能否通过Azure Private Link连接Azure SQL托管实例指定数据库？

1. Private Link无法直接限定到单个数据库 #

Azure Private Link（Private Endpoint）是针对整个Azure SQL托管实例创建的，而非单个数据库。一旦建立Private Endpoint，客户端通过私有链路访问时，本质是连接到整个实例，无法通过Private Link本身实现“仅允许访问某一个数据库”的网络层面限制。

2. 连接字符串指定数据库的作用有限 #

连接字符串中指定Initial Catalog=<目标数据库名>，仅能让客户端默认连接到该数据库，但这只是默认行为，并非强制限制。如果用户拥有实例级别的权限（比如sysadmin角色），依然可以手动切换到其他数据库。所以这只能提升连接便捷性，不能作为访问限制的手段。

3. 数据库级权限限制才是核心解决方案 #

仅通过限制数据库内用户权限是足够实现访问限定的，具体做法是：

• 创建数据库级用户（而非实例级登录名），将其绑定到目标数据库；
• 仅为该用户分配目标数据库内的必要权限（比如SELECT、INSERT等），不赋予任何实例级权限（如访问master数据库、跨库访问的权限）；
• 确保该用户没有切换到其他数据库的权限（比如拒绝其访问其他数据库的权限）。

这样一来，即使客户端通过Private Link连接到托管实例，该用户也只能访问指定的目标数据库，无法访问实例内的其他数据库。

内容的提问来源于stack exchange，提问作者Michał Picheta