Azure SQL无密码认证：AKS上Java应用多角色托管身份映射问题

AI 小北

2026-7-11

Azure SQL单数据库支持多托管身份映射实现多角色无密码认证

是的，Azure SQL单数据库完全支持为同一数据库映射多个不同的托管身份，并为每个身份分配不同的数据库角色（如读者、管理员），以此实现多角色的无密码认证。以下是具体实现步骤：

创建独立托管身份
针对不同角色需求创建用户分配的托管身份（推荐，可跨资源复用），每个身份对应一个权限角色。系统分配的托管身份仅绑定单个资源，若需多角色建议优先使用用户分配类型。
在数据库中创建对应身份用户
登录Azure SQL数据库，为每个托管身份创建外部用户：
```
CREATE USER [托管身份显示名称] FROM EXTERNAL PROVIDER;
```

为用户分配对应数据库角色
根据业务需求给每个用户分配不同权限角色，示例如下：

-- 给只读身份分配读者权限
ALTER ROLE db_datareader ADD MEMBER [只读托管身份名称];
-- 给管理员身份分配全权限
ALTER ROLE db_owner ADD MEMBER [管理员托管身份名称];

AKS应用中使用对应身份访问
Java应用中针对不同权限模块，使用对应托管身份获取访问令牌连接数据库。示例代码片段：

// 初始化对应托管身份的凭证
DefaultAzureCredential credential = new DefaultAzureCredentialBuilder()
    .managedIdentityClientId("目标托管身份的Client ID")
    .build();
// 获取Azure SQL访问令牌
String accessToken = credential.getToken(new TokenRequestContext()
    .addScopes("https://database.windows.net/.default")).block().getToken();
// 构建JDBC连接（无需账号密码，用令牌认证）
String jdbcUrl = "jdbc:sqlserver://<你的SQL服务器名>.database.windows.net:1433;database=<数据库名>;encrypt=true;hostNameInCertificate=*.database.windows.net;";
Connection conn = DriverManager.getConnection(jdbcUrl, "", accessToken);