Tutorial: Atribuir a função de Leitores de diretório a um grupo do Microsoft Entra e gerenciar atribuições de função

Este artigo guia você na criação de um grupo no Microsoft Entra ID (anteriormente Azure Active Directory) e na atribuição desse grupo à função Directory Readers. A atribuição de funções permite que os proprietários de grupos adicionem identidades gerenciadas para os recursos do Azure Synapse Analytics ao grupo. Essa abordagem evita a necessidade de um Administrador de função com privilégios para atribuir diretamente a função Leitores de Diretório a cada identidade.

Este tutorial usa o recurso apresentado em Usar grupos do Microsoft Entra para gerenciar atribuições de função.

Em vez do papel de Leitores de Diretório, você pode atribuir permissões Microsoft Graph de nível inferior para seguir o princípio do menor privilégio. Para mais informações, veja Identidades gerenciadas no Microsoft Entra para Azure Synapse Analytics.

Prerequisites

• Um tenant do Microsoft Entra. Para mais informações, veja Configurar e gerenciar autenticação Microsoft Entra com Azure Synapse Analytics.
• Um espaço de trabalho do Azure Synapse ou um pool SQL dedicado independente.

Atribuição da função Directory Readers usando o portal do Azure

Criar um grupo e atribuir proprietários e funções

1. Você precisa de um usuário com permissões Privileged Role Administrator para essa configuração inicial.
2. Faça o usuário privilegiado fazer login no portal do Azure.
3. Vá para o recurso Microsoft Entra ID. Em Gerenciar, vá para Grupos. Selecione Novo grupo para criar um grupo.
4. Selecione Segurança como o tipo de grupo e preencha o restante dos campos. Certifique-se de que a configuração as funções do Microsoft Entra podem ser atribuídas ao grupo esteja alterada para Sim. Em seguida, atribua a função de Leitores de diretório do Microsoft Entra ao grupo.
5. Atribua os usuários do Microsoft Entra ao grupo como proprietários. Um proprietário de grupo pode ser um usuário comum do Microsoft Entra sem um papel administrativo. O proprietário deve ser um usuário que gerencia seu recurso do Azure Synapse.
6. Selecione Criar.

Verifique o grupo que você criou

Para verificar e gerenciar o grupo que você criou, volte ao painel de Grupos no portal do Azure e procure pelo nome do seu grupo. Você pode adicionar mais donos e membros no menu Donos e Membros da configuração Gerenciar após selecionar seu grupo. Você também pode examinar as Funções atribuídas para o grupo.

Adicionar uma identidade gerenciada do Azure Synapse ao grupo

Para as etapas a seguir, não é mais necessário usar o usuário com a função Administrador de Função com Privilégios.

1. Faça login no portal do Azure como um usuário que gerencia o recurso Azure Synapse e é dono do grupo que você criou.

2. Encontre a identidade gerenciada para seu espaço de trabalho no Azure Synapse. Para informações sobre identidades de workspace, veja Managed Service Identity for Azure Synapse Analytics.

3. No Microsoft Entra ID, em Gerenciar, selecione aplicações empresariais. Procure pela identidade gerenciada e anote seu ID de Objeto.

4. No Microsoft Entra ID, em Gerenciar, selecione Grupos. Selecione o grupo que você criou e depois selecione Membros>Adicionar membros. Procure e adicione a identidade gerenciada do Azure Synapse.

Remarks

Você pode criar a identidade do servidor durante a criação do servidor lógico ou depois que o servidor é criado. Para mais informações sobre como criar ou definir a identidade do servidor no Azure Synapse, veja Identidades gerenciadas para Azure Synapse Analytics.

Atribuir a função de Directory Readers à identidade do servidor não é necessário para o Azure Synapse ao configurar um administrador Microsoft Entra para o servidor lógico. No entanto, para habilitar a criação de objetos Microsoft Entra no Azure Synapse em nome de uma aplicação Microsoft Entra, é necessário o papel Directory Readers (ou permissões de nível inferior discutidas em Identidades gerenciadas no Microsoft Entra para SQL do Azure). Se você não atribuir a função à identidade do servidor lógico, a criação de usuários do Microsoft Entra falhará.

Atribuição da função de Leitores de diretório usando o PowerShell

1. Baixe o módulo PowerShell do Microsoft Graph usando os seguintes comandos. Talvez seja necessário executar o PowerShell como administrador.

   Install-Module Microsoft.Graph.Authentication
   Import-Module Microsoft.Graph.Authentication
   # To verify that the module is ready to use, run the following command:
   Get-Module Microsoft.Graph.Authentication
   

2. Conecte-se a seu locatário do Microsoft Entra.

   Connect-MgGraph
   

3. Crie um grupo de segurança para atribuir a função Leitores de diretório.

   • DirectoryReaderGroup, Directory Reader Group e DirRead podem ser alterados de acordo com sua preferência.

   $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
   $group
   

4. Atribua o papel de Leitores do Diretório ao grupo.

   # Displays the Directory Readers role information
   $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
   $roleDefinition
   

   # Assigns the Directory Readers role to the group
   $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
   $roleAssignment
   

5. Atribua proprietários ao grupo.

   • Substitua <username> pelo usuário que você deseja que seja proprietário do grupo. Adicione vários proprietários repetindo esses passos.

   $newGroupOwner = Get-MgUser -UserId "<username>"
   $newGroupOwner
   

   $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)" 
   

   Verifique os proprietários do grupo:

   Get-MgGroupOwner -GroupId $group.Id
   

   Você também pode verificar os proprietários do grupo no portal do Azure. Para verificar o grupo que você criou, veja Verificando o grupo que foi criado.

Atribuir a entidade de serviço como um membro do grupo

Para os passos a seguir, você não precisa mais do usuário com a função Administrador de Função com Privilégios.

1. Como proprietário de grupo que também gerencia o recurso Azure Synapse, execute o seguinte comando para conectar ao Microsoft Entra ID.

   Connect-MgGraph
   

2. Acrescente o service principal como membro do grupo que você criou.

   • Substitua <ServerName> pelo nome do servidor lógico ou instância gerenciada. Para mais informações, veja a seção Adicionar identidade de serviço SQL do Azure ao grupo.

   # Returns the service principal of your Azure SQL resource
   $managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
   $managedIdentity
   

   # Adds the service principal to the group
   New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id
   

   O seguinte comando retornará a ID de Objeto da entidade de serviço indicando que ela foi adicionada ao grupo:

   Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"
   

Conteúdo relacionado

• Identidades gerenciadas no Microsoft Entra para o Azure Synapse Analytics
• Configure e gerencie a autenticação Microsoft Entra com Azure Synapse Analytics
• Autenticação do Microsoft Entra para o Azure Synapse Analytics