Azure SQL弹性作业：用户分配托管标识（UMI）身份验证规则确认

直接给你明确答案： #

• 不是只能用刷新UMI执行作业步骤，刷新UMI的作用仅局限于刷新目标组的数据库列表（让作业代理能发现目标服务器上的数据库），和作业步骤的执行身份是完全独立的两个环节。
• 完全可以为每个作业步骤分配单独的用户分配托管标识（UMI），不用局限于代理绑定的默认UMI。

具体细节拆解： #

1. 刷新凭据的定位
   刷新凭据关联的UMI，唯一职责是帮弹性作业代理获取目标SQL服务器上的数据库清单，所以这个UMI需要有目标服务器的服务器级权限（比如dbmanager或server reader）。它和作业步骤实际执行时用的身份没有强制绑定关系。

2. 作业步骤的UMI配置方式

   • 默认情况：如果创建作业步骤时不指定@credential_name，作业会自动使用弹性作业代理自身关联的用户分配托管标识访问目标数据库，只要给这个UMI对应的数据库用户配置好作业执行所需的权限即可。
   • 自定义单个步骤的UMI：你可以在目标数据库创建数据库范围凭据，将其与另一个用户分配托管标识关联（创建时IDENTITY填UMI的客户端ID，SECRET留空），然后在创建该作业步骤时指定这个凭据的名称（@credential_name参数）。这样这个作业步骤就会用这个独立的UMI执行，只要目标数据库给这个UMI对应的用户配置好对应权限就行。

内容的提问来源于stack exchange，提问作者MintyOowl