使用 Azure Policy 对 Azure SQL 强制实施仅限 Microsoft Entra 的身份验证

适用于：Azure SQL 数据库 Azure SQL 托管实例

本文将指导你创建 Azure Policy，用于在用户创建 Azure SQL 托管实例或 Azure SQL 数据库的逻辑服务器时，强制仅允许使用 Microsoft Entra 身份验证。若要详细了解如何在创建资源期间进行“仅限 Microsoft Entra 身份验证”，请参阅在 Azure SQL 中创建启用了“仅限 Microsoft Entra 身份验证”的服务器。

注意

Azure Active Directory（Azure AD）已重命名为 Microsoft Entra ID。

本文将介绍如何：

创建一个 Azure Policy，该策略强制创建启用仅限 Microsoft Entra 身份验证的 Azure SQL的逻辑服务器或托管实例。
检查 Azure Policy 合规状态

先决条件

具有管理 Azure 策略的权限。有关详细信息，请参阅 Azure Policy 中的 Azure RBAC 权限。

创建 Azure Policy

首先，创建一个 Azure Policy，用于强制实施 SQL 数据库或 SQL 托管实例的预配，并启用仅限 Entra 的身份验证。

转到 Azure 门户。
搜索 Policy 服务。
在“编写”设置中，选择定义。
在 “搜索”框中，搜索 Microsoft Entra 仅限身份验证。

有几个内置策略可以用来强制执行仅限 Microsoft Entra 的身份验证。查找适用于你的服务的选项：
- Azure SQL 数据库应启用仅限 Microsoft Entra 身份验证
- Azure SQL 托管实例应已启用 Microsoft Entra 专属身份验证
选择你的服务的策略名称。在此示例中，我们将使用 Azure SQL 数据库。选择 Azure SQL 数据库应启用仅限 Microsoft Entra 的身份验证。
在新菜单中选择 “分配策略 ”。

注意

该菜单中的 JSON 脚本显示内置策略定义，可将其用作模板，以便为 SQL 数据库生成自定义 Azure Policy。默认值设置为 Audit。
在基本选项卡中，使用框旁边的选择器 (...) 添加范围。
在范围面板中，从下拉菜单中选择您的订阅，然后选择该策略的 资源组 。完成后，使用“选择”按钮保存选定内容。

注意

如果未选择资源组，策略将应用于整个订阅。
返回“基本信息”选项卡后，自定义分配名称并提供可选说明。确保策略强制执行已启用。
转到“参数”选项卡。取消选择“仅显示需要输入的参数”选项。
在“效果”下面，选择“拒绝”。此设置可防止在未启用 Microsoft Entra 唯一身份验证的情况下创建逻辑服务器。
在“不合规消息”选项卡中，你可以自定义策略消息，该消息会在违反策略时显示。消息将让用户了解在服务器创建过程中执行的策略。
选择查看 + 创建。查看策略并选择“创建”按钮。可能需要一些时间来强制实施新创建的策略。