CI/CD流水线DACPAC部署Azure SQL外部提供方用户呈离线状态

问题场景 #

通过Azure DevOps CI/CD流水线部署DACPAC至Azure SQL Database：

• 从仓库的数据库项目构建DACPAC，使用SqlAzureDacpacDeployment@1任务部署
• 部署身份为服务主体，该主体属于SQL Server的Entra管理员组
• SQL Server系统分配托管标识已配置Entra Directory Readers角色，支持引用Entra标识作为EXTERNAL PROVIDERS

DACPAC部署后，数据库对象创建符合预期，但通过CREATE USER [testuser@company.com] FROM EXTERNAL PROVIDER;创建的外部用户显示“离线”状态（名称旁带红叉），使用同权限的账号手动创建则无此问题。

核心原因 #

执行部署的服务主体缺少Microsoft Entra ID用户对象的读取权限：

• 虽然SQL Server托管标识拥有Directory Readers角色，但部署任务由服务主体执行，而非SQL Server托管标识。创建外部用户时，需要执行身份向Entra ID验证目标用户的存在性与有效性，若服务主体无此权限，SQL会创建用户但无法完成验证，导致用户处于离线状态。
• 手动创建正常的原因：交互式登录的账号默认继承Entra管理员组的读取权限，操作时会即时完成Entra ID验证；而服务主体作为非交互式身份，即使属于管理员组，也需要显式分配读取权限或等待权限同步生效。

解决方法 #

1. 为服务主体分配Entra Directory Readers角色
   • 登录Microsoft Entra管理中心，进入「角色和管理员」>「Directory Readers」
   • 将部署用的服务主体添加为该角色的成员，等待权限同步（通常15-30分钟）
2. 验证服务主体权限
   • 确认服务主体同时拥有SQL Server的服务器管理员权限（已通过Entra管理员组满足）和Entra ID的用户读取权限
3. 调整部署任务参数（可选）
   • 确保SqlAzureDacpacDeployment@1任务的AuthenticationType设置为servicePrincipal，并正确配置服务主体的凭据、租户ID等信息
   • 若使用增量部署模式，可在DACPAC脚本中添加ALTER USER [testuser@company.com] WITH NAME = [testuser@company.com];语句，触发用户状态同步

内容的提问来源于stack exchange，提问作者Adam Craven