azure-sql-database - Azure SQL Server，是否可以禁用服务器管理员(创建后)？

Question

案例

我想使用 Azure SQL Server，如 best practices how to secure Azure SQL Server 中所述最好使用 AAD 帐户而不是 SQL 帐户来访问您的服务器/数据库。

我在 Microsoft 和博客的文档站点上阅读了几篇文章，但我找不到在您拥有 Azure SQL Server 和创建的 AAD SQL 管理员并将其附加到 Azure SQL Server 后，可以禁用/删除服务器管理员帐户.

我知道创建 Azure SQL 时服务器管理员登录名和密码是必需的，但我希望可以在创建服务器和 AAD SQL 管理员后删除。

我为什么要这个？

有足够多的公司必须规定(从本地继承)帐户必须由集中式身份存储(例如 AAD)控制。

必须完成密码轮换，当您拥有集中式标识存储时，这要容易得多，而不是您必须为许多 Azure SQL Server 进行轮换。

问题

是否可以禁用 SQL Server Admin(sql 帐户)？

Answer 1

我不相信(或可能)禁用 SQL Server Admin。

Azure 订阅所有者和 AAD SQL 管理员身份共同拥有 Azure SQL Server。任何一个都需要能够重新获得对服务器的管理访问权限。

Azure 订阅所有者用来强制进入他们自己的数据库的机制是从 Azure 门户重置 SQL Server 管理员密码。

这大致类似于 Windows 管理员如何通过在单用户模式下启动服务来强制系统管理员访问 SQL Server。

我认为你能做的最好的事情就是扔掉 SQL Server 管理员的密码，这样任何人都不能在没有首先在门户中重置密码的情况下使用该帐户登录。 EG运行:

declare @sql nvarchar(max) = concat(N'alter LOGIN [youradmin] WITH PASSWORD=N''',newid(), N'''')
exec (@sql)