Azure Synapse无服务器版复制数据库登录用户权限问题求解

关键限制说明 #

Synapse无服务器的复制数据库不支持对数据库范围凭据执行GRANT操作，这是由复制库的权限同步机制决定的，直接在复制库内做权限授予会触发报错。

可行解决方法 #

1. 改用服务器级凭据 #

服务器级凭据的权限在主服务器配置后，复制数据库会自动继承，无需在复制库内单独授权：

• 在Synapse无服务器主服务器上创建服务器级凭据：

CREATE CREDENTIAL [https://<存储账户名>.blob.core.windows.net/<容器名>]
WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
SECRET = 'sp=xxxx&st=xxxx&se=xxxx&sr=c&sv=xxxx&sig=xxxx';

• 确保登录名<Name>拥有服务器级的必要权限（如CONTROL SERVER或仅需继承凭据访问权限即可），此时查询复制库表时会自动使用该服务器凭据访问底层存储。

2. 分配数据库内置角色权限 #

将用户添加到复制数据库的db_datareader角色，结合服务器级凭据的访问能力，确保用户能正常读取表数据：

ALTER ROLE db_datareader ADD MEMBER [Name];

3. 存储层面直接授权 #

如果使用Azure存储账户，可直接在存储层面配置权限：

• 若用户是Azure AD身份，将存储账户的Blob数据读取者角色分配给该用户；
• 若使用SAS令牌，确保令牌拥有目标容器/数据路径的读取权限，且有效期覆盖使用周期。

验证操作 #

1. 确认服务器级凭据已正确创建，SAS令牌权限有效；
2. 执行查询测试：

SELECT * FROM <目标表名>;

3. 若仍有问题，检查主服务器上登录名的权限，以及存储账户的访问控制列表（ACL）配置是否正确。

内容的提问来源于stack exchange，提问作者Ad Sul