NestJS TypeOrm连接Azure SQL Server MSI认证登录失败求助

问题描述 #

我们正在将应用迁移至Azure App Service，尝试通过托管标识（MSI）免用户名密码连接SQL Server数据库，但遇到登录失败错误。

环境信息 #

• Node.js v18
• TypeORM 0.3.20
• mssql 10.0.2

错误信息 #

ConnectionError: 登录失败，用户为'token-identified-principal'。

配置问题分析及修正 #

当前配置存在3处关键问题，直接导致连接失败：

1. 语法错误 #

配置中两处缺少逗号：

• options: { encrypt: true }末尾未加逗号，导致后续authentication字段无法被正确解析
• clientId: ""末尾未加逗号，导致msiEndpoint字段解析异常

2. 冗余的认证参数 #

使用azure-active-directory-msi-app-service认证类型时，无需手动指定msiEndpoint和msiSecret——这两个环境变量会由Azure App Service自动注入，mssql驱动会自动读取，手动指定反而可能引发冲突。

3. ClientId配置错误 #

• 若使用用户分配的托管标识：必须填写该标识对应的clientId，不能为空字符串
• 若使用系统分配的托管标识：可以直接省略clientId字段

修正后的配置代码 #

// config-service.ts
import { TypeOrmModuleOptions } from '@nestjs/typeorm';
import { Injectable } from '@nestjs/common';

@Injectable()
export class TypeOrmLoggerService implements TypeOrmOptionsFactory {
  createTypeOrmOptions(): TypeOrmModuleOptions {
    return {
      type: 'mssql',
      host: process.env.SQLSERVER,
      database: process.env.SQLDATABASE,
      port: 1433,
      synchronize: false,
      logging: true,
      entities: ['./entity-path'],
      connectionTimeout: 30000,
      options: { encrypt: true }, // 补充逗号
      authentication: {
        type: "azure-active-directory-msi-app-service",
        options: {
          // 系统分配托管标识可删除此行；用户分配标识需填写真实clientId
          clientId: "你的托管标识ClientId"
        }
      }
    }
  }
};

// app.module.ts
import { TypeOrmLoggerService} from './db/db.config.service';
@Module({
  imports: [
    ConfigModule.forRoot(), // 补充调用括号，原代码语法错误
    TypeOrmModule.forRootAsync({useClass: TypeOrmLoggerService}),
  ],
})
export class AppModule {}

额外必要检查项 #

1. 确认托管标识已启用：
   进入Azure Portal的App Service页面，在"身份"选项卡中确认已启用系统分配或用户分配的托管标识
2. SQL Server权限配置：
   在目标数据库中执行以下SQL，为托管标识添加数据库用户并授予权限：

   -- 系统分配托管标识：替换为你的App Service名称
   CREATE USER [你的App Service名称] FROM EXTERNAL PROVIDER;
   -- 用户分配托管标识：替换为你的托管标识名称
   -- CREATE USER [你的托管标识名称] FROM EXTERNAL PROVIDER;
   
   -- 授予读写权限，按需调整
   ALTER ROLE db_datareader ADD MEMBER [对应的标识名称];
   ALTER ROLE db_datawriter ADD MEMBER [对应的标识名称];
   

3. SQL Server防火墙规则：
   在SQL Server的"防火墙和虚拟网络"选项卡中，启用"允许Azure服务和资源访问此服务器"，确保App Service能连接到SQL Server
4. 驱动版本验证：
   确认mssql@10.0.2版本与TypeORM@0.3.20兼容，若仍有问题可尝试升级mssql到最新稳定版

内容的提问来源于stack exchange，提问作者Pattinson Mj