如何通过用户托管身份配置Azure SQL跨库外部数据源？

明确结论：完全可以通过关联用户托管身份的数据库范围凭据实现跨库外部数据源连接，但无法直接用ALTER DATABASE SCOPED CREDENTIAL修改原有SQL身份凭据——因为两种凭据类型（SQL身份/托管身份）的底层逻辑不同，必须删除旧凭据后重新创建。

具体操作步骤 #

• 1. 给用户托管身份配置目标数据库权限
  在目标数据库中，为托管身份创建对应数据库用户，并按需授予权限（比如只读或读写）：

  -- 目标数据库执行
  CREATE USER [你的用户托管身份名称] FROM EXTERNAL PROVIDER;
  -- 示例：授予只读权限
  ALTER ROLE db_datareader ADD MEMBER [你的用户托管身份名称];
  

• 2. 删除原有SQL身份验证的数据库范围凭据
  由于无法直接转换凭据类型，先在源数据库删除旧凭据：

  -- 源数据库执行
  DROP DATABASE SCOPED CREDENTIAL [原SQL身份凭据名称];
  

• 3. 创建关联托管身份的数据库范围凭据
  在源数据库新建凭据，指定托管身份（注意无需填写Secret）：

  -- 源数据库执行
  CREATE DATABASE SCOPED CREDENTIAL [托管身份凭据名称]
  WITH IDENTITY = '你的用户托管身份名称',
  SECRET = ''; -- 托管身份无需密钥，留空即可
  

• 4. 配置外部数据源使用新凭据
  若已有外部数据源，直接修改关联的凭据；无则新建：

  -- 源数据库执行：修改已有外部数据源
  ALTER EXTERNAL DATA SOURCE [你的外部数据源名称]
  WITH (
      LOCATION = 'sqlserver://你的Azure SQL Server名称.database.windows.net',
      DATABASE_NAME = '目标数据库名称',
      CREDENTIAL = [托管身份凭据名称]
  );
  
  -- 或者新建外部数据源
  CREATE EXTERNAL DATA SOURCE [你的外部数据源名称]
  WITH (
      LOCATION = 'sqlserver://你的Azure SQL Server名称.database.windows.net',
      DATABASE_NAME = '目标数据库名称',
      CREDENTIAL = [托管身份凭据名称]
  );
  

• 5. 验证跨库连接
  执行跨库查询测试是否正常：

  -- 源数据库执行
  SELECT * FROM EXTERNAL [你的外部数据源名称].[目标数据库名称].[目标架构].[目标表];
  

常见排查点 #

• 确认用户托管身份已被添加到Azure SQL Server的Azure AD管理员列表，或在目标数据库拥有明确权限；
• 检查源数据库所在的Azure SQL Server已启用Azure AD身份验证；
• 托管身份名称需完全匹配（Azure AD对象名称区分大小写）。

内容的提问来源于stack exchange，提问作者arpan desai