部署Azure应用服务时MigrateDatabaseToLatestVersion.Execute失效问题

问题描述 #

本地运行ASP.NET Core 8 Web API连接Azure SQL数据库时，MigrateDatabaseToLatestVersion.Execute可正常执行迁移；但部署到Azure应用服务后，该操作失败，日志报错operation.ErrorCode:InsufficientAccountPermissions。已尝试使用含db_reader、db_writer、db_owner权限的用户及管理员凭据，开启“允许其他Azure资源访问”也无效，禁用自动迁移代码后应用可正常运行。

解决方案 #

1. 检查Azure SQL防火墙规则 #

本地能连接是因为你的本地IP在Azure SQL防火墙允许列表中，但Azure应用服务的出站IP可能未被授权：

• 进入Azure SQL服务器的「防火墙和虚拟网络」设置，添加应用服务的所有出站IP地址（可在应用服务的「网络」→「出站IP地址」中查看）。
• 确保已勾选「允许Azure服务和资源访问此服务器」选项。

2. 验证数据库用户权限与身份验证方式 #

• SQL身份验证：确认连接字符串中的User ID和Password正确，且该用户已被授予目标数据库的db_owner角色（需在数据库级别配置，而非仅服务器级别）。
• Azure AD托管身份验证（推荐）：
  1. 在应用服务的「标识」中开启系统分配托管标识。
  2. 在Azure SQL数据库中执行以下SQL，为托管标识授予权限：

     CREATE USER [你的应用服务名称] FROM EXTERNAL PROVIDER;
     ALTER ROLE db_owner ADD MEMBER [你的应用服务名称];
     

  3. 修改连接字符串为Azure AD托管身份模式：

     Server=tcp:{你的SQL服务器名}.database.windows.net,1433;Database={你的数据库名};Authentication=Active Directory Managed Identity;
     

3. 替换为ASP.NET Core推荐的迁移方式 #

MigrateDatabaseToLatestVersion是旧版EF的方式，ASP.NET Core推荐直接使用context.Database.Migrate()，确保在应用启动时正确执行：

var app = builder.Build();

using (var scope = app.Services.CreateScope())
{
    var dbContext = scope.ServiceProvider.GetRequiredService<YourDbContext>();
    try
    {
        dbContext.Database.Migrate();
    }
    catch (Exception ex)
    {
        // 记录详细错误日志
        Console.WriteLine($"迁移失败：{ex.Message}\n堆栈跟踪：{ex.StackTrace}");
        throw;
    }
}

// 后续中间件配置...

4. 确认应用服务连接字符串配置 #

检查应用服务「配置」→「连接字符串」中的配置，确保名称和值与本地一致，避免部署过程中被错误覆盖。

5. 捕获详细错误信息 #

在迁移代码中添加异常捕获，输出详细错误日志，帮助定位具体权限缺失的操作（如创建表、修改架构等）。

内容的提问来源于stack exchange，提问作者jgd