Azure Synapse中OAuth2凭据在CREATE EXTERNAL TABLE失效问题咨询

我们拥有Azure Blob Storage的OAuth2格式凭据，希望在Azure Synapse中用于数据加载/保存。已创建如下凭据：

CREATE DATABASE SCOPED CREDENTIAL MyCredential
WITH IDENTITY='myclientid@https://login.microsoftonline.com/mytenantid/oauth2/token' , SECRET='***'

该凭据可正常用于COPY INTO命令：

COPY INTO table (c1,c2,...)  FROM 'https://myaccount.blob.core.windows.net/container/folder/' 
WITH ( FILE_TYPE='CSV', 
CREDENTIAL=(IDENTITY= 'myclientid@https://login.microsoftonline.com/mytenantid/oauth2/token', SECRET='***')
)

但将其用于CREATE TABLE AS SELECT创建外部表时：

CREATE EXTERNAL DATA SOURCE MyDataSource WITH (
LOCATION='wasb://azuredw-upload@myaccount.blob.core.windows.net/', 
CREDENTIAL=MyCredential
)
CREATE EXTERNAL TABLE MyTable WITH (
   LOCATION='wasb://azuredw-upload@myaccount.blob.core.windows.net/test',
   DATA_SOURCE = MyDataSource,
   FILE_FORMAT = MyFormat
) AS
SELECT * FROM sometable

出现报错：

Msg 105019, Level 16, State 1, Line 47
External file access failed due to internal error: 'Parameters provided to connect to the Azure storage account are not valid.'

后续测试发现，尽管部分文档指出：

"访问Azure存储账户(V2)或Azure Data Lake Storage Gen2时，IDENTITY必须为SHARED ACCESS SIGNATURE。"

但我的存储账户是Storage (general purpose v1)，实际必须使用SAS格式凭据才能成功执行上述外部表创建操作：

CREATE DATABASE SCOPED CREDENTIAL [SasTokenWrite]
WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
     SECRET = '***'

核心疑问：

1. OAuth2格式凭据是否支持CREATE EXTERNAL TABLE场景？若不支持，应使用何种凭据？
2. 为何COPY INTO命令可以使用OAuth2凭据，而CREATE EXTERNAL TABLE必须使用SAS令牌？
3. 经测试发现Azure Blob Storage(ABS)无法用OAuth2创建外部表，但Azure Data Lake Storage Gen2(ADL2)可以，且ABS的OAuth2凭据仅能用于COPY INTO，这是否是PolyBase的bug？

1. OAuth2凭据对CREATE EXTERNAL TABLE的支持情况 #

对于Azure Blob Storage（包括通用v1版本），目前OAuth2格式的数据库范围凭据不支持用于CREATE EXTERNAL TABLE（含CTAS场景）。必须使用SAS令牌格式的凭据才能完成外部数据源和外部表的创建，这和实际测试结果一致。

2. COPY INTO与CREATE EXTERNAL TABLE的凭据差异原因 #

两者底层依赖的访问机制不同：

• COPY INTO属于Synapse SQL的原生数据加载功能，直接集成了Azure AD OAuth2的认证逻辑，支持通过服务主体的OAuth2令牌访问Azure Blob Storage。
• CREATE EXTERNAL TABLE依赖PolyBase引擎实现外部数据访问，而PolyBase针对Azure Blob Storage的OAuth2认证支持存在局限性——仅支持Azure Data Lake Storage Gen2（ADLS Gen2）的OAuth2访问，对传统Azure Blob Storage（包括通用v1/v2）仅支持SAS令牌认证。

这种差异并非文档描述错误，而是不同功能模块的设计适配不同：PolyBase最初为ADLS Gen1/Gen2优化，对Blob Storage的OAuth2支持未完全覆盖，而COPY INTO作为更晚推出的功能，补全了这部分认证能力。

3. 关于PolyBase功能差异的说明 #

测试结论（ABS无法用OAuth2创建外部表，ADL2可以，且ABS OAuth2仅支持COPY INTO）符合当前PolyBase的功能边界，并非明确的bug，而是功能支持范围的差异：

• PolyBase对ADLS Gen2的OAuth2支持是完整的，因为ADLS Gen2的存储架构和认证模型与PolyBase的适配性更好。
• 对于传统Blob Storage，PolyBase的认证逻辑仅实现了SAS令牌的路径，未集成OAuth2的服务主体认证流程，导致无法使用OAuth2凭据创建外部表。

如果后续官方更新PolyBase对Blob Storage的OAuth2支持，此限制可能会被解除，但当前必须使用SAS令牌作为替代方案。

内容的提问来源于stack exchange，提问作者Wheezil