Azure SQL行级安全（RLS）在SSMS中正常生效但PowerApps中无过滤效果的问题求助

你遇到的核心问题其实是PowerApps使用的连接器没有正确传递用户的Azure AD身份到Azure SQL，导致SQL的行级筛选谓词无法识别用户所属的安全组。下面我来拆解原因和具体解决办法：

一、为什么Office Groups连接器会导致这个问题？ #

Office Groups连接器的定位是访问Microsoft 365组的相关信息，而非以用户身份直接连接Azure SQL。当你用它来访问SQL时，它大概率是使用连接器自身的托管身份或者固定服务账号去建立连接，并不会传递当前登录PowerApps的用户的Azure AD身份。这样一来，SQL里的筛选谓词依赖的是连接SQL的身份，自然无法关联到用户的安全组，也就不会触发数据过滤逻辑。

而SSMS是直接用用户的Azure AD身份登录SQL，SQL能正确获取用户的安全组信息，所以筛选功能正常工作。

二、具体解决步骤 #

1. 切换到Azure SQL Database专属连接器 #

你需要替换当前的Office Groups连接器，使用专门的Azure SQL Database连接器，并配置正确的身份验证方式：

• 在PowerApps Studio中，移除现有的Office Groups连接，添加新的“Azure SQL Database”连接器。
• 配置连接时，选择Azure AD Integrated作为身份验证类型。这个选项会让PowerApps将当前登录用户的Azure AD凭据直接传递给SQL，和你在SSMS里的登录方式保持一致。

2. 验证身份传递是否正常 #

切换连接器后，可以在SQL中执行以下查询，确认PowerApps连接时使用的身份是否正确：

SELECT SUSER_SNAME() AS CurrentSQLUser;

如果返回的是当前PowerApps用户的Azure AD UPN（比如user@yourdomain.com），说明身份传递成功，此时SQL的筛选谓词应该能正常识别用户的安全组并过滤数据。

3. 确认权限配置无遗漏 #

确保当前PowerApps用户（及其所属的Azure AD安全组）在SQL中已经被正确配置：

• 安全组已作为外部用户添加到SQL中。
• 用户/安全组拥有目标表的访问权限，且筛选谓词的逻辑确实是基于用户所属安全组（比如使用IS_MEMBER()函数或查询用户的安全组信息）。

4. 检查PowerApps应用权限设置 #

确认PowerApps应用被允许访问用户的Azure AD身份信息：

• 在PowerApps Studio中，点击右上角的“设置”→“权限”。
• 确保“Azure Active Directory”的权限处于允许状态（默认是启用的，若被禁用需重新开启）。

三、额外排查点 #

如果切换连接器后仍有问题，可以检查你的筛选谓词逻辑，比如是否依赖CURRENT_USER或SESSION_CONTEXT()来获取用户身份，确保这些函数返回的值和你在SSMS中测试的结果一致。

内容的提问来源于stack exchange，提问作者Mangésh Méhendalé