Synapse无服务器SQL池跨库视图关联查询权限异常求助

核心结论 #

Synapse无服务器池支持跨库关联查询外部视图，报错本质是跨库查询时的安全上下文未正确传递，导致用户无法访问目标库的资源。

排查与解决步骤 #

• 确认目标库的权限配置
  登录名对应的用户必须在目标数据库（报错提示的databasename）中拥有完整权限：

  1. 对目标视图的SELECT权限：

     USE databasename;
     GRANT SELECT ON [schema].[target_view] TO [your_user];
     

  2. 对目标库中数据库范围凭据的REFERENCES权限：

     USE databasename;
     GRANT REFERENCES ON DATABASE SCOPED CREDENTIAL::[your_credential] TO [your_user];
     

  注意：这里的权限是在目标库中授予，不是执行查询的当前库。

• 检查跨库查询语法
  必须使用完全限定名访问目标库视图，避免解析错误：

  SELECT *
  FROM current_db.schema.view1 v1
  JOIN databasename.schema.view2 v2 ON v1.id = v2.id;
  

• 验证安全上下文传递
  切换到目标库，用该用户直接查询视图，确认能正常访问外部数据。如果这里没问题，再回到当前库执行跨库查询，排除目标库本身的权限问题。

• 尝试同义词绕过（可选）
  如果上述步骤无效，可以在当前库创建目标视图的同义词，再通过同义词查询：

  USE current_db;
  CREATE SYNONYM schema.syn_view2 FOR databasename.schema.view2;
  
  -- 用同义词查询
  SELECT * FROM schema.view1 v1 JOIN schema.syn_view2 v2 ON v1.id = v2.id;
  

• 排查服务器级权限限制
  确认登录名未被授予DENY访问目标库的权限，执行以下语句检查：

  SELECT * FROM sys.server_permissions
  WHERE grantee_principal_id = (SELECT principal_id FROM sys.server_principals WHERE name = 'your_login')
  AND permission_name = 'DENY' AND class_desc = 'DATABASE';
  

内容的提问来源于stack exchange，提问作者mino