隔离进程中基于身份的Azure Function定时触发器连接SQL问题排查

针对你遇到的Login failed for user '<token-identified principal>'错误，以下是你遗漏的关键步骤和修复方案：

1. 补充必要的NuGet包 #

除已有的包外，必须添加：

• Azure.Identity（版本≥1.5.0，适配.NET6）
• 确保Microsoft.Data.SqlClient版本与Microsoft.EntityFrameworkCore.SqlServer兼容（EF Core 6.0.25对应SqlClient≥4.1.0）

2. 修改DbContext配置，手动注入托管身份令牌 #

隔离进程模式下，EF Core不会自动触发托管身份令牌获取，需在配置DbContext时显式指定TokenCredential：

var host = new HostBuilder()
    .ConfigureFunctionsWorkerDefaults()
    .ConfigureServices((builderContext, services) =>
    {
        services.AddApplicationInsightsTelemetryWorkerService();
        services.ConfigureFunctionsApplicationInsights();

        services.AddDbContext<InternalDbContext>((sp, options) =>
        {
            var cs = builderContext.Configuration.GetConnectionString("Default");
            // 使用DefaultAzureCredential自动获取托管身份令牌
            var credential = new DefaultAzureCredential();
            
            options.UseSqlServer(cs, sqlOpts =>
            {
                sqlOpts.EnableRetryOnFailure();
                // 启用Azure身份验证（EF Core 6+支持此扩展方法）
                sqlOpts.UseAzureIdentity(credential);
            });
        });
        services.AddTransient<IDbContext>(sp => sp.GetRequiredService<InternalDbContext>());
    })
    .Build();

host.Run();

如果UseAzureIdentity方法不存在，可改用手动设置AccessToken的方式：

services.AddDbContext<InternalDbContext>((sp, options) =>
{
    var cs = builderContext.Configuration.GetConnectionString("Default");
    var credential = new DefaultAzureCredential();
    // 获取SQL数据库的访问令牌
    var token = credential.GetToken(new TokenRequestContext(new[] { "https://database.windows.net/.default" }));
    
    var sqlConn = new SqlConnection(cs);
    sqlConn.AccessToken = token.Token;
    options.UseSqlServer(sqlConn);
});

3. 验证连接字符串格式 #

确保连接字符串不包含User ID、Password或Authentication参数，正确格式应为：

Server=tcp:<你的SQL服务器名>.database.windows.net,1433;Database=<你的数据库名>;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;

4. 确认Azure Function与SQL的权限配置 #

• Function端：确保已启用系统分配/用户分配托管身份，若为用户分配身份，需在DefaultAzureCredential中指定ClientId：

  var credential = new DefaultAzureCredential(new DefaultAzureCredentialOptions
  {
      ManagedIdentityClientId = "<你的用户分配身份ClientId>"
  });
  

• SQL端：确认托管身份已被添加为数据库外部用户并授予权限，执行SQL语句：

  -- 系统分配身份：用Function App名称创建用户
  CREATE USER [你的FunctionApp名称] FROM EXTERNAL PROVIDER;
  -- 用户分配身份：用身份名称/ClientId创建用户
  CREATE USER [你的用户分配身份名称] FROM EXTERNAL PROVIDER;
  
  -- 授予读写权限
  ALTER ROLE db_datareader ADD MEMBER [你的身份名称];
  ALTER ROLE db_datawriter ADD MEMBER [你的身份名称];
  

5. 隔离进程模式特殊检查 #

• 确保Function App的FUNCTIONS_WORKER_RUNTIME设置为dotnet-isolated
• 避免在连接字符串中使用Authentication=Active Directory Managed Identity，隔离进程模式下此参数可能无法正确生效

内容的提问来源于stack exchange，提问作者Jack