如何为Azure AD组用户授予Fabric数据仓库特定架构访问权限？

问题背景 #

此前在Azure数据仓库中，为多用户授予特定架构访问权限的常规命令如下：

CREATE ROLE [DB TEAM_Demo]

CREATE USER [TEAM_Demo_AD] FROM EXTERNAL PROVIDER

EXEC sp_addrolemember 'DB TEAM_Demo', 'TEAM_Demo_AD'

GRANT ALTER, DELETE, EXECUTE, INSERT, SELECT, UPDATE ON SCHEMA::SANDBOX_Demo TO [DB TEAM_demo]

但Fabric数据仓库不支持CREATE USER命令，无法直接沿用上述方式为Azure AD组授权，只能逐个添加用户，效率低下。

解决方案 #

Fabric数据仓库支持直接将Azure AD组添加到数据库角色中，无需提前创建用户，具体操作步骤：

• 创建数据库角色（与原逻辑一致）：

  CREATE ROLE [DB TEAM_Demo];
  

• 为角色授予指定架构的权限：

  GRANT ALTER, DELETE, EXECUTE, INSERT, SELECT, UPDATE ON SCHEMA::SANDBOX_Demo TO [DB TEAM_Demo];
  

• 将Azure AD组添加到数据库角色：
  使用ALTER ROLE命令直接关联Azure AD组，替代原有的CREATE USER+sp_addrolemember流程：

  ALTER ROLE [DB TEAM_Demo] ADD MEMBER [TEAM_Demo_AD];
  

补充说明 #

• 确保目标Azure AD组已被添加到Fabric工作区的对应权限层级（如成员、贡献者），否则组内用户无法访问数据仓库实例。
• 该方式会将架构权限批量授予组内所有用户，后续组内新增用户会自动继承角色权限，无需重复操作。

内容的提问来源于stack exchange，提问作者SRP