Azure托管.NET应用使用系统托管身份连接双数据库登录失败求助

该场景完全可行——Azure系统托管身份支持同时访问多个Azure SQL数据库，你的问题大概率是某个配置环节遗漏或错误导致的，以下是排查方向：

1. 检查数据库B所在服务器的Azure AD管理员配置 #

要通过托管身份创建FROM EXTERNAL PROVIDER的数据库用户，目标SQL服务器必须已配置Azure AD管理员。如果数据库A的服务器已配置，但B的服务器未配置，会直接导致身份验证失败。

验证方式：在Azure门户进入B数据库所在的SQL服务器，查看「Azure Active Directory」选项卡，确认已设置Azure AD管理员账号。

2. 确认数据库B中的用户名称与托管身份完全匹配 #

系统托管身份的名称必须与你在B库中创建的用户名称完全一致（区分大小写）。你可以：

• 在Azure门户进入应用服务（samplewebapp）的「身份」选项卡，复制系统托管身份的显示名称
• 在数据库B中执行以下SQL，检查用户是否存在且名称匹配：

SELECT name, type_desc FROM sys.database_principals WHERE name = 'samplewebapp';

如果结果为空，说明用户创建时名称输入错误，需重新创建正确名称的用户。

3. 检查数据库B的防火墙规则 #

虽然你能连接数据库A，但B所在服务器的防火墙可能未允许Azure服务访问：

• 进入B数据库所在SQL服务器的「防火墙和虚拟网络」选项卡，确认已勾选「允许Azure服务和资源访问此服务器」

4. 验证数据库B中用户的角色权限是否生效 #

执行以下SQL检查samplewebapp用户是否已正确加入指定角色：

SELECT 
  IS_MEMBER('db_datareader', 'samplewebapp') AS IsDataReader,
  IS_MEMBER('db_datawriter', 'samplewebapp') AS IsDataWriter,
  IS_MEMBER('db_ddladmin', 'samplewebapp') AS IsDdlAdmin;

返回值为1表示权限已生效，0则需要重新执行ALTER ROLE语句添加权限。

5. 确认连接字符串的身份验证参数（针对旧版.NET框架） #

如果你的应用基于.NET Framework（非.NET Core/.NET 5+），需要在连接字符串中显式指定身份验证方式：

<add name="ProjectConnection1" connectionString="Server=tcp:xxx.database.windows.net,1433;Database=B;Authentication=Active Directory Managed Identity;" />

新版.NET会自动尝试使用托管身份，但旧版框架需要明确声明身份验证方式。

内容的提问来源于stack exchange，提问作者Kumar