如何验证Azure托管标识与SQL数据库的连接？是否需切换出dbo？

你不需要切换dbo用户或修改它的默认架构来验证托管标识连接——dbo是数据库内置管理员用户，和托管标识是完全独立的身份体系，两者没有关联。

正确的验证路径 #

• 代码层面直接测试：在你的App Service代码中，使用托管标识方式构建SQL连接字符串（无需用户名密码），执行如下查询语句：

  SELECT SYSTEM_USER;
  

  执行后返回的结果就是当前连接的身份，检查是否与你的托管标识名称一致即可。
• 用Azure CLI模拟验证：如果不想修改代码，可通过Azure CLI模拟App Service的托管身份执行查询：

  az login --identity
  az sql db execute-query --resource-group <你的资源组名称> --server <你的SQL服务器名称> --database <目标数据库名> --query-text "SELECT SYSTEM_USER;"
  

• 在SQL端查看活跃连接：若App Service已通过托管标识建立连接，可在SQL数据库中运行以下语句查看当前用户连接：

  SELECT session_id, original_login_name, nt_username
  FROM sys.dm_exec_sessions
  WHERE is_user_process = 1;
  

  找到对应App Service的连接记录，original_login_name字段应显示你的托管标识名称。

为什么修改dbo默认架构无效？ #

ALTER USER [dbo] WITH DEFAULT_SCHEMA=[managed-identity]仅用于修改dbo用户的默认架构，和托管标识的身份验证逻辑完全无关。托管标识作为独立的数据库用户，默认架构就是dbo，修改这个设置不会影响身份验证的有效性。

额外排查要点 #

• 确认App Service已启用系统分配托管标识，且Azure SQL服务器防火墙允许App Service访问（可开启“允许Azure服务和资源访问此服务器”选项）。
• 你已为托管标识分配db_datareader、db_datawriter、db_ddladmin角色，这些权限足够完成查询及数据操作验证。

内容的提问来源于stack exchange，提问作者anemoneyy