Azure容器应用作业中sqlcmd -G身份验证失败求助

问题原因 #

报错里的ActiveDirectoryIntegrated认证模式依赖Kerberos凭证，但容器应用的系统托管身份在容器环境中没有Kerberos上下文，导致无法获取有效身份信息（用户字段为空），进而认证失败。

解决方案步骤 #

1. 修改sqlcmd命令，强制使用托管身份认证模式 #

在Linux容器环境下，需明确指定使用托管身份认证，而非默认的Kerberos集成模式。有两种方式：

• 方式一：通过环境变量指定托管身份Client ID
  在执行sqlcmd前设置AZURE_CLIENT_ID环境变量（值为系统托管身份的客户端ID，可在Azure门户的容器应用"身份"页面获取）：

  AZURE_CLIENT_ID=<你的系统托管身份Client ID> sqlcmd -S <SQL服务器FQDN> -d <目标数据库名> -G -Q "你的SQL语句"
  

• 方式二：通过-U参数指定托管身份Client ID
  在sqlcmd命令中用-U参数传递托管身份的Client ID（注意此场景下-U并非传统用户名）：

  sqlcmd -S <SQL服务器FQDN> -d <目标数据库名> -G -U <你的系统托管身份Client ID> -Q "你的SQL语句"
  

2. 验证ODBC驱动和sqlcmd版本兼容性 #

确保容器内安装的ODBC驱动和sqlcmd工具版本支持托管身份认证：

• ODBC驱动需为17.6版本及以上或18.x版本
• sqlcmd工具版本建议1.4.0及以上
  可通过以下命令检查版本：

# 查看sqlcmd版本
sqlcmd -? | head -2
# 查看ODBC驱动版本
apt list --installed | grep msodbcsql

3. 确认权限与SQL Server配置 #

• 确保SQL Server已启用Azure AD认证，且配置了有效的Azure AD管理员
• 虽然已配置SQL Db Contributor角色，可额外验证托管身份是否被授予目标数据库的db_datareader/db_datawriter等具体权限（视业务需求而定）

4. 排查网络连通性 #

• 确认容器应用所在虚拟网络可访问SQL Server（若SQL Server为VNet集成，需保证容器应用与SQL Server在同一VNet或对等网络）
• 确保容器能访问Azure AD认证端点（如login.microsoftonline.com），避免网络策略阻断请求

内容的提问来源于stack exchange，提问作者hudsonsc