Azure托管身份SQL连接随机失败：‘<token-identified principal>’登录失败

可能成因 #

• 令牌缓存/过期异常：DefaultAzureCredential默认缓存令牌，偶尔会出现缓存失效、令牌未及时刷新的情况，导致使用过期令牌登录SQL失败。
• Azure AD令牌获取波动：网络临时不稳定、Azure AD服务短暂不可用，会导致获取的令牌无效或未正确返回，进而触发SQL登录失败。
• 连接池复用过期令牌：Function的SQL连接池可能复用了持有过期令牌的连接，当该连接被再次调用时就会报错。
• SQL端令牌验证临时故障：Azure SQL数据库在验证Azure AD令牌时，偶尔会出现服务端临时延迟或故障，导致验证不通过。

解决办法 #

1. 强制获取最新令牌 #

禁用令牌缓存，确保每次创建连接时获取最新的有效令牌：

var credential = new DefaultAzureCredential(new DefaultAzureCredentialOptions
{
    TokenCachePersistenceOptions = new TokenCachePersistenceOptions { DisablePersistence = true }
});
var token = await credential.GetTokenAsync(new TokenRequestContext(new[] { "https://database.windows.net/.default" }));

using var connection = new SqlConnection("Server=tcp:your-server.database.windows.net,1433;Database=your-db;");
connection.AccessToken = token.Token;
await connection.OpenAsync();

2. 添加登录失败重试逻辑 #

针对Login failed for user '<token-identified principal>'这类异常，用指数退避策略实现重试，可借助Polly库：

var retryPolicy = Policy
    .Handle<SqlException>(ex => ex.Number == 18456) // 匹配登录失败错误码
    .WaitAndRetryAsync(3, retryAttempt => TimeSpan.FromSeconds(Math.Pow(2, retryAttempt)));

await retryPolicy.ExecuteAsync(async () =>
{
    using var connection = new SqlConnection(yourConnectionString);
    connection.AccessToken = await GetValidAccessToken(); // 自定义获取令牌方法
    await connection.OpenAsync();
    // 执行数据库操作
});

3. 调整连接池配置 #

缩短连接池内连接的生命周期，避免复用持有过期令牌的连接，在连接字符串中添加：

Max Pool Size=100;Connection Lifetime=60;

Connection Lifetime=60表示连接池中的连接会在60秒后被销毁，强制重新创建连接并获取新令牌。

4. 明确指定托管身份（若使用用户托管身份） #

如果使用的是用户分配托管身份，需在DefaultAzureCredential中显式指定ClientId，避免身份匹配异常：

var credential = new DefaultAzureCredential(new DefaultAzureCredentialOptions
{
    ManagedIdentityClientId = "your-user-assigned-mi-client-id"
});

5. 启用详细日志定位问题 #

开启Azure.Identity的详细日志，追踪令牌获取过程中的异常：

using Azure.Core;
using Azure.Identity;

// 初始化时添加日志监听
AzureEventSourceListener.CreateConsoleLogger(EventLevel.Verbose);

或在Function配置中添加环境变量AZURE_LOG_LEVEL=Verbose，查看令牌获取的完整流程，定位偶发失败的具体触发点。

内容的提问来源于stack exchange，提问作者Anuradha Malalasena