Azure Container Apps连接Azure SQL托管标识认证失败问题排查

针对你遇到的托管身份连接Azure SQL失败的问题，可按以下步骤排查解决：

1. 修正数据库权限配置 #

Azure RBAC的Contributor/Owner角色仅用于SQL服务器的管理操作，不提供数据库数据访问权限。需确保已在目标数据库中为托管身份创建用户并赋予必要权限：

-- 替换为你的托管身份名称（用户分配身份用显示名称，系统分配身份用Container Apps应用名称）
CREATE USER [你的托管身份名称] FROM EXTERNAL PROVIDER;
-- 赋予读写权限，可根据需求调整
ALTER ROLE db_datareader ADD MEMBER [你的托管身份名称];
ALTER ROLE db_datawriter ADD MEMBER [你的托管身份名称];

执行后需确认用户已存在且角色分配正确。

2. 确认Container Apps托管身份配置 #

• 若使用用户分配托管身份：验证Container Apps已正确关联该身份，可在Azure门户的Container Apps“身份”页面确认关联状态。
• 可在连接字符串中明确指定托管身份客户端ID，避免自动识别问题：

  Data Source=<AZURE-SQL-SERVERNAME>; Initial Catalog=<DATABASE>; Authentication=Active Directory Managed Identity; User Id=<托管身份客户端ID>; Encrypt=True;
  

3. 检查SQL网络与防火墙设置 #

• 即使开启了“允许Azure服务访问SQL服务器”，仍建议手动添加Container Apps的出站IP到SQL防火墙规则中（可在Container Apps“网络”页面获取出站IP列表），避免规则延迟或范围覆盖问题。
• 若SQL服务器使用专用终结点，需确保Container Apps所在虚拟网络已配置对该专用终结点的访问权限。

4. 验证SQL客户端依赖版本 #

确保项目中使用的Microsoft.Data.SqlClient为5.0及以上的稳定版本，旧版本可能存在托管身份认证兼容性问题。同时避免混用System.Data.SqlClient和Microsoft.Data.SqlClient依赖。

5. 排查托管身份令牌获取能力 #

可在应用中添加一段测试代码，验证托管身份能否正常获取SQL访问令牌：

using Azure.Identity;
using Azure.Core;

var credential = new ManagedIdentityCredential();
try
{
    var token = await credential.GetTokenAsync(new TokenRequestContext(new[] { "https://database.windows.net/.default" }));
    Console.WriteLine("令牌获取成功");
}
catch (Exception ex)
{
    Console.WriteLine($"令牌获取失败: {ex.Message}");
}

若此代码报错，说明托管身份本身配置或网络存在问题（如无法访问Entra ID令牌端点），需优先排查Container Apps的身份配置和网络连通性。

6. 确认SQL服务器AD管理员已配置 #

Azure SQL服务器必须设置Entra ID管理员才能使用AD身份验证（包括托管身份）。可在Azure门户SQL服务器的“Active Directory管理员”页面检查并配置。

内容的提问来源于stack exchange，提问作者ngruson