如何通过Azure DevOps发布管道用服务主体执行EF迁移至Azure SQL数据库

核心方案：Azure AD服务主体认证 #

这是Azure官方推荐的安全认证方式，完全替代用户名密码，依赖Azure AD身份管理实现无密码访问，符合云原生安全最佳实践，是Azure DevOps与Azure SQL连接的正确方案。

步骤1：为服务主体授予数据库权限 #

1. 先在Azure门户配置SQL服务器的Azure AD管理员：
   • 进入Azure SQL服务器 -> 「安全性」-> 「Azure AD管理员」，设置一个Azure AD账户（可以是服务主体或全局管理员用户），完成后保存。
2. 用该Azure AD管理员身份连接到目标SQL数据库，执行以下SQL语句授予服务主体权限：

   -- 替换为你的服务主体名称（Azure AD中服务主体的显示名或应用ID）
   CREATE USER [Your-Service-Principal-Name] FROM EXTERNAL PROVIDER;
   -- 授予高权限（根据需求调整，db_owner是全权限，也可使用db_ddladmin+db_datawriter组合）
   ALTER ROLE db_owner ADD MEMBER [Your-Service-Principal-Name];
   

步骤2：配置Azure DevOps发布管道 #

1. 确保项目已配置Azure资源管理器服务连接，使用目标服务主体身份（需提前在Azure AD中创建并赋予对应权限）。
2. 添加「DotNet CLI」任务执行EF迁移：
   • 命令选择ef，参数填写：

     database update --project ./Your-EF-Project-Path --connection "Server=tcp:<your-sql-server>.database.windows.net,1433;Initial Catalog=<your-db-name>;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Authentication='Active Directory Service Principal'"
     

   • 在管道变量中添加以下秘密变量（避免明文暴露）：
     • AZURE_CLIENT_ID：服务主体的应用ID
     • AZURE_TENANT_ID：Azure AD租户ID
     • AZURE_CLIENT_SECRET：服务主体的密钥
       EF Core会自动读取这些环境变量完成服务主体身份认证，无需在连接字符串中硬编码凭证。

方案优势与正确性说明 #

• 这是Azure官方主推的无密码认证方案，彻底避免了用户名密码泄露、硬编码的风险，符合零信任安全模型。
• 权限可精细化控制：无需授予服务主体超范围权限，可根据迁移需求分配db_ddladmin（DDL权限）+db_datawriter（数据写入）等最小必要权限。
• 凭证管理更安全：服务主体密钥可在Azure AD中定期轮换，且在Azure DevOps中以秘密变量存储，不会出现在任务日志或配置文件中。

注意事项 #

• 需使用EF Core 3.1及以上版本，该版本开始原生支持Active Directory Service Principal认证方式。
• 服务主体需具备Azure SQL服务器的基础访问权限，确保Azure DevOps管道能正常连接服务器。

内容的提问来源于stack exchange，提问作者Benjamin