Tutorial: Atribuir a função Leitores de Diretório a um grupo do Microsoft Entra e gerenciar atribuições de função

Este artigo orienta-o na criação de um grupo no Microsoft Entra ID (anteriormente Azure Active Directory) e na atribuição desse grupo ao papel Directory Readers. A atribuição de funções permite aos proprietários de grupos adicionar identidades geridas para os recursos do Azure Synapse Analytics ao grupo. Esta abordagem evita a necessidade de um Administrador de Funções Privilegiadas para atribuir diretamente a função Directory Readers a cada identidade.

Este tutorial usa o recurso introduzido em Usar grupos do Microsoft Entra para gerenciar atribuições de função.

Note

Os principais de servidor do Microsoft Entra estão atualmente em pré-visualização para o Azure Synapse Analytics.

Em vez da função Leitores de Diretório, pode atribuir permissões Microsoft Graph de nível inferior para seguir o princípio do privilégio mínimo. Para mais informações, consulte Identidades Geridas no Microsoft Entra para Azure Synapse Analytics.

Prerequisites

Atribuição de funções do Directory Readers através do portal Azure

Criar um novo grupo e atribuir proprietários e funções

  1. Para esta configuração inicial, precisas de um utilizador com permissões de Privileged Role Administrator.
  2. Faça com que o utilizador privilegiado inicie sessão no portal Azure.
  3. Vá para o recurso Microsoft Entra ID. Em Gerir, aceda a Grupos. Selecione novo grupo para criar um novo grupo.
  4. Selecione Segurança como o tipo de grupo e preencha o restante dos campos. Certifique-se de que a definição as funções do Microsoft Entra podem ser atribuídas ao grupo está definida para Sim. Em seguida, atribua ao grupo a função de Leitor de Diretório do ID do Microsoft Entra .
  5. Atribuir os utilizadores da Microsoft Entra como proprietários do grupo. Um proprietário de grupo pode ser um utilizador regular do Microsoft Entra sem um papel administrativo. O proprietário deve ser um utilizador que gere o seu recurso Azure Synapse.
  6. Selecione Criar.

Verifica o grupo que criaste

Note

Certifique-se de que o Tipo de Grupo é Segurança. O Azure Synapse SQL não suporta grupos Microsoft 365.

Para verificar e gerir o grupo que criou, volte ao painel de Grupos no portal do Azure e procure o nome do seu grupo. Pode adicionar mais proprietários e membros no menu Proprietários e Membros da definição Gerir depois de selecionar o seu grupo. Também pode rever as Funções atribuídas para o grupo.

Adicionar uma identidade gerida pelo Azure Synapse ao grupo

Para os passos seguintes, já não precisa do utilizador Administrador de Funções com Privilégios.

  1. Inicie sessão no portal do Azure como utilizador que gere o recurso Azure Synapse e é proprietário do grupo que criou.

  2. Encontre a identidade gerida para o seu espaço de trabalho do Azure Synapse. Para informações sobre identidades de espaços de trabalho, veja Identidade de serviço gerida para o Azure Synapse Analytics.

  3. No Microsoft Entra ID, em Gerir, selecione aplicações empresariais. Procure a identidade gerida e anote o seu ID de Objeto.

  4. No Microsoft Entra ID, em Gerir, selecione Grupos. Selecione o grupo que criou e depois selecione Membros>Adicionar membros. Procure e adicione a identidade gerida do Azure Synapse.

Note

Pode demorar alguns minutos até que as permissões se propaguem e permitam o acesso ao Microsoft Graph.

Remarks

Pode criar a identidade do servidor durante a criação do servidor lógico ou depois de o servidor ser criado. Para mais informações sobre como criar ou definir a identidade do servidor no Azure Synapse, veja Managed Identities for Azure Synapse Analytics.

Atribuir o papel de Directory Readers à identidade do servidor não é necessário para o Azure Synapse ao configurar um administrador Microsoft Entra para o servidor lógico. No entanto, para permitir a criação de objetos Microsoft Entra no Azure Synapse em nome de uma aplicação Microsoft Entra, é necessário o papel de Directory Readers (ou permissões de nível inferior discutidas em Managed identities in Microsoft Entra for SQL do Azure). Se não atribuires o papel à identidade do servidor lógico, criar utilizadores Microsoft Entra falha.

Atribuição da função de Leitura de Diretório usando o PowerShell

Importante

Um Administrador de Papéis Privilegiados precisa de executar estes passos iniciais. Além do PowerShell, o Microsoft Entra ID oferece a API do Microsoft Graph para Criar um grupo atribuível a funções no Microsoft Entra ID.

  1. Descarregue o módulo PowerShell do Microsoft Graph usando os seguintes comandos. Talvez seja necessário executar o PowerShell como administrador.

    Install-Module Microsoft.Graph.Authentication
Import-Module Microsoft.Graph.Authentication
# To verify that the module is ready to use, run the following command:
Get-Module Microsoft.Graph.Authentication

  2. Conecte-se ao seu locatário do Microsoft Entra.

    Connect-MgGraph

  3. Crie um grupo de segurança para atribuir a função Leitores de Diretório.

    • DirectoryReaderGroup, Directory Reader Groupe DirRead podem ser alterados de acordo com a sua preferência.
    $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
$group

  4. Atribuir o papel de Leitores do Diretório ao grupo.

    # Displays the Directory Readers role information
$roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
$roleDefinition

    # Assigns the Directory Readers role to the group
$roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
$roleAssignment

  5. Atribua proprietários ao grupo.

    • Substitua <username> pelo usuário que você deseja possuir esse grupo. Adicione vários proprietários repetindo estes passos.
    $newGroupOwner = Get-MgUser -UserId "<username>"
$newGroupOwner

    $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)"

    Confira os proprietários do grupo:

    Get-MgGroupOwner -GroupId $group.Id

    Você também pode verificar os proprietários do grupo no portal do Azure. Para verificar o grupo que criou, veja Verificar o grupo que foi criado.

Atribuir o principal de serviço como membro do grupo

Para os passos seguintes, já não precisa do utilizador Privileged Role Administrator.

  1. Como proprietário de grupo que também gere o recurso Azure Synapse, execute o seguinte comando para se ligar ao Microsoft Entra ID.

    Connect-MgGraph

  2. Atribua o service principal como membro do grupo que criaste.

    # Returns the service principal of your Azure SQL resource
$managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
$managedIdentity

    # Adds the service principal to the group
New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id

    O comando a seguir retornará a ID do objeto da entidade de serviço indicando que ela foi adicionada ao grupo:

    Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"

Conteúdo relacionado

  • Última atualização a