托管应用中Synapse无服务器SQL实例无法访问存储账户（AADSTS700016）

核心问题 #

部署到客户租户的托管应用中，Synapse无服务器SQL实例错误地向发布者租户请求AAD令牌，而非当前客户租户，导致身份无法识别。根源在于角色分配使用了发布者租户的Synapse托管身份ID，而非客户租户中自动生成的新身份ID，同时部署逻辑的租户判断存在冗余。

解决方案步骤 #

1. 修正Bicep中托管身份ID的引用 #

确保角色分配的principalId直接指向客户租户中Synapse工作区的系统分配托管身份ID，而非硬编码或来自发布者租户的ID：

// 定义Synapse工作区，启用系统分配托管身份
resource synapseWorkspace 'Microsoft.Synapse/workspaces@2021-06-01' = {
  name: 'your-synapse-workspace'
  location: resourceGroup().location
  identity: {
    type: 'SystemAssigned'
  }
  // 其他Synapse配置项...
}

// 内置Storage Blob Data Contributor角色固定ID
var storageBlobDataContributorRoleID = '/providers/Microsoft.Authorization/roleDefinitions/ba92f5b4-2d11-453d-a403-e96b0029c9fe'

// 存储容器的角色分配
resource roleAssignmentTsPerformanceDataContiner 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  scope: synapseTsPerformanceDataContainer
  name: guid(resourceGroup().id, synapseWorkspace.identity.principalId, storageBlobDataContributorRoleID, synapseTsPerformanceDataContainer.id)
  properties: {
    roleDefinitionId: storageBlobDataContributorRoleID
    principalId: synapseWorkspace.identity.principalId // 直接引用当前租户的托管身份ID
    principalType: 'ServicePrincipal'
    // 同一租户部署无需设置delegatedManagedIdentityResourceId，移除跨租户判断
  }
}

2. 移除冗余的跨租户判断逻辑 #

托管应用部署到客户租户时，部署上下文处于客户的订阅与租户内，tenant().tenantId与subscription().tenantId完全一致，原crossTenant变量无实际意义，直接移除相关判断即可。

3. 验证IAM角色分配的正确性 #

部署完成后，在客户租户的存储容器IAM页面：

• 确认角色分配的主体ID与Synapse工作区"身份"页面显示的系统分配身份ID完全匹配
• 确认角色分配的范围是目标存储容器，而非更高层级（如存储账户）

4. 等待IAM权限生效 #

Azure IAM角色分配通常需要5-15分钟才能完全生效，部署完成后不要立即测试，等待足够时间再执行SELECT查询。

5. 确认SQL脚本的正确性 #

你的SQL脚本逻辑无误，但需确保：

• CREATE DATABASE SCOPED CREDENTIAL使用IDENTITY = 'Managed Identity'时，自动关联的是当前租户Synapse工作区的系统分配身份
• 外部数据源的LOCATION指向客户租户的存储账户（而非发布者租户的）

额外排查点 #

• 检查Synapse工作区是否启用系统分配托管身份：在客户租户的Synapse工作区"身份"页面，确认"状态"为"启用"
• 测试存储访问权限：使用客户租户的Synapse托管身份，通过Azure CLI执行az storage blob list --account-name <存储账户名> --container-name <容器名> --auth-mode login验证权限
• 查看Synapse诊断日志：在Synapse工作区"监控"->"日志"中，搜索AADSTS700016相关日志，确认令牌请求的租户ID是否为客户租户ID

内容的提问来源于stack exchange，提问作者Steve