Esercitazione: assegnare il ruolo Lettori della directory a un gruppo Microsoft Entra e gestire le assegnazioni dei ruoli.

Si applica a:Database SQL di AzureIstanza gestita di SQL di Azure

Questo articolo illustra come creare un gruppo in Microsoft Entra (precedentemente Azure Active Directory) e come assegnare a tale gruppo il ruolo amministratori che leggono la directory. I permessi dei Directory Readers permettono ai proprietari del gruppo di aggiungere altri membri al gruppo, come un'identità gestita di database SQL di Azure e Istanza gestita di SQL di Azure. In questo modo si evita la necessità per un Amministratore del Ruolo con Privilegi di assegnare il ruolo di Lettori directory direttamente a ogni identità del server logico nel tenant.

Questa esercitazione usa la funzionalità introdotta in Usare i gruppi di Microsoft Entra per gestire le assegnazioni di ruolo.

Per altre informazioni sui vantaggi derivanti dall'assegnazione del ruolo amministratori che leggono la directory a un gruppo di Microsoft Entra per Azure SQL, vedere Ruolo amministratori che leggono la directory in Microsoft Entra ID per Azure SQL.

Prerequisiti

• Un tenant di Microsoft Entra. Per altre informazioni, vedere Configurare e gestire l'autenticazione di Microsoft Entra con Azure SQL.
• Un database SQL di Azure o Istanza gestita di SQL di Azure.

Assegnazione del ruolo Lettori Directory utilizzando il portale di Azure

Creare un nuovo gruppo e assegnare i proprietari e i ruoli

1. Per questa configurazione iniziale è richiesto un utente con i permessi di Amministratore del ruolo con privilegi.
2. L'utente con privilegi dovrà accedere al portale di Azure.
3. Passare alla risorsa Microsoft Entra ID. In Gestisci passare a Gruppi. Selezionare Nuovo gruppo per creare un nuovo gruppo.
4. Selezionare Sicurezza come tipo di gruppo e compilare gli altri campi. Assicurarsi che l'impostazione I ruoli di Microsoft Entra possono essere assegnati al gruppo sia impostata su Sì. Assegnare quindi al gruppo il ruolo amministratori che leggono la directory di Microsoft Entra ID.
5. Assegna gli utenti Microsoft Entra come proprietari al gruppo che hai creato. Il proprietario del gruppo può essere un utente di Active Directory normale a cui non è assegnato alcun ruolo amministrativo di Microsoft Entra. Il proprietario dovrebbe essere un utente che gestisce il tuo database SQL o Istanza gestita di SQL.
6. Selezionare Crea.

Controllare il gruppo creato

Per verificare e gestire il gruppo che è stato creato, tornare al riquadro Gruppi nel portale di Azure e cercare il nome del gruppo. È possibile aggiungere altri proprietari e membri nel menu Proprietari e Membri dell'impostazione Gestisci dopo aver selezionato il gruppo. È anche possibile esaminare i Ruoli assegnati per il gruppo.

Aggiungere l'identità gestita di Azure SQL al gruppo

Per i passaggi successivi, l'utente Amministratore di Ruolo con Privilegi non è più necessario.

1. Accedere al portale di Azure come utente che gestisce Istanza gestita di SQL ed è proprietario del gruppo creato in precedenza.

2. Trova il nome della risorsa Istanza gestita di SQL nel portale di Azure.

   

   Durante il provisioning di una Istanza gestita SQL, viene creata un'identità Microsoft Entra per l'istanza, che viene registrata come applicazione di Microsoft Entra. L'identità ha lo stesso nome del prefisso dell'istanza SQL gestita. Per trovare l'identità (nota anche come entità servizio) per l'istanza gestita di SQL, seguire questa procedura:

   • Passare alla risorsa Microsoft Entra ID. Nell'impostazione Gestisci selezionare Applicazioni aziendali. L'ID oggetto è l'identità dell'istanza.

   

3. Passare alla risorsa Microsoft Entra ID. In Gestisci passare a Gruppi. Selezionare il gruppo creato. Nell'impostazione Gestisci del gruppo selezionare Membri. Selezionare Aggiungi membri e aggiungere il principal del servizio dell'istanza gestita di SQL come membro del gruppo cercando il nome trovato sopra.

Osservazioni:

Per il database SQL, crea l'identità del server durante la creazione del server logico o dopo aver creato il server. Per maggiori informazioni sulla creazione o impostazione dell'identità server in SQL Database, vedi Abilita i principi di servizio per creare utenti Microsoft Entra.

Per l'istanza gestita di SQL, è necessario assegnare il ruolo Directory Readers all'identità dell'istanza gestita prima di poter configurare un amministratore di Microsoft Entra per l'istanza gestita.

Non è necessario assegnare il ruolo di Directory Readers all'identità del server per il database SQL quando si configura un amministratore Microsoft Entra per il server logico. Tuttavia, per abilitare la creazione di oggetti Microsoft Entra in SQL Database per conto di un'applicazione Microsoft Entra, è necessario il ruolo di Directory Readers (o i permessi di livello inferiore discussi in Managed identities in Microsoft Entra for Azure SQL). Se non assegni il ruolo all'identità del server logico, creare utenti Microsoft Entra in Azure SQL fallisce. Per altre informazioni, vedere Principali di servizio di Microsoft Entra con Azure SQL.

Assegnazione del ruolo Directory Readers utilizzando PowerShell

1. Scaricare il modulo di Microsoft Graph PowerShell usando i seguenti comandi. Potrebbe essere necessario eseguire PowerShell come amministratore.

   Install-Module Microsoft.Graph.Authentication
   Import-Module Microsoft.Graph.Authentication
   # To verify that the module is ready to use, run the following command:
   Get-Module Microsoft.Graph.Authentication
   

2. Connettiti al tenant di Microsoft Entra.

   Connect-MgGraph
   

3. Creare un gruppo di sicurezza per assegnare il ruolo con autorizzazioni di lettura nella directory.

   • È possibile modificare DirectoryReaderGroup, Directory Reader Group e DirRead in base alle preferenze.

   $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
   $group
   

4. Assegnare il ruolo con autorizzazioni di lettura nella directory al gruppo.

   # Displays the Directory Readers role information
   $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
   $roleDefinition
   

   # Assigns the Directory Readers role to the group
   $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
   $roleAssignment
   

5. Assegnare i proprietari al gruppo.

   • Sostituire <username> con l'utente che sarà il proprietario del gruppo. Per aggiungere più proprietari ripetere questa procedura.

   $newGroupOwner = Get-MgUser -UserId "<username>"
   $newGroupOwner
   

   $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)" 
   

   Verifica i proprietari del gruppo:

   Get-MgGroupOwner -GroupId $group.Id
   

   È anche possibile verificare i proprietari del gruppo nel portale di Azure. Seguire la procedura illustrata in Verifica del gruppo creato.

Assegna il principale del servizio come membro del gruppo

Per i passaggi successivi, l'utente Amministratore di Ruolo con Privilegi non è più necessario.

1. Usando un membro del gruppo che gestisce anche la risorsa Azure SQL, eseguire il comando seguente per effettuare la connessione al tuo Microsoft Entra ID.

   Connect-MgGraph
   

2. Assegnare il principale del servizio come membro del gruppo che è stato creato.

   • Sostituire <ServerName> con il nome del server logico o dell'istanza gestita. Per altre informazioni, vedere la sezione Aggiungere l'identità del servizio Azure SQL al gruppo

   # Returns the service principal of your Azure SQL resource
   $managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
   $managedIdentity
   

   # Adds the service principal to the group
   New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id
   

   Il comando seguente restituisce l'ID oggetto dell'entità servizio che indica che l'aggiunta al gruppo è riuscita:

   Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"
   

Assign Directory Readers role in Azure Synapse Analytics

Per Azure Synapse Analytics, vedi Tutorial: Assegna il ruolo di Directory Readers a un gruppo Microsoft Entra e gestisci le assegnazioni dei ruoli.

Contenuti correlati

• Ruolo amministratori che leggono la directory in Microsoft Entra ID per Azure SQL
• Esercitazione: creare utenti di Microsoft Entra usando applicazioni Microsoft Entra
• Configurare e gestire l'autenticazione a Microsoft Entra con Azure SQL