使用托管身份执行BULK INSERT到临时表时遇权限错误排查

正在将应用的数据层迁移为使用用户分配的托管身份连接Azure SQL Server及其他Azure服务。迁移整体顺利，但在一个通过BULK INSERT语句从Azure Blob容器中导入.CSV文件的存储过程中，出现错误：

You do not have permission to use the bulk load statement

该托管身份已添加至数据库并分配db_owner角色，同时被授予ADMINISTER DATABASE BULK OPERATIONS权限及其他若干权限。批量导入在两个不同SQL Server实例和托管身份的测试环境中可正常运行。尝试删除并重新创建托管身份，也试过使用系统分配的托管身份，均出现相同错误，因此判断问题出在SQL Server实例上。

额外注意点：

• 数据是导入临时表，换成普通表则错误消失
• 常规INSERT INTO临时表可正常执行
• 推测问题与Entra ID认证下批量导入临时表的机制有关，可能缺少额外权限

请问还需检查哪些内容？SQL服务实例或数据库实例是否需要特定Azure权限？是否与master数据库配置有关？

1. 检查master数据库的服务器级权限分配 #

临时表的元数据管理依赖master数据库，Entra ID身份的批量操作可能需要服务器级的ADMINISTER BULK OPERATIONS权限（而非仅数据库级）。请执行以下操作验证并配置：

USE master;
GO
-- 确认托管身份在master库是否有登录名
SELECT name FROM sys.server_principals WHERE name = '你的托管身份名称';
-- 如果没有则创建登录名
CREATE LOGIN [你的托管身份名称] FROM EXTERNAL PROVIDER;
GO
-- 授予服务器级批量操作权限
GRANT ADMINISTER BULK OPERATIONS TO [你的托管身份名称];
GO

2. 验证tempdb的权限配置 #

虽然db_owner角色通常包含临时表的操作权限，但Entra ID身份在tempdb中的权限可能存在差异。执行以下语句查看托管身份对临时表的实际权限：

USE tempdb;
GO
SELECT * FROM fn_my_permissions('dbo.#你的临时表名', 'OBJECT');

确保返回结果包含INSERT和BULK INSERT权限。如果缺失，可直接在tempdb中授予对应的对象权限。

3. 检查存储过程的执行上下文 #

如果存储过程使用了EXECUTE AS子句，权限检查会切换到指定的执行账户，而非托管身份本身。请检查存储过程定义：

SELECT OBJECT_DEFINITION(OBJECT_ID('你的存储过程名称'));

若存在EXECUTE AS，需确保该执行账户同样具备服务器级和数据库级的批量操作权限，或者移除EXECUTE AS使用调用者身份执行。

4. 确认Azure SQL实例的Entra ID认证配置 #

• 检查目标实例是否已启用Entra ID身份验证：在Azure门户的SQL Server实例 -> 安全性 -> Azure Active Directory，确认“管理员”已配置，且“支持Azure AD身份验证”状态为启用。
• 验证实例是否允许托管身份的网络访问：检查实例的防火墙规则，确保“允许Azure服务和资源访问此服务器”选项已开启（测试环境可能已配置，但目标实例可能遗漏）。

5. 排查SQL Server版本差异 #

测试环境与目标实例的SQL Server版本可能存在差异，部分旧版本对Entra ID用户的批量导入临时表操作有特殊权限要求。可通过以下语句查看版本：

SELECT @@VERSION;

若目标实例版本较旧，可对应版本的权限机制调整配置，或考虑升级到匹配测试环境的版本。

内容的提问来源于stack exchange，提问作者Alex Avrutin