Azure SQL - 如何将 AD 用户添加到 SQL 池数据库

Question

问题:我正在尝试将事件目录用户和组(从本地同步到 Azure AD)添加到 SQL 弹性池中存在的 SQL 数据库Azure 在同一租户中。我不想使用 SQL Server 身份验证(集成)。我似乎无法使用 AD 帐户(必需)登录来添加其他 AD 帐户。

本地目录已同步到 Azure AD。租户已配置并可使用 O365 电子邮件，现在我们的租户中的弹性池中存在多个 SQL 数据库。

注意:这不是托管 SQL 实例。当我直接管理弹性池或数据库时，我没有可用的菜单选项 Active Directory admin as outlined here 。

我的 AD 管理员帐户已作为所有者添加到弹性池访问控制 (IAM)。

使用SSMS连接到云中的数据库，可以使用SQL Server身份验证连接到数据库。当我尝试 CREATE USER [<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="e3969086918d828e86a38e9a97868d828d97cd808c8e" rel="noreferrer noopener nofollow">[email protected]</a>] FROM EXTERNAL PROVIDER 时，我收到错误 无法创建主体“[email protected]”。只有与 Active Directory 帐户建立的连接才能创建其他 Active Directory 用户。

其原因 also outlined here 是“不基于 Azure AD 帐户(包括 Azure SQL Server 管理员帐户)的用户无法创建基于 Azure AD 的用户，因为他们无权使用 Azure AD 验证建议的数据库用户。”

再次使用 SSMS 并以 [email protected] 身份连接Active Directory - 具有 MFA 支持的通用，在尝试登录时我收到错误用户“NT AUTHORITY\ANONYMOUS LOGON”登录失败。 (Microsoft SQL Server，错误:18456)。当我将连接到数据库配置为 DBName 并将AD 域名或租户 ID 配置为 mytenant.onmicrosoft.com 时，结果相同。即使使用我们在设置环境时创建的初始租户管理员帐户，我也会得到相同的结果。

所以我最后的问题 - 如何添加从本地同步到 Azure SQL 数据库(或弹性池)的 AD 用户，以便我可以使用该用户登录并开始添加其他 AD用户访问数据库？

我显然错过了一些基本的东西，只需要一个正确方向的点。感谢您提供的任何帮助。

Answer 1

首先为池创建一个 Active Directory 管理员。

1. 在门户中选择您现有的弹性池
2. 在“概述”中，点击您的“服务器名称”
3. 选择“Active Directory 管理员”->“设置管理员”。您可以将单个用户或 AD 组设置为管理员。

您也可以从 CLI 执行此操作:

> az sql server ad-admin create --object-id <Object-Id-OfUserOrGroup>
    -s <Database-Name>
    -g <Resource-Group>
    -u <NameOrEmailAkaDisplayName>

现在，您应该能够通过 SSMS 使用 AD 管理员登录信息登录到弹性池中的数据库。在这种情况下，您可以通过“Active Directory密码身份验证”登录，但也可以使用“通用身份验证”或“集成身份验证”。

以 AD 管理员身份登录后，您可以创建与 AD 组相对应的新 SQL Server 用户。请考虑我已经创建了一个名为“SQL Developers”的 AD 组，因此我可以将其映射到 Azure SQL Server 数据库并将其添加到 db_datareader 固定角色，如下所示:

CREATE USER [SQL Developers] FROM EXTERNAL PROVIDER 
ALTER ROLE db_datareader ADD MEMBER [SQL Developers]