ASP.NET Core Web API+EF Core代码优先：托管标识迁移数据库报错

排查与修复步骤 #

1. 补全托管标识的架构操作权限 #

dbaccessadmin角色仅负责用户权限管理，不包含架构创建/修改权限，而代码优先迁移通常需要创建新架构或修改现有架构结构。你可以在Azure SQL中执行以下SQL补全权限：

-- 允许创建/修改任意架构（适合需要新增架构的场景）
GRANT ALTER ANY SCHEMA TO [你的托管标识名称];

-- 或者仅给目标架构分配全权限
GRANT CONTROL ON SCHEMA::[你的目标架构名] TO [你的托管标识名称];

2. 核对EF Core的架构配置 #

先检查DbContext或实体配置里的架构名是否拼写错误，或者目标架构是否尚未在数据库中创建：

protected override void OnModelCreating(ModelBuilder modelBuilder)
{
    // 设置默认架构
    modelBuilder.HasDefaultSchema("YourTargetSchema");
    // 或者为单个实体指定架构
    modelBuilder.Entity<YourEntity>().ToTable("TableName", "YourTargetSchema");
}

如果迁移脚本未包含创建架构的步骤，要么手动添加迁移逻辑，要么先在数据库中创建好目标架构。

3. 确认dotnet ef的托管标识认证配置 #

EF Core 9使用托管标识执行迁移时，连接字符串必须正确配置认证方式：

Server=tcp:your-sql-server.database.windows.net,1433;Initial Catalog=your-db;Authentication=Active Directory Managed Identity;

本地执行命令时，需确保已通过Azure CLI登录，或在Visual Studio中启用托管标识认证，否则无法获取令牌完成数据库连接。

4. 检查数据库级权限的有效性 #

托管标识的权限需直接授予目标数据库，服务器级角色权限不会自动继承至数据库。你可以在目标数据库中执行以下SQL确认配置：

-- 在目标库内创建托管标识用户
CREATE USER [你的托管标识名称] FROM EXTERNAL PROVIDER;
-- 将用户加入db_accessadmin角色
ALTER ROLE db_accessadmin ADD MEMBER [你的托管标识名称];
-- 补充架构操作权限
GRANT ALTER ANY SCHEMA TO [你的托管标识名称];

5. 验证迁移脚本的具体问题 #

生成迁移脚本查看具体执行内容：dotnet ef migrations script，然后手动在SQL Server中执行该脚本，确认是否触发相同权限错误，以此快速定位是权限问题还是脚本逻辑问题。

内容的提问来源于stack exchange，提问作者Qiuzman