Quarkus函数应用能否通过Azure托管身份连接Azure SQL Server？配置遇超时

核心结论 #

Quarkus框架完全支持通过Azure托管身份连接Azure SQL Server，同时也可以在Azure Functions中运行的Quarkus应用上实现这种身份验证方式，无需在配置中存储明文密码。

超时错误的排查步骤 #

如果按照文档配置后出现超时，建议从以下几个方向逐一排查：

1. 托管身份权限配置验证 #

• 确认Azure Functions应用的托管身份（系统分配或用户分配）已被添加为Azure SQL Server的SQL管理员，或在目标数据库中拥有登录权限及对应数据库角色权限（如db_datareader/db_datawriter）
• 检查SQL Server中是否已为托管身份创建用户映射，可执行以下SQL语句验证：

  SELECT name FROM sys.database_principals WHERE type = 'E';
  

  若未找到对应身份，需执行创建用户的语句：

  CREATE USER [你的函数应用名称] FROM EXTERNAL PROVIDER;
  ALTER ROLE db_datareader ADD MEMBER [你的函数应用名称];
  ALTER ROLE db_datawriter ADD MEMBER [你的函数应用名称];
  

2. Quarkus配置正确性检查 #

确保application.properties或application.yaml中托管身份相关参数配置正确：

• 系统分配托管身份的配置示例：

  quarkus.datasource.db-kind=mssql
  quarkus.datasource.username= # 留空，托管身份认证无需用户名密码
  quarkus.datasource.password= # 留空
  quarkus.datasource.jdbc.url=jdbc:sqlserver://<你的SQL服务器名称>.database.windows.net:1433;databaseName=<你的数据库名称>;authentication=ActiveDirectoryMSI;
  quarkus.datasource.jdbc.driver=com.microsoft.sqlserver.jdbc.SQLServerDriver
  

• 用户分配托管身份需额外指定客户端ID：

  quarkus.datasource.jdbc.url=jdbc:sqlserver://<你的SQL服务器名称>.database.windows.net:1433;databaseName=<你的数据库名称>;authentication=ActiveDirectoryMSI;msiClientId=<你的用户分配身份客户端ID>;
  

3. 网络连通性验证 #

• 检查Azure SQL Server防火墙规则是否开启“允许Azure服务和资源访问此服务器”选项
• 若Functions应用配置了VNet集成，确认虚拟网络与SQL Server的VNet有正确的对等连接或服务端点配置
• 可在函数中添加简单的网络测试代码（如使用InetAddress），验证到SQL Server 1433端口的连通性

4. JDBC驱动版本兼容性 #

确保使用的Microsoft SQL Server JDBC驱动版本支持托管身份认证，建议使用9.0.0及以上版本。Quarkus的quarkus-jdbc-mssql扩展默认引入兼容驱动，也可手动指定版本：

<dependency>
    <groupId>io.quarkus</groupId>
    <artifactId>quarkus-jdbc-mssql</artifactId>
</dependency>
<dependency>
    <groupId>com.microsoft.sqlserver</groupId>
    <artifactId>mssql-jdbc</artifactId>
    <version>12.4.1.jre11</version>
</dependency>

5. Azure Functions运行时验证 #

• 确认Functions应用使用v4及以上版本的运行时
• 在Azure门户的“身份”选项卡中，确认系统分配身份状态为“开启”

内容的提问来源于stack exchange，提问作者Praba karan