Azure SQL で Microsoft Entra 専用認証を有効にしたサーバーを作成する

[アーティクル]
01/23/2024

適用対象:Azure SQL データベース Azure SQL Managed Instance

この攻略ガイドでは、プロビジョニング中に Microsoft Entra 専用認証を有効にした Azure SQL Database 用論理サーバーまたは Azure SQL Managed Instance を作成する手順の概要を示します。 Microsoft Entra 専用認証機能を使用すると、ユーザーは SQL 認証を使用してサーバーまたはマネージドインスタンスに接続できなくなり、Microsoft Entra ID (旧称 Azure Active Directory) で認証した接続のみが許可されます。

Note

Microsoft Entra ID の、旧称は Azure Active Directory（Azure AD）です。

前提条件

Azure CLI を使用する場合は、バージョン 2.26.1 以降が必要です。インストールと最新バージョンの詳細については、「Azure CLI のインストール」を参照してください。
PowerShell を使用する場合は、Az 6.1.0 モジュール以降が必要です。
Azure CLI、PowerShell、または REST API を使ってマネージドインスタンスをプロビジョニングする場合は、始める前に仮想ネットワークとサブネットを作成する必要があります。詳細については、「Azure SQL Managed Instance 用の仮想ネットワークを作成する」を参照してください。

アクセス許可

論理サーバーまたはマネージドインスタンスをプロビジョニングするには、これらのリソースを作成するための適切なアクセス許可が必要です。サブスクリプションの所有者、共同作成者、サービス管理者、共同管理者といった、より高いアクセス許可を持つ Azure ユーザーは、SQL サーバーまたはマネージドインスタンスを作成する特権を持ちます。最小特権の Azure RBAC ロールでこれらのリソースを作成するには、SQL Database の場合は SQL Server 共同作成者ロールを使用し、SQL Managed Instance の場合は SQL Managed Instance 共同作成者ロールを使用します。

SQL セキュリティ管理者の Azure RBAC ロールには、Microsoft Entra 専用認証を有効にしたサーバーまたはインスタンスを作成するための十分なアクセス許可がありません。サーバーまたはインスタンスの作成後に Microsoft Entra 専用認証機能を管理するには、SQL セキュリティ管理者ロールが必要です。

Microsoft Entra 専用認証を有効にしたプロビジョニング

次のセクションでは、サーバーまたはインスタンスの Microsoft Entra 管理者セットを使用して論理サーバーまたはマネージドインスタンスを作成する方法およびサーバー作成時に Microsoft Entra 専用認証を有効にする方法に関する例とスクリプトを紹介します。機能の詳細については、「Microsoft Entra 専用認証」を参照してください。

この例では、システムに割り当てられたサーバー管理者とパスワードを使用して、サーバーまたはマネージドインスタンスの作成時に Microsoft Entra 専用認証を有効にします。これにより Microsoft Entra 専用認証が有効になっている場合にサーバー管理者がアクセスできなくなり、Microsoft Entra 管理者のみがリソースにアクセスできるようになります。サーバー作成時に独自のサーバー管理者とパスワードを含めるためにパラメーターを API に追加することは省略可能です。ただし、Microsoft Entra 専用認証を無効にするまで、パスワードをリセットすることはできません。これらの省略可能なパラメーターを使用してサーバー管理者ログイン名を指定する方法の例は、このページの [PowerShell] タブに示されています。

Note

サーバーまたはマネージドインスタンスの作成後に既存のプロパティを変更するには、他の既存の API を使用する必要があります。詳細については、「API を使用した Microsoft Entra 専用認証の管理」および「Azure SQL で Microsoft Entra 認証を構成して管理する」を参照してください。

Microsoft Entra 専用認証が false に設定されている場合 (既定)、サーバーまたはマネージドインスタンスの作成時にすべての API にサーバー管理者とパスワードを含める必要があります。

Azure SQL データベース

Azure portal の [SQL デプロイオプションの選択] ページを参照します。
まだ Azure portal にサインインしていない場合は、求められたらサインインします。
[SQL データベース] で、 [リソースの種類] を [単一データベース] に設定し、 [作成] を選択します。
[SQL データベースの作成] フォームの [基本] タブにある [プロジェクトの詳細] で、目的の Azure [サブスクリプション] を選択します。
[リソースグループ] の [新規作成] を選択し、リソースグループの名前を入力し、 [OK] を選択します。
[データベース名] に、データベースの名前を入力します。
[サーバー] で、 [新規作成] を選択し、新しいサーバーフォームに次の値を入力します。
- [サーバー名] : 一意のサーバー名を入力します。サーバー名は、サブスクリプション内で一意ではなく、Azure のすべてのサーバーに対してグローバルに一意である必要があります。値を入力すると Azure portal で使用可能かどうかが示されます。
- [場所] : ドロップダウンリストから場所を選択します
- 認証方法: [Microsoft Entra 専用認証を使用する] を選択します。
- [管理者の設定] を選択して [Microsoft Entra ID] ウィンドウを開き、論理サーバーの Microsoft Entra 管理者として Microsoft Entra プリンシパルを選択します。完了したら、 [選択] ボタンを使用して管理者を設定します。
ページの下部にある [Next: Networking](次へ: ネットワーク) を選択します。
[ネットワーク] タブの [接続方法] で、 [パブリックエンドポイント] を選択します。
[ファイアウォール規則] で、 [現在のクライアント IP アドレスを追加する] を [はい] に設定します。 [Azure サービスおよびリソースにこのサーバーグループへのアクセスを許可する] を [いいえ] に設定したままにします。
[接続ポリシー] と [最小 TLS バージョン] は規定値のままにします。
ページの下部で [次へ: セキュリティ] を選択します。ご自分の環境に、 [Microsoft Defender for SQL] 、 [Ledger] 、 [ID] 、 [Transparent Data Encryption] の設定を構成します。これらの設定は省略することもできます。

Note

ユーザー割り当てマネージド ID をサーバー ID として使用することは、Microsoft Entra 専用認証ではサポートされていません。 ID としてインスタンスに接続するには、その ID を Azure 仮想マシンに割り当てて、その VM で SSMS を実行します。運用環境では、Microsoft Entra 管理者のマネージド ID を使用することをお勧めします。これは、Azure リソースに対するパスワードレス認証によるセキュリティ対策が強化され、簡素化されているためです。
ページ下部にある [確認と作成] を選択します。
[確認と作成] ページで、確認後、 [作成] を選択します。

Azure CLI コマンド az sql server create は、新しい論理サーバーをプロビジョニングするために使用されます。次のコマンドは、Microsoft Entra 専用認証が有効になっている新しいサーバーをプロビジョニングします。

サーバー SQL 管理者が自動的に作成され、パスワードはランダムなパスワードに設定されます。このサーバーを作成すると SQL 認証接続が無効になるため、SQL 管理者ログインは使用されません。

サーバー Microsoft Entra 管理者は、<MSEntraAccount> に設定したアカウントになり、サーバーの管理に使用できます。

この例では次の値を置き換えます。

<MSEntraAccount>: Microsoft Entra ユーザーまたはグループを指定できます。たとえば、DummyLogin のように指定します。
<MSEntraAccountSID>: ユーザーアカウントの Microsoft Entra オブジェクト ID
<ResourceGroupName>: 論理サーバーのリソースグループの名前
<ServerName>: 一意の論理サーバー名を使用します

az sql server create \
    --enable-ad-only-auth \
    --external-admin-principal-type User \
    --external-admin-name <MSEntraAccount> \
    --external-admin-sid <MSEntraAccountSID> \
    -g <ResourceGroupName> \
    -n <ServerName>

詳細については、「az sql server create」を参照してください。

作成後にサーバーの状態を確認するには、次のコマンドを参照してください。

az sql server show --name <ServerName> --resource-group <ResourceGroupName> --expand-ad-admin

PowerShell コマンド New-AzSqlServer は、新しい論理サーバーをプロビジョニングするために使用されます。次のコマンドは、Microsoft Entra 専用認証が有効になっている新しいサーバーをプロビジョニングします。

サーバー Microsoft Entra 管理者は、<MSEntraAccount> に設定したアカウントになり、サーバーの管理に使用できます。

この例では次の値を置き換えます。

<ResourceGroupName>: 論理サーバーのリソースグループの名前
<Location>: サーバーの場所 (West US、Central US など)
<ServerName>: 一意の論理サーバー名を使用します
<MSEntraAccount>: Microsoft Entra ユーザーまたはグループを指定できます。たとえば、DummyLogin のように指定します。

$server = @{
    ResourceGroupName = "<ResourceGroupName>"
    Location = "<Location>"
    ServerName = "<ServerName>"
    ServerVersion = "12.0"
    ExternalAdminName = "<MSEntraAccount>"
    EnableActiveDirectoryOnlyAuthentication = $true
}

New-AzSqlServer @server

論理サーバーの作成時に、(サーバー管理者名が自動作成されるようにするのではなく) サーバー管理者名を指定する例を次に示します。前述したように、Microsoft Entra 専用認証が有効になっているときには、このログインを使用できません。

$cred = Get-Credential
New-AzSqlServer -ResourceGroupName "<ResourceGroupName>" -Location "<Location>" -ServerName "<ServerName>" -ServerVersion "12.0" -ExternalAdminName "<MSEntraAccount>" -EnableActiveDirectoryOnlyAuthentication -SqlAdministratorCredentials $cred

詳細については、「New-AzSqlServer」を参照してください。

Servers - Create Or Update の REST API を使用して、プロビジョニング中に Microsoft Entra 専用認証が有効になっている論理サーバーを作成できます。

次のスクリプトでは、論理サーバーをプロビジョニングし、Microsoft Entra 管理者を <MSEntraAccount> として設定して、Microsoft Entra 専用認証を有効にします。サーバー SQL 管理者も自動的に作成され、パスワードはランダムなパスワードに設定されます。このプロビジョニングでは SQL 認証接続が無効になるため、SQL 管理者ログインは使用されません。

Microsoft Entra 管理者 <MSEntraAccount> は、プロビジョニングが完了したときにサーバーを管理するために使用できます。

この例では次の値を置き換えます。

<tenantId>: Azure portal に移動し、Microsoft Entra ID リソースに移動すると確認できます。 [概要] ペインに [テナント ID] が表示されます
<subscriptionId>: サブスクリプション ID は Azure portal で確認できます
<ServerName>: 一意の論理サーバー名を使用します
<ResourceGroupName>: 論理サーバーのリソースグループの名前
<MicrosoftEntraAccount>: Microsoft Entra ユーザー、グループ、またはアプリケーションを指定できます。たとえば、DummyLogin のように指定します。
<Location>: サーバーの場所 (westus2、centralus など)
<objectId>: Azure portal から Microsoft Entra ID リソースにアクセスして確認できます。 [ユーザー] ウィンドウで、Microsoft Entra ユーザーを検索し、オブジェクト ID を見つけます。 Microsoft Entra 管理者としてアプリケーション (サービスプリンシパル) を使用している場合は、この値をアプリケーション ID に置き換えます。 principalType も更新する必要があります。
<principalType>: ユーザー、グループ、アプリケーションの 3 つのオプションのいずれか。管理者として使用される Microsoft Entra オブジェクトの型。マネージド ID とサービスプリンシパルはアプリケーションです。

Import-Module Azure
Import-Module MSAL.PS

$tenantId = '<tenantId>'
$clientId = '1950a258-227b-4e31-a9cf-717495945fc2' # Static Microsoft client ID used for getting a token
$subscriptionId = '<subscriptionId>'
$uri = "urn:ietf:wg:oauth:2.0:oob" 
$authUrl = "https://login.windows.net/$tenantId"
$serverName = "<ServerName>"
$resourceGroupName = "<ResourceGroupName>"

Login-AzAccount -tenantId $tenantId

# login as a user with SQL Server Contributor role or higher 

# Get a token

$result = Get-MsalToken -RedirectUri $uri -ClientId $clientId -TenantId $tenantId -Scopes "https://management.core.windows.net/.default"

#Authetication header
$authHeader = @{
'Content-Type'='application\json; '
'Authorization'=$result.CreateAuthorizationHeader()
}

# Enable Microsoft Entra-only auth 
# No server admin is specified, Microsoft Entra admin is configured, and Microsoft Entra-only authentication is set to true
# Server admin (login and password) is randomly generated by the system

# Authentication body
# The sid is the Microsoft Entra Object ID for the user or group, and Application ID for applications. Update the principalType as well

$body = '{ 
"location": "<Location>",
"properties": { "administrators":{ "login":"<MSEntraAccount>", "sid":"<objectId>", "tenantId":"<tenantId>", "principalType":"User", "azureADOnlyAuthentication":true }
  }
}'

# Provision the server

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/servers/$serverName/?api-version=2020-11-01-preview -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

サーバーの状態を確認するには、次のスクリプトを使用します。

$uri = 'https://management.azure.com/subscriptions/'+$subscriptionId+'/resourceGroups/'+$resourceGroupName+'/providers/Microsoft.Sql/servers/'+$serverName+'?api-version=2020-11-01-preview&$expand=administrators/activedirectory'

$responce=Invoke-WebRequest -Uri $uri -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

$responce.statuscode

$responce.content

ARM テンプレートの詳細については、「Azure SQL Database および SQL Managed Instance 用 Azure Resource Manager テンプレート」を参照してください。

ARM テンプレートを使用して、サーバーに Microsoft Entra 管理者が設定されていて、Microsoft Entra 専用認証が有効となっている論理サーバーをプロビジョニングするには、「Microsoft Entra 専用認証を使用した Azure SQL 論理サーバー」クイックスタートテンプレートを参照してください。

次のテンプレートを使用することもできます。 Azure portal のカスタムデプロイを使用し、エディターで独自のテンプレートを作成します。次に、例に貼り付けたら、構成を保存します。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "server": {
            "type": "string",
            "defaultValue": "[uniqueString('sql', resourceGroup().id)]",
            "metadata": {
                "description": "The name of the logical server."
            }
        },
        "location": {
            "type": "string",
            "defaultValue": "[resourceGroup().location]",
            "metadata": {
                "description": "Location for all resources."
            }
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL server."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin if the admin is a user or group. For Applications, use the Application ID."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers",
            "apiVersion": "2020-11-01-preview",
            "name": "[parameters('server')]",
            "location": "[parameters('location')]",
            "properties": {
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}

Azure SQL Managed Instance

Azure portal の [SQL デプロイオプションの選択] ページを参照します。
まだ Azure portal にサインインしていない場合は、求められたらサインインします。
[SQL マネージドインスタンス] で、 [リソースの種類] を [単一インスタンス] に設定し、 [作成] を選択します。
[基本] タブの [プロジェクトの詳細] と [マネージドドインスタンスの詳細] に必須情報を記入します。これは、SQL Managed Instance をプロビジョニングするために必要な最小限の情報セットです。

構成オプションの詳細については、クイックスタート: Azure SQL Managed Instance の作成に関するページを参照してください。
[認証] の [認証方法] にある [Microsoft Entra ID 専用認証を使用] を選択します。
[管理者の設定] を選択して [Microsoft Entra ID] ウィンドウを開き、マネージドインスタンスの Microsoft Entra 管理者として、Microsoft Entra プリンシパルを選択します。完了したら、 [選択] ボタンを使用して管理者を設定します。
残りの設定は既定値のまま使用できます。 [ネットワーク] や [セキュリティ] などのタブや設定の詳細については、クイックスタート: Azure SQL Managed Instance の作成に関する記事を参照してください。
設定の構成が完了したら、[確認と作成] を選択して続行します。 [作成] を選択して、マネージドインスタンスのプロビジョニングを開始します。

Azure CLI コマンド az sql mi create は、新しい Azure SQL Managed Instance をプロビジョニングするために使用されます。次のコマンドは、Microsoft Entra 専用認証が有効になっている新しいマネージドインスタンスをプロビジョニングします。

Note

このスクリプトでは、前提条件として仮想ネットワークとサブネットを作成する必要があります。

マネージドインスタンス SQL 管理者が自動的に作成され、パスワードはランダムなパスワードに設定されます。このプロビジョニングでは SQL 認証が無効になるため、SQL 管理者は使用されません。

AMicrosoft Entra は、<MSEntraAccount> に設定したアカウントになり、プロビジョニングの完了時にインスタンスを管理するために使用できます。

この例では次の値を置き換えます。

<MSEntraAccount>: Microsoft Entra ユーザーまたはグループを指定できます。たとえば、DummyLogin のように指定します。
<MSEntraAccountSID>: ユーザーの Microsoft Entra オブジェクトの ID。
<managedinstancename>: 作成するマネージドインスタンスの名前を指定します
<ResourceGroupName>: マネージドインスタンスのリソースグループの名前。リソースグループには、作成された仮想ネットワークとサブネットも含める必要があります
subnet パラメーターは、<Subscription ID>、<ResourceGroupName>、<VNetName>、および <SubnetName> を使用して更新する必要があります。サブスクリプション ID は Azure portal で確認できます

az sql mi create \
    --enable-ad-only-auth \
    --external-admin-principal-type User \
    --external-admin-name <MSEntraAccount> \
    --external-admin-sid <MSEntraAccountSID> \
    -g <ResourceGroupName> \
    -n <managedinstancename> \
    --subnet /subscriptions/<Subscription ID>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>

詳細については、「az sql mi create」を参照してください。

PowerShell コマンド New-AzSqlInstance は、新しい Azure SQL Managed Instance をプロビジョニングするために使用されます。次のコマンドは、Microsoft Entra 専用認証が有効になっている新しいマネージドインスタンスをプロビジョニングします。

Note

このスクリプトでは、前提条件として仮想ネットワークとサブネットを作成する必要があります。

マネージドインスタンス SQL 管理者が自動的に作成され、パスワードはランダムなパスワードに設定されます。このプロビジョニングでは SQL 認証接続が無効になるため、SQL 管理者ログインは使用されません。

AMicrosoft Entra は、<MSEntraAccount> に設定したアカウントになり、プロビジョニングの完了時にインスタンスを管理するために使用できます。

この例では次の値を置き換えます。

<managedinstancename>: 作成するマネージドインスタンスの名前を指定します
<ResourceGroupName>: マネージドインスタンスのリソースグループの名前。リソースグループには、作成された仮想ネットワークとサブネットも含める必要があります
<MSEntraAccount>: Microsoft Entra ユーザーまたはグループを指定できます。たとえば、DummyLogin のように指定します。
<Location>: サーバーの場所 (West US、Central US など)
SubnetId パラメーターは、<Subscription ID>、<ResourceGroupName>、<VNetName>、および <SubnetName> を使用して更新する必要があります。サブスクリプション ID は Azure portal で確認できます

$instanceName = @{
    Name = "<managedinstancename>"
    ResourceGroupName = "<ResourceGroupName>"
    ExternalAdminName = "<MSEntraAccount>"
    EnableActiveDirectoryOnlyAuthentication = $true
    Location = "<Location>"
    SubnetId = "/subscriptions/<SubscriptionID>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>"
    LicenseType = "LicenseIncluded"
    StorageSizeInGB = 128
    VCore = 4
    Edition = "GeneralPurpose"
    ComputeGeneration = "Gen5"
}

New-AzSqlInstance $instanceName

詳細については、「New-AzSqlInstance」をご覧ください。

SQL Managed Instances - Create Or Updateの REST API を使用して、プロビジョニング中に Microsoft Entra 専用認証が有効になっているマネージドインスタンスを作成できます。

Note

このスクリプトでは、前提条件として仮想ネットワークとサブネットを作成する必要があります。

次のスクリプトでは、マネージドインスタンスをプロビジョニングし、Microsoft Entra 管理者を <MSEntraAccount> として設定して、Microsoft Entra 専用認証を有効にします。インスタンス SQL 管理者も自動的に作成され、パスワードはランダムなパスワードに設定されます。このプロビジョニングでは SQL 認証接続が無効になるため、SQL 管理者ログインは使用されません。

プロビジョニングが完了したら、Microsoft Entra 管理者 <MSEntraAccount> を使用してインスタンスを管理できます。

この例では次の値を置き換えます。

<tenantId>: Azure portal に移動し、Microsoft Entra ID リソースに移動すると確認できます。 [概要] ペインに [テナント ID] が表示されます
<subscriptionId>: サブスクリプション ID は Azure portal で確認できます
<instanceName>: 一意のマネージドインスタンス名を使用します
<ResourceGroupName>: 論理サーバーのリソースグループの名前
<MSEntraAccount>: Microsoft Entra ユーザーまたはグループを指定できます。たとえば、DummyLogin のように指定します。
<Location>: サーバーの場所 (westus2、centralus など)
<objectId>: Azure portal から Microsoft Entra ID リソースにアクセスして確認できます。 [ユーザー] ウィンドウで、Microsoft Entra ユーザーを検索し、オブジェクト ID を見つけます。 Microsoft Entra 管理者としてアプリケーション (サービスプリンシパル) を使用している場合は、この値をアプリケーション ID に置き換えます。 principalType も更新する必要があります。
subnetId パラメーターは、<ResourceGroupName>、Subscription ID、<VNetName>、および <SubnetName> を使用して更新する必要があります。

Import-Module Azure
Import-Module MSAL.PS

$tenantId = '<tenantId>'
$clientId = '1950a258-227b-4e31-a9cf-717495945fc2' # Static Microsoft client ID used for getting a token
$subscriptionId = '<subscriptionId>'
$uri = "urn:ietf:wg:oauth:2.0:oob" 
$instanceName = "<instanceName>"
$resourceGroupName = "<ResourceGroupName>"
$scopes ="https://management.core.windows.net/.default"

Login-AzAccount -tenantId $tenantId

# Login as an Microsoft Entra user with permission to provision a managed instance

$result = Get-MsalToken -RedirectUri $uri -ClientId $clientId -TenantId $tenantId -Scopes $scopes

$authHeader = @{
'Content-Type'='application\json; '
'Authorization'=$result.CreateAuthorizationHeader()
}

$body = '{
"name": "<instanceName>", "type": "Microsoft.Sql/managedInstances", "identity": { "type": "SystemAssigned"},"location": "<Location>", "sku": {"name": "GP_Gen5", "tier": "GeneralPurpose", "family":"Gen5","capacity": 8},
"properties": {"administrators":{ "login":"<MSEntraAccount>", "sid":"<objectId>", "tenantId":"<tenantId>", "principalType":"User", "azureADOnlyAuthentication":true },
"subnetId": "/subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.Network/virtualNetworks/<VNetName>/subnets/<SubnetName>",
"licenseType": "LicenseIncluded", "vCores": 8, "storageSizeInGB": 2048, "collation": "SQL_Latin1_General_CP1_CI_AS", "proxyOverride": "Proxy", "timezoneId": "UTC", "privateEndpointConnections": [], "storageAccountType": "GRS", "zoneRedundant": false 
  }
}'

# To provision the instance, execute the `PUT` command

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$instanceName/?api-version=2020-11-01-preview -Method PUT -Headers $authHeader -Body $body -ContentType "application/json"

結果を確認するには、次のように GET コマンドを実行します。

Invoke-RestMethod -Uri https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Sql/managedInstances/$instanceName/?api-version=2020-11-01-preview -Method GET -Headers $authHeader  | Format-List

インスタンスに対して Microsoft Entra 管理者セットを設定されていて、Microsoft Entra 専用認証が有効な新しいマネージドインスタンス、仮想ネットワーク、およびサブネットをプロビジョニングするには、次のテンプレートを使用します。

Azure portal のカスタムデプロイを使用し、エディターで独自のテンプレートを作成します。次に、例に貼り付けたら、構成を保存します。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "managedInstanceName": {
            "type": "String",
            "metadata": {
                "description": "Enter managed instance name."
            }
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL managed instance."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin. The Object ID of the Azure AD admin if the admin is a user or group. For Applications, use the Application ID."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        },
        "location": {
            "defaultValue": "[resourceGroup().location]",
            "type": "String",
            "metadata": {
                "description": "Enter location. If you leave this field blank resource group location would be used."
            }
        },
        "virtualNetworkName": {
            "type": "String",
            "defaultValue": "SQLMI-VNET",
            "metadata": {
                "description": "Enter virtual network name. If you leave this field blank name will be created by the template."
            }
        },
        "addressPrefix": {
            "defaultValue": "10.0.0.0/16",
            "type": "String",
            "metadata": {
                "description": "Enter virtual network address prefix."
            }
        },
        "subnetName": {
            "type": "String",
            "defaultValue": "ManagedInstances",
            "metadata": {
                "description": "Enter subnet name. If you leave this field blank name will be created by the template."
            }
        },
        "subnetPrefix": {
            "defaultValue": "10.0.0.0/24",
            "type": "String",
            "metadata": {
                "description": "Enter subnet address prefix."
            }
        },
        "skuName": {
            "defaultValue": "GP_Gen5",
            "allowedValues": [
                "GP_Gen5",
                "BC_Gen5"
            ],
            "type": "String",
            "metadata": {
                "description": "Enter sku name."
            }
        },
        "vCores": {
            "defaultValue": 16,
            "allowedValues": [
                8,
                16,
                24,
                32,
                40,
                64,
                80
            ],
            "type": "Int",
            "metadata": {
                "description": "Enter number of vCores."
            }
        },
        "storageSizeInGB": {
            "defaultValue": 256,
            "minValue": 32,
            "maxValue": 8192,
            "type": "Int",
            "metadata": {
                "description": "Enter storage size."
            }
        },
        "licenseType": {
            "defaultValue": "LicenseIncluded",
            "allowedValues": [
                "BasePrice",
                "LicenseIncluded"
            ],
            "type": "String",
            "metadata": {
                "description": "Enter license type."
            }
        }
    },
    "variables": {
        "networkSecurityGroupName": "[concat('SQLMI-', parameters('managedInstanceName'), '-NSG')]",
        "routeTableName": "[concat('SQLMI-', parameters('managedInstanceName'), '-Route-Table')]"
    },
    "resources": [
        {
            "type": "Microsoft.Network/networkSecurityGroups",
            "apiVersion": "2020-06-01",
            "name": "[variables('networkSecurityGroupName')]",
            "location": "[parameters('location')]",
            "properties": {
                "securityRules": [
                    {
                        "name": "allow_tds_inbound",
                        "properties": {
                            "description": "Allow access to data",
                            "protocol": "Tcp",
                            "sourcePortRange": "*",
                            "destinationPortRange": "1433",
                            "sourceAddressPrefix": "VirtualNetwork",
                            "destinationAddressPrefix": "*",
                            "access": "Allow",
                            "priority": 1000,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "allow_redirect_inbound",
                        "properties": {
                            "description": "Allow inbound redirect traffic to SQL Managed Instance inside the virtual network",
                            "protocol": "Tcp",
                            "sourcePortRange": "*",
                            "destinationPortRange": "11000-11999",
                            "sourceAddressPrefix": "VirtualNetwork",
                            "destinationAddressPrefix": "*",
                            "access": "Allow",
                            "priority": 1100,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "deny_all_inbound",
                        "properties": {
                            "description": "Deny all other inbound traffic",
                            "protocol": "*",
                            "sourcePortRange": "*",
                            "destinationPortRange": "*",
                            "sourceAddressPrefix": "*",
                            "destinationAddressPrefix": "*",
                            "access": "Deny",
                            "priority": 4096,
                            "direction": "Inbound"
                        }
                    },
                    {
                        "name": "deny_all_outbound",
                        "properties": {
                            "description": "Deny all other outbound traffic",
                            "protocol": "*",
                            "sourcePortRange": "*",
                            "destinationPortRange": "*",
                            "sourceAddressPrefix": "*",
                            "destinationAddressPrefix": "*",
                            "access": "Deny",
                            "priority": 4096,
                            "direction": "Outbound"
                        }
                    }
                ]
            }
        },
        {
            "type": "Microsoft.Network/routeTables",
            "apiVersion": "2020-06-01",
            "name": "[variables('routeTableName')]",
            "location": "[parameters('location')]",
            "properties": {
                "disableBgpRoutePropagation": false
            }
        },
        {
            "type": "Microsoft.Network/virtualNetworks",
            "apiVersion": "2020-06-01",
            "name": "[parameters('virtualNetworkName')]",
            "location": "[parameters('location')]",
            "dependsOn": [
                "[variables('routeTableName')]",
                "[variables('networkSecurityGroupName')]"
            ],
            "properties": {
                "addressSpace": {
                    "addressPrefixes": [
                        "[parameters('addressPrefix')]"
                    ]
                },
                "subnets": [
                    {
                        "name": "[parameters('subnetName')]",
                        "properties": {
                            "addressPrefix": "[parameters('subnetPrefix')]",
                            "routeTable": {
                                "id": "[resourceId('Microsoft.Network/routeTables', variables('routeTableName'))]"
                            },
                            "networkSecurityGroup": {
                                "id": "[resourceId('Microsoft.Network/networkSecurityGroups', variables('networkSecurityGroupName'))]"
                            },
                            "delegations": [
                                {
                                    "name": "miDelegation",
                                    "properties": {
                                        "serviceName": "Microsoft.Sql/managedInstances"
                                    }
                                }
                            ]
                        }
                    }
                ]
            }
        },
        {
            "type": "Microsoft.Sql/managedInstances",
            "apiVersion": "2020-11-01-preview",
            "name": "[parameters('managedInstanceName')]",
            "location": "[parameters('location')]",
            "dependsOn": [
                "[parameters('virtualNetworkName')]"
            ],
            "sku": {
                "name": "[parameters('skuName')]"
            },
            "identity": {
                "type": "SystemAssigned"
            },
            "properties": {
                "subnetId": "[resourceId('Microsoft.Network/virtualNetworks/subnets', parameters('virtualNetworkName'), parameters('subnetName'))]",
                "storageSizeInGB": "[parameters('storageSizeInGB')]",
                "vCores": "[parameters('vCores')]",
                "licenseType": "[parameters('licenseType')]",
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}

ディレクトリ閲覧者のアクセス許可を付与する

マネージドインスタンスのデプロイが完了すると、Microsoft Entra ID にアクセスするために、SQL Managed Instance に読み取りアクセス許可が必要であることに気付く場合があります。読み取りアクセス許可を付与するには、十分な特権を持つユーザーが Azure portal に表示されているメッセージをクリックします。詳細については、「Azure SQL での Microsoft Entra のディレクトリ閲覧者ロール」を参照してください。

Screenshot of the Microsoft Entra admin menu in Azure portal showing Read permissions needed.

制限事項

サーバー管理者のパスワードをリセットするには、Microsoft Entra 専用認証を無効にする必要があります。
Microsoft Entra 専用認証が無効になっている場合は、すべての API を使用するときに、サーバー管理者とパスワードを持つサーバーを作成する必要があります。

論理サーバーまたは SQL マネージドインスタンスが既に存在し、Microsoft Entra 専用認証を有効にするだけの場合は、「チュートリアル: Azure SQL を使用して Microsoft Entra ID 専用認証を有効にする」を参照してください。
Microsoft Entra 専用認証機能の詳細については、「Azure SQL を使用した Microsoft Entra 専用認証」を参照してください。
Microsoft Entra 専用認証が有効なサーバーの作成を強制する場合は、「Azure SQL を使用して Microsoft Entra ID 専用認証を行うための Azure Policy」を参照してください

Azure SQL で Microsoft Entra 専用認証を有効にしたサーバーを作成する

前提条件

アクセス許可

Microsoft Entra 専用認証を有効にしたプロビジョニング

Azure SQL データベース

Azure SQL Managed Instance

ディレクトリ閲覧者のアクセス許可を付与する

制限事項

フィードバック

フィードバック

その他のリソース

Azure SQL で Microsoft Entra 専用認証を有効にしたサーバーを作成する

前提条件

アクセス許可

Microsoft Entra 専用認証を有効にしたプロビジョニング

Azure SQL データベース

Azure SQL Managed Instance

ディレクトリ閲覧者のアクセス許可を付与する

制限事項

関連するコンテンツ

フィードバック

フィードバック

その他のリソース