在AKS中用.NET Framework通过工作负载身份连接SQL Server遇登录失败求助

以下是针对login failed for identity principal user错误的排查和解决步骤：

• 验证工作负载身份绑定有效性

  • 确认AKS集群的OIDC Issuer配置正确，执行命令：az aks show -g <资源组名> -n <AKS集群名> --query "oidcIssuerProfile.issuerUrl"
  • 检查绑定的Azure AD应用注册：已添加Azure SQL Database的User Impersonation权限，且完成了管理员同意授权
  • 确认Pod使用的ServiceAccount已关联目标身份，查看Pod的YAML配置中serviceAccountName字段是否匹配绑定身份的ServiceAccount

• 检查SQL Server的AD身份配置

  • 确保SQL Server已启用Azure AD身份验证，并且创建了对应AD应用的登录与用户：

    -- 创建AD登录
    CREATE LOGIN [你的AD应用ID] FROM EXTERNAL PROVIDER;
    -- 创建数据库用户
    CREATE USER [你的AD应用ID] FOR LOGIN [你的AD应用ID];
    -- 授予必要权限（示例为只读权限）
    ALTER ROLE db_datareader ADD MEMBER [你的AD应用ID];
    

  • 确认AKS集群VNet与SQL Server所在VNet已连通，或SQL Server的防火墙规则允许AKS节点/服务IP访问

• 修正.NET Framework的连接配置

  • 确保使用的.NET Framework版本为4.7.2及以上，且安装了最新系统补丁（需包含ADAL相关更新）
  • 连接字符串必须指定正确的身份验证参数，示例：

    Server=tcp:<SQL服务器名>.database.windows.net,1433;Initial Catalog=<数据库名>;Authentication=Active Directory Managed Identity;
    

    注意：.NET Framework中不支持.NET Core的Active Directory Default参数，必须使用Active Directory Managed Identity

• 验证Pod内身份令牌获取

  • 在Pod内执行命令获取SQL Server的访问令牌，确认令牌有效性：

    curl http://169.254.169.254/metadata/identity/oauth2/token?api-version=2018-02-01&resource=https://database.windows.net/ -H "Metadata: true"
    

    若获取失败，需检查AKS工作负载身份组件状态，或Pod的身份绑定配置是否有误

内容的提问来源于stack exchange，提问作者ramu yepuganti