Entra ID SQL-Authentifizierung konfigurieren

Navigieren Sie im Azure-Portal zum Nerdio Manager SQL Server und wählen Sie Einstellungen > Microsoft Entra ID. Weisen Sie ein Benutzerkonto als Entra ID-Administrator auf dem SQL Server zu.

Verwenden Sie SQL Server Management Studio, um eine Verbindung mit dem gehosteten SQL Server herzustellen, und melden Sie sich mit Ihrem Entra ID-Administratorkonto an.

Geben Sie die erforderlichen Verbindungsdetails für die Nerdio Manager SQL-Datenbank ein:

1. Navigieren Sie zur Azure SQL-Datenbank, die Nerdio Manager bereitgestellt hat.

2. Navigieren Sie zu Einstellungen > Übersicht und kopieren Sie den Servernamen.

3. Fügen Sie in SSMS den Servernamen in das Feld Server name ein.

4. Für Authentication wählen Sie in den meisten Umgebungen Microsoft Entra ID - Universal with MFA aus.

5. Geben Sie im Feld Username das Konto an, das in Schritt 1 als Entra ID-Admin auf dem SQL Server zugewiesen wurde.

   Anmerkung

   Sie werden möglicherweise aufgefordert, Ihre Client-IP-Adresse zu den SQL Server-Netzwerkmanagement-Regeln hinzuzufügen, falls diese noch nicht vorhanden ist. Navigieren Sie im Azure-Portal zum Nerdio Manager SQL Server, um dies zu überprüfen. Weitere Informationen finden Sie unter Azure SQL-Datenbank und Azure Synapse IP Firewall-Regeln.

Bestätigen Sie in der SSMS-Symbolleiste, dass im Datenbank-Dropdown nmw-app-db angezeigt wird, bevor Sie Abfragen ausführen. Das Ausführen von Abfragen gegen die master-Datenbank verursacht einen Fehler vom Typ Cannot alter the role 'db_owner'.

Führen Sie die folgende Abfrage aus, um Nerdio Manager als db_owner hinzuzufügen. Ersetzen Sie nerdio-nmw-app durch Ihren Nerdio Enterprise App-Namen und behalten Sie dabei die eckigen Klammern bei. Dies ist der Enterprise App-Name, nicht der App Service-Name.

CREATE USER [nerdio-nmw-app] FROM EXTERNAL PROVIDER
                                        ALTER ROLE db_owner ADD MEMBER [nerdio-nmw-app];

Führen Sie die folgende Abfrage aus, um die Änderungen zu validieren, indem Sie alle User anzeigen, denen derzeit die Rolle db_owner zugewiesen ist. Bestätigen Sie, dass die Anwendung von Nerdio Manager in den Ergebnissen erscheint.

SELECT members.name as 'members_name', roles.name as 'roles_name',
                                                roles.type_desc as 'roles_desc', members.type_desc as 'members_desc'
                                                FROM sys.database_role_members rolemem
                                                INNER JOIN sys.database_principals roles ON rolemem.role_principal_id = roles.principal_id
                                                INNER JOIN sys.database_principals members ON rolemem.member_principal_id = members.principal_id
                                                WHERE roles.name = 'db_owner'
                                        ORDER BY members.name

Navigieren Sie im Azure-Portal zu Key Vaults und wählen Sie den Nerdio Manager Key Vault aus. Der Name folgt dem Muster nmw-app-kv-*.

Wählen Sie im linken Blade unter Objects die Option Secrets aus.

Kopieren Sie den Wert von AzureAD-ClientSecret. Dies ist das aktuelle Geheimnis, das Nerdio Manager für die Authentifizierung verwendet.

Öffnen Sie den Wert von ConnectionStrings--DefaultConnection und erstellen Sie eine Backup-Kopie der aktuellen Verbindungszeichenfolge, bevor Sie fortfahren. Die vorhandene Zeichenfolge folgt diesem Format:

Server=tcp:nmw-app-sql-<unique value>.database.windows.net,1433;Initial Catalog=nmw-app-db;Persist Security Info=False;User ID=<local SQL user>;Password=<local SQL password>;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;

Erstellen Sie die aktualisierte Verbindungszeichenfolge unter Verwendung des unten stehenden Formats und ersetzen Sie die Platzhalterwerte durch die für Ihre Umgebung spezifische App-ID und den geheimen Clientschlüssel. Stellen Sie sicher, dass die Parameter Authentication= und Database= enthalten sind.

Server=tcp:nmw-app-sql-<unique value>.database.windows.net,1433;Authentication=Active Directory Service Principal;Database=nmw-app-db;Initial Catalog=nmw-app-db;Persist Security Info=False;User ID=<Nerdio Entra ID app ID>;Password=<app client secret>;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;

Navigieren Sie im Nerdio Manager Key Vault zu Objects > Secrets und wählen Sie ConnectionStrings—DefaultConnection aus. Da das vorhandene Geheimnis nicht direkt ersetzt werden kann, erstellen Sie wie folgt eine neue Version:

1. Wählen Sie New Version aus.

2. Geben Sie die aktualisierte Verbindungszeichenfolge in das Feld Secret Value ein.

3. Belassen Sie alle anderen Parameter auf dem Standardwert und wählen Sie Create aus.

Navigieren Sie im Azure-Portal zu App Services und wählen Sie den Nerdio Manager App Service aus.

Wählen Sie Stop und anschließend Start aus.

Nachdem Sie bestätigt haben, dass Nerdio Manager zugänglich ist und ordnungsgemäß funktioniert, deaktivieren Sie den SQL-Modus für gemischte Authentifizierung, um den Zugriff ausschließlich auf die Entra ID-Authentifizierung zu beschränken:

1. Navigieren Sie im Azure-Portal zu dem Nerdio Manager SQL Server.

2. Navigieren Sie zu Settings > Microsoft Entra ID.

3. Wählen Sie die Option, um die Authentifizierung nur auf Entra ID zu begrenzen.