Azure DevOps通过Dacpac部署Azure SQL DB时登录失败求助

错误信息 #

无法连接到目标服务器'[servername].database.windows.net'，请验证服务器名称、登录凭据及目标服务器的防火墙规则。用户'****@some guid'登录失败，Azure SQL DACPAC任务执行失败，SqlPackage.exe退出代码为1。

已执行的数据库权限配置 #

CREATE USER [service principal] FROM EXTERNAL PROVIDER
ALTER ROLE db_datareader ADD MEMBER [service principal]
ALTER ROLE db_datawriter ADD MEMBER [service principal]
GRANT VIEW Definition TO [service principal]
GRANT ALTER ON DATABASE :: [Database name] TO [service principal]

流水线任务配置 #

task: SqlAzureDacpacDeployment@1
displayName: 'Azure SQL Dacpac Task'
inputs:
  azureSubscription: '[azureSubscription]'
  AuthenticationType: 'servicePrincipal'
  ServerName: '$(servername).database.windows.net'
  DatabaseName: '$(Database)'
  DacpacFile: '$(DacpacPath)'
  AdditionalArguments: '/p:BlockOnPossibleDataLoss=false /p:DropObjectsNotInSource=true /p:ExcludeObjectTypes=Users;Logins;RoleMembership;Permissions'

排查与解决步骤 #

• 补充服务器级权限：仅数据库权限不足以支持Dacpac部署全流程，需为服务主体添加服务器级登录与权限：

  CREATE LOGIN [service principal] FROM EXTERNAL PROVIDER;
  GRANT ALTER ANY DATABASE TO [service principal];
  

• 确认服务主体标识匹配：SQL中创建的[service principal]必须与Azure中服务主体的应用ID或显示名称完全一致，避免拼写错误。
• 检查防火墙规则：在Azure SQL服务器的防火墙设置中，要么添加Azure DevOps代理的出站IP，要么开启“允许Azure服务和资源访问此服务器”选项，确保代理能连接到SQL服务器。
• 验证服务连接权限：Azure DevOps中使用的[azureSubscription]服务连接对应的服务主体，需拥有目标SQL服务器的SQL Server Contributor或Contributor角色（服务器级别）。

内容的提问来源于stack exchange，提问作者IamP