使用Azure Token登录SQL失败，如何解决Invoke-Sqlcmd报错？

• 验证AccessToken有效性

  • 先确认$AccessToken变量未为空，执行Write-Host $AccessToken查看令牌内容，确保是未过期的有效令牌。若为Azure SQL场景，令牌受众必须是https://database.windows.net/，可通过本地JWT解析工具验证令牌声明。
  • 确保令牌对应的身份拥有目标SQL数据库的CONNECT权限，以及执行CREATE USER所需的ALTER ANY USER权限。

• 核对ServerInstance与Database参数

  • 检查$ServerInstance格式是否正确：Azure SQL需填写完整地址（如xxx.database.windows.net,1433），内网SQL需填写正确的服务器名/IP+端口。
  • 确认$ExeDatabase名称拼写无误，且该数据库在目标SQL服务器上真实存在。

• 检查外部提供者配置（AAD集成场景）

  • 若为Azure SQL，需确保服务器已启用Azure AD身份验证，且当前令牌持有者是服务器的AAD管理员，或被授予对应权限的AAD主体。
  • 确认$Appowner是有效的AAD对象（用户、服务主体或组），拼写完全匹配（UPN或对象ID均可，使用对象ID时需保留方括号格式，如[<object-id>]）。

• 排查PowerShell环境与网络

  • 升级SqlServer模块至最新版本，旧版本可能存在AccessToken参数兼容问题：执行Update-Module -Name SqlServer。
  • 验证Jump Server与SQL服务器的网络连通性：检查防火墙/NSG规则是否允许1433端口通信，Azure SQL需确认已将Jump Server IP加入允许列表。

• 简化命令测试基础连接

  • 先执行最简连接命令排查核心问题：

    Invoke-Sqlcmd -ServerInstance $ServerInstance -Database $ExeDatabase -AccessToken $AccessToken -Query "SELECT 1"
    

  • 若该命令仍失败，优先解决连接问题，再执行创建用户的操作。

内容的提问来源于stack exchange，提问作者reddy_devops