Självstudie: Tilldela katalogläsarroll till en Microsoft Entra-grupp och hantera rolltilldelningar

Den här artikeln guidar dig genom att skapa en grupp i Microsoft Entra ID (tidigare Azure Active Directory) och tilldela den gruppen rollen Directory Readers. Rolltilldelningen tillåter gruppägare att lägga till hanterade identiteter för Azure Synapse Analytics-resurser i gruppen. Denna metod undviker att en Privileged Role Administrator måste tilldela Directory Readers-rollen direkt till varje identitet.

I den här självstudien används en funktion som introducerades i Att använda Microsoft Entra-grupper för att hantera rolltilldelningar.

Istället för rollen Directory Readers kan du tilldela lägre nivå Microsoft Graph-behörigheter för att följa principen om minsta privilegium. För mer information, se Managed identities i Microsoft Entra för Azure Synapse Analytics.

Prerequisites

• En Microsoft Entra-användare. För mer information, se Konfigurera och hantera Microsoft Entra-autentisering med Azure Synapse Analytics.
• En Azure Synapse workspace eller en fristående dedikerad SQL-pool.

Directory Readers-rolltilldelning genom att använda Azure-portalen

Skapa en ny grupp och tilldela ägare och roll

1. Du behöver en användare med behörigheten Privileged Role Administrator för denna initiala installation.
2. Låt den privilegierade användaren logga in på Azure-portalen.
3. Gå till Microsoft Entra ID-resursen . Under Hantera går du till Grupper. Välj Ny grupp för att skapa en ny grupp.
4. Välj Säkerhet som grupptyp och fyll i resten av fälten. Se till att inställningen Microsoft Entra-roller kan tilldelas gruppen är ändrad till Ja. Tilldela sedan Microsoft Entra ID Directory readers-rollen till gruppen.
5. Tilldela Microsoft Entra-användare som ägare för gruppen. En gruppägare kan vara en vanlig Microsoft Entra-användare utan administrativ roll. Ägaren bör vara en användare som hanterar din Azure Synapse-resurs.
6. Välj Skapa.

Markera gruppen du skapade

För att kontrollera och hantera gruppen du skapat, gå tillbaka till Grupper-panelen i Azure-portalen och sök efter ditt gruppnamn. Du kan lägga till fler ägare och medlemmar under menyn Ägare och medlemmar i Hantera-inställningen efter att du har valt din grupp. Du kan också granska de tilldelade rollerna för gruppen.

Lägg till en hanterad identitet för Azure Synapse i gruppen

För följande steg behöver du inte längre användaren Privileged Role Administrator.

1. Logga in på Azure-portalen som en användare som hanterar Azure Synapse-resursen och äger gruppen du skapat.

2. Hitta den hanterade identiteten för din Azure Synapse-arbetsmiljö. För information om workspace-identiteter, se Managed service identity for Azure Synapse Analytics.

3. I Microsoft Entra ID, under Hantera, välj Företagsapplikationer. Sök efter den hanterade identiteten och notera dess objekt-ID.

4. I Microsoft Entra ID, under Hantera, välj Grupper. Välj gruppen du skapade och välj sedan Medlemmar>Lägg till medlemmar. Sök efter och lägg till Azure Synapse managed identity.

Remarks

Du kan skapa serveridentiteten under skapandet av den logiska servern eller efter att servern har skapats. För mer information om hur man skapar eller sätter serveridentiteten i Azure Synapse, se Managed identities for Azure Synapse Analytics.

Att tilldela Directory Readers-rollen till serveridentiteten krävs inte för Azure Synapse när man sätter upp en Microsoft Entra-administratör för den logiska servern. För att möjliggöra Microsoft Entra-objektskapande i Azure Synapse på uppdrag av en Microsoft Entra-applikation krävs dock rollen Directory Readers (eller lägre nivåer av behörigheter som diskuteras i Managed identities i Microsoft Entra för Azure SQL). Om du inte tilldelar rollen till den logiska serveridentiteten misslyckas skapandet av Microsoft Entra-användare.

Rolltilldelning för katalogläsare med hjälp av PowerShell

1. Ladda ner Microsoft Graph PowerShell-modulen genom att använda följande kommandon. Du kan behöva köra PowerShell som administratör.

   Install-Module Microsoft.Graph.Authentication
   Import-Module Microsoft.Graph.Authentication
   # To verify that the module is ready to use, run the following command:
   Get-Module Microsoft.Graph.Authentication
   

2. Anslut till din Microsoft Entra-kundorganisation.

   Connect-MgGraph
   

3. Skapa en säkerhetsgrupp för att tilldela rollen Katalogläsare .

   • DirectoryReaderGroup, Directory Reader Group, och DirRead kan ändras enligt dina önskemål.

   $group = New-MgGroup -DisplayName "DirectoryReaderGroup" -Description "Directory Reader Group" -SecurityEnabled:$true -IsAssignableToRole:$true -MailEnabled:$false -MailNickname "DirRead"
   $group
   

4. Tilldela rollen Directory Readers till gruppen.

   # Displays the Directory Readers role information
   $roleDefinition = Get-MgRoleManagementDirectoryRoleDefinition -Filter "DisplayName eq 'Directory Readers'"
   $roleDefinition
   

   # Assigns the Directory Readers role to the group
   $roleAssignment = New-MgRoleManagementDirectoryRoleAssignment -DirectoryScopeId '/' -RoleDefinitionId $roleDefinition.Id -PrincipalId $group.Id
   $roleAssignment
   

5. Tilldela ägare till gruppen.

   • Ersätt <username> med den användare som du vill äga den här gruppen. Lägg till flera ägare genom att upprepa dessa steg.

   $newGroupOwner = Get-MgUser -UserId "<username>"
   $newGroupOwner
   

   $GrOwner = New-MgGroupOwnerByRef -GroupId $group.Id -OdataId "https://graph.microsoft.com/v1.0/users/$($newGroupOwner.Id)" 
   

   Kontrollera gruppens ägare:

   Get-MgGroupOwner -GroupId $group.Id
   

   Du kan också kontrollera gruppens ägare i Azure-portalen. För att kontrollera gruppen du skapade, se Kontrollera gruppen som skapades.

Tilldela tjänstens huvudansvarig som medlem i gruppen

För följande steg behöver du inte längre användaren Privileged Role Administrator.

1. Som gruppägare som också hanterar Azure Synapse-resursen, kör följande kommando för att ansluta till Microsoft Entra ID.

   Connect-MgGraph
   

2. Tilldela tjänstens huvudnamn som medlem i den grupp du skapat.

   • Ersätt <ServerName> med namnet på den logiska servern eller den hanterade instansen. För mer information, se avsnittet Lägg till Azure SQL-tjänsteidentitet i gruppen.

   # Returns the service principal of your Azure SQL resource
   $managedIdentity = Get-MgServicePrincipal -Filter "displayName eq '<ServerName>'"
   $managedIdentity
   

   # Adds the service principal to the group
   New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $managedIdentity.Id
   

   Följande kommando returnerar objekt-ID:t för tjänstens huvudnamn som anger att det har lagts till i gruppen:

   Get-MgGroupMember -GroupId $group.Id -Filter "Id eq '$($managedIdentity.Id)'"
   

Relaterat innehåll

• Managed identities in Microsoft Entra for Azure Synapse Analytics
• Konfigurera och hantera Microsoft Entra-autentisering med Azure Synapse Analytics
• Microsoft Entra-autentisering för Azure Synapse Analytics