectoryAdministrator @parameters

このコマンド例では、Microsoft Entra管理者に、"Sample-Instance" という名前の SQL マネージド インスタンスの DBA という名前のグループ (サンプル オブジェクト ID aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) を設定します。 このサーバーは、「Example-Resource-Group」のリソース グループに関連付けられています。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    DisplayName = "DBAs"
    ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}

Set-AzSqlInstanceActiveDirectoryAdministrator @parameters

このコマンド例では、リソース グループ "Example-Resource-Group" に関連付けられている "Sample-Instance" という名前のSQL Managed InstanceのMicrosoft Entra管理者を削除します。

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    Confirm = $true
    PassThru = $true
}

Remove-AzSqlInstanceActiveDirectoryAdministrator @parameters

次のAzure CLI コマンドを呼び出すことで、SQL Managed InstanceのMicrosoft Entra管理者を設定および管理できます。

他の CLI コマンドについては、az sql mi を参照してください。

Managed Instance Administrators REST API を使用して、SQL マネージド インスタンスのMicrosoft Entra管理者を作成、更新、削除、取得できます。

Azure ポータルのSQL Managed Instanceの Microsoft Entra ID ページには、インスタンスにディレクトリ閲覧者のアクセス許可が割り当てられていないときに便利なバナーが表示されます。

1. Microsoft Entra ID ページの上部にあるバナーを選択し、インスタンスを表すシステム割り当てマネージド ID またはユーザー割り当てマネージド ID にアクセス許可を付与します。 この操作を実行できるのは、テナント内の 特権ロール管理者 以上のロールのみです。

   注記

   バナーが表示されない場合は、インスタンスに既にディレクトリ閲覧者ロールが割り当てられているか、必要な 特権ロール管理者 ロールがない可能性があります。 このロールがない場合は、テナント管理者にアクセス許可を付与するよう依頼するか、 PowerShell タブで PowerShell メソッドを使用してください。

   

2. 操作が成功すると、右上隅に成功の通知が表示されます。

   

次の PowerShell スクリプトは、ディレクトリ閲覧者の役割に ID を追加します。 これを使用して、論理サーバー (または任意のMicrosoft Entra ID) のマネージド インスタンスまたはプライマリ サーバー ID にアクセス許可を割り当てることができます。

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

Azure CLIを使用してAzureロールを割り当てる方法の詳細については、 Azure CLI を使用してロールAzure割り当てる方法を参照してください。

REST API を使用してAzureのロールを割り当てる。