Configurar e gerir a autenticação Microsoft Entra com Azure SQL

Para definir o administrador Microsoft Entra para o seu servidor lógico no portal Azure, siga estes passos:

1. No portal Azure Directories + subscrições, escolha o diretório que contém o seu recurso de Azure SQL como Diretório Atual.

2. Procure servidores SQL e, em seguida, selecione o servidor lógico para o recurso de banco de dados para abrir o painel do servidor SQL .

   

3. No painel SQL server do seu servidor lógico, selecione Microsoft Entra ID em Settings para abrir o painel Microsoft Entra ID.

4. No painel Microsoft Entra ID, selecione Set admin para abrir o painel Microsoft Entra ID.

   

5. O painel Microsoft Entra ID mostra todos os utilizadores, grupos e aplicações no seu diretório atual e permite-lhe pesquisar por nome, alias ou ID. Encontre a identidade desejada para o administrador do Microsoft Entra e selecione-a, depois selecione Select para fechar o painel.

6. No topo da página Microsoft Entra ID do seu servidor lógico, selecione Save.

   

   O ID do Objeto é exibido ao lado do nome do administrador para Microsoft Entra utilizadores e grupos. Para aplicativos (entidades de serviço), a ID do aplicativo é exibida.

O processo de mudança de administrador pode levar vários minutos. Depois, o novo administrador aparece no campo Microsoft Entra admin.

Para remover o admin, no topo da página Microsoft Entra ID, selecione Remover admin, depois selecione Save. Remover o administrador do Microsoft Entra desativa a autenticação do Microsoft Entra para o seu servidor lógico.

Para executar os cmdlets do PowerShell, precisas de ter o Azure PowerShell instalado e a funcionar. Consulte Como instalar e configurar Azure PowerShell para informações detalhadas.

Os seguintes cmdlets do Azure PowerShell podem ser usados para definir e gerir um administrador Microsoft Entra para Azure SQL Database e Azure Synapse Analytics:

Use o comando PowerShell get-help para ver mais informações sobre cada um desses comandos. Por exemplo, get-help Set-AzSqlServerActiveDirectoryAdministrator.

O script seguinte define um grupo de administradores de Microsoft Entra chamado DBA_Group (ID de objeto de exemplo aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) para o servidor de exemplo servidor-exemplo num grupo de recursos de exemplo chamado Example-Resource-Group:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
    DisplayName = "DBA_Group"
}

Set-AzSqlServerActiveDirectoryAdministrator @parameters

O parâmetro DisplayName aceita ou o nome de exibição Microsoft Entra ID ou o Nome Principal do Utilizador, como nos seguintes exemplos: DisplayName="Adrian King" e DisplayName="adrian@contoso.com". Se estiver a usar um grupo Microsoft Entra, então só o nome de exibição é suportado.

O exemplo a seguir usa o parâmetro opcional ObjectID :

$parameters = @{
  ResourceGroupName = "Example-Resource-Group"
  ServerName = "example-server"
  DisplayName = "DBA_Group"
  ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}
Set-AzSqlServerActiveDirectoryAdministrator @parameters

O exemplo seguinte devolve informações sobre o atual administrador da Microsoft Entra para o servidor:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Get-AzSqlServerActiveDirectoryAdministrator @parameters | Format-List

O exemplo seguinte remove um administrador do Microsoft Entra:

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    ServerName = "example-server"
}

Remove-AzSqlServerActiveDirectoryAdministrator @parameters

Pode definir um administrador Microsoft Entra para Azure SQL Database e Azure Synapse Analytics com os seguintes comandos Azure CLI:

Para obter mais comandos da CLI, consulte az sql server.

Também pode usar as APIs REST Server Azure AD Administrator para criar, atualizar, eliminar e obter o administrador Microsoft Entra para Azure SQL Database e Azure Synapse Analytics.

Para conceder permissões de leitura à sua instância SQL gerida ao Microsoft Entra ID usando o portal Azure, registar-se como Administrador de Papéis Privilegiados e siga estes passos:

1. No portal Azure, no canto superior direito, selecione a sua conta e depois selecione Mudar diretórios para confirmar qual diretório é o seu Diretório Atual. Mude de diretório, se necessário.

   

2. No Azure portal Diretórios + subscrições, selecione o diretório que contém a instância gerida como diretório atual.

3. Pesquise instâncias gerenciadas SQL e selecione sua instância gerenciada para abrir o painel de instância gerenciada SQL . Depois, seleciona Microsoft Entra ID em Settings para abrir o painel Microsoft Entra ID da tua instância.

   

4. No painel Microsoft Entra admin, selecione Set admin na barra de navegação para abrir o painel Microsoft Entra ID.

   

5. No painel Microsoft Entra ID, procura um utilizador, assinala a caixa ao lado do utilizador ou grupo para ser administrador, e depois carrega em Select para fechar o painel e voltar à página Microsoft Entra admin da tua instância gerida.

   O painel Microsoft Entra ID mostra todos os membros e grupos dentro do seu diretório atual. Utilizadores ou grupos destacados a cinzento não podem ser selecionados porque não são suportados como administradores do Microsoft Entra. Selecione a identidade que deseja atribuir como administrador.

6. Na barra de navegação da página Microsoft Entra admin da sua instância gerida, selecione Save para confirmar o seu administrador Microsoft Entra.

   

   Após a conclusão da operação de mudança de administrador, o novo administrador aparece no campo de administração do Microsoft Entra.

   O ID do Objeto é exibido ao lado do nome do administrador para Microsoft Entra utilizadores e grupos. Para aplicativos (entidades de serviço), a ID do aplicativo é exibida.

Para executar os cmdlets do PowerShell, precisas de ter o Azure PowerShell instalado e a funcionar. Consulte Como instalar e configurar Azure PowerShell para informações detalhadas.

A tabela seguinte lista os cmdlets PowerShell que pode usar para definir e gerir o administrador Microsoft Entra para instâncias geridas:

Este comando de exemplo obtém informações sobre um administrador Microsoft Entra para uma instância gerida chamada "Exemplo-Instância" associada a um grupo de recursos chamado "Grupo de Recursos Exemplo".

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
}

Get-AzSqlInstanceActiveDirectoryAdministrator @parameters

Este comando de exemplo configura o administrador do Microsoft Entra para um grupo chamado DBAs (com ID de objeto de exemplo aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb) para a instância gerida do SQL chamada "Sample-Instance". Este servidor está associado ao grupo de recursos "Example-Resource-Group".

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    DisplayName = "DBAs"
    ObjectId = "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb"
}

Set-AzSqlInstanceActiveDirectoryAdministrator @parameters

Este comando exemplifica a remoção do administrador Microsoft Entra para a Instância Gerida de SQL chamada "Sample-Instance" associada ao grupo de recursos "Example-Resource-Group".

$parameters = @{
    ResourceGroupName = "Example-Resource-Group"
    InstanceName = "Sample-Instance"
    Confirm = $true
    PassThru = $true
}

Remove-AzSqlInstanceActiveDirectoryAdministrator @parameters

Pode definir e gerir um administrador Microsoft Entra para a SQL Managed Instance chamando os seguintes comandos Azure CLI:

Para obter mais comandos da CLI, consulte az sql mi.

Pode usar as APIs REST Managed Instance Administrators para criar, atualizar, eliminar e obter o administrador Microsoft Entra para instâncias geridas em SQL.

A página Microsoft Entra ID para SQL Managed Instance no portal Azure mostra um banner conveniente quando a instância não tem permissões atribuídas ao Leitor de Diretório.

1. Selecione o banner no topo da página Microsoft Entra ID e conceda permissão à identidade gerida atribuída pelo sistema ou pelo utilizador que representa a sua instância. Apenas um Administrador de Funções Privilegiadas ou uma função superior no seu locatário pode realizar esta operação.

   Observação

   Se não vires o banner, a instância pode já ter atribuído o papel de Leitores de Diretório, ou podes não ter o papel exigido de Administrador de Funções Privilegiadas . Se não tiver esta função, peça ao administrador do inquilino para conceder a permissão, ou use o método PowerShell no separador PowerShell .

   

2. Quando a operação é bem-sucedida, uma notificação de Êxito é exibida no canto superior direito:

   

O script PowerShell a seguir adiciona uma identidade à função Leitores de Diretório. Isto pode ser usado para atribuir permissões a uma instância gerida ou à identidade principal do servidor lógico (ou a qualquer identidade Microsoft Entra).

# This script grants "Directory Readers" permission to a service principal representing a SQL Managed Instance or logical server.
# It can be executed only by a user who is a member of the **Privileged Roles Administrator** role.

Import-Module Microsoft.Graph.Authentication
$instanceName = "<InstanceName>"        # Enter the name of your managed instance or server
$tenantId = "<TenantId>"                       # Enter your tenant ID

Connect-MgGraph -TenantId $tenantId -Scopes "RoleManagement.ReadWrite.Directory"

# Get Microsoft Entra "Directory Readers" role and create if it doesn't exist
$roleName = "Directory Readers"
$role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
if ($role -eq $null) {
    # Instantiate an instance of the role template
    $roleTemplate = Get-MgDirectoryRoleTemplate -Filter "DisplayName eq '$roleName'"
    New-MgDirectoryRoleTemplate -RoleTemplateId $roleTemplate.Id
    $role = Get-MgDirectoryRole -Filter "DisplayName eq '$roleName'"
}

# Get service principal for your SQL Managed Instance or logical server
$roleMember = Get-MgServicePrincipal -Filter "DisplayName eq '$instanceName'"
$roleMember.Count
if ($roleMember -eq $null) {
    Write-Output "Error: No service principal with name '$($instanceName)' found, make sure that instanceName parameter was entered correctly."
    exit
}
if (-not ($roleMember.Count -eq 1)) {
    Write-Output "Error: Multiple service principals with name '$($instanceName)'"
    Write-Output $roleMember | Format-List DisplayName, Id, AppId
    exit
}

# Check if service principal is already member of Directory Readers role
$isDirReader = Get-MgDirectoryRoleMember -DirectoryRoleId $role.Id -Filter "Id eq '$($roleMember.Id)'"
if ($isDirReader -eq $null) {
    # Add principal to Directory Readers role
    Write-Output "Adding service principal '$($instanceName)' to 'Directory Readers' role..."
    $body = @{
        "@odata.id"= "https://graph.microsoft.com/v1.0/directoryObjects/{$($roleMember.Id)}"
    }
    New-MgDirectoryRoleMemberByRef -DirectoryRoleId $role.Id -BodyParameter $body
    Write-Output "'$($instanceName)' service principal added to 'Directory Readers' role."
} else {
    Write-Output "Service principal '$($instanceName)' is already member of 'Directory Readers' role."
}

Veja detalhes sobre como atribuir Azure funções através do Azure CLI aqui Atribua Azure funções usando Azure CLI.

Atribuir Azure funções usando a API REST.