为Azure Sync创建专用用户的可行性及权限配置咨询

是否可以创建独立用户替代内置管理员账号？ #

完全可行，你可以创建独立的Azure AD用户或SQL登录账号，专门用于Azure Data Sync的管理操作，无需依赖内置管理员账号。

独立用户所需权限 #

• 订阅/资源组级别：分配内置角色SQL Data Sync Contributor，该角色包含管理Data Sync组、同步成员、同步代理等所有必要的操作权限；若需自定义权限，需包含Microsoft.Sql/servers/databases/syncGroups/*、Microsoft.Sql/servers/databases/syncMembers/*、Microsoft.Sql/servers/syncAgents/*这些资源的读写权限。
• 数据库层面：对于参与同步的数据库，用户需要具备db_owner权限（或至少拥有同步表的读写权限，以及创建/修改同步相关系统对象的权限），才能完成表映射配置、同步初始化等操作。
• 角色分配权限：如果需要由该用户自行分配其他Data Sync相关权限，还需额外授予Microsoft.Authorization/roleAssignments/write权限。

关于添加DataSync_Admin角色提示权限不足的问题 #

• 首先确认执行添加角色操作的管理员账号，是否在订阅或资源组级别拥有Microsoft.Authorization/roleAssignments/write权限——这个权限是分配任何Azure角色的前提，哪怕是全局管理员，如果被限制了该权限也会报错。
• 注意：Azure Data Sync的核心管理角色是订阅/资源组级别的SQL Data Sync Contributor，而非数据库内部的DataSync_Admin（若你指的是数据库角色）。如果是尝试在数据库内部分配DataSync_Admin，需确保执行账号拥有数据库的db_owner权限，否则会提示权限不足。

内容的提问来源于stack exchange，提问作者BaconCatBug