Azure SQL多数据库AD安全组权限配置失败求助

核心概念澄清 #

先明确三个关键身份的区别，对应你的多服务器多数据库场景：

• 服务器登录（Login）：SQL Server层面的身份，负责让Azure AD组能登录服务器，必须在master库创建，作用覆盖整个服务器。
• 数据库用户（User）：映射到服务器登录，负责给组分配特定数据库的访问权限，每个需要访问的数据库都得单独创建。
• 包含数据库用户：不依赖服务器登录，直接在单数据库内创建，适合单个数据库场景，多库场景需要重复创建，效率低。

你的需求优先用服务器登录+数据库用户的模式。

报错原因分析 #

你之前的操作有两个核心问题：

1. 组名称不匹配：代码里写的是[SQL-READ]，但实际创建的AD组是Read-SQL，导致系统找不到对应的AD身份，角色添加失败。
2. 权限范围错误：在master库创建用户并分配db_datareader，但这个角色仅对master库生效，你需要的是业务数据库的权限，操作对象选错了。

正确配置步骤 #

1. 确认Azure AD组名称 #

先去Azure AD后台找到Read-SQL和Write-SQL组的显示名或用户主体名称（UPN），确保后续SQL语句里的名称和它完全一致（大小写不敏感，但字符必须完全匹配）。

2. 创建服务器登录（每个目标SQL Server都要执行） #

在SQL Server的master数据库中执行：

-- 为Read-SQL组创建服务器登录，赋予登录权限
CREATE LOGIN [Read-SQL] FROM EXTERNAL PROVIDER;
-- 为Write-SQL组创建服务器登录
CREATE LOGIN [Write-SQL] FROM EXTERNAL PROVIDER;

3. 为每个业务数据库分配权限 #

切换到需要访问的业务数据库，执行以下语句：

USE [你的业务数据库名];
GO

-- 给Read-SQL组创建数据库用户，映射到服务器登录
CREATE USER [Read-SQL] FOR LOGIN [Read-SQL];
-- 分配只读权限
ALTER ROLE db_datareader ADD MEMBER [Read-SQL];

-- 给Write-SQL组创建数据库用户，映射到服务器登录
CREATE USER [Write-SQL] FOR LOGIN [Write-SQL];
-- 分配读写权限
ALTER ROLE db_datareader ADD MEMBER [Write-SQL];
ALTER ROLE db_datawriter ADD MEMBER [Write-SQL];

如果要覆盖所有数据库，可编写批量脚本遍历执行，或手动在每个库重复操作。

4. 验证权限 #

用Read-SQL组内的成员账号，通过SSMS的「Azure Active Directory - 通用且具有MFA支持」模式登录，确认只能读取数据；Write-SQL组的成员则可正常读写。

可选简化操作（适用于全库权限需求） #

如果需要让组自动拥有服务器上所有数据库的对应权限，可使用服务器级角色（仅Azure SQL和SQL Server 2022+支持），无需逐个数据库创建用户：

-- 给Read-SQL组赋予全库只读权限
ALTER SERVER ROLE server_datareader ADD MEMBER [Read-SQL];
-- 给Write-SQL组赋予全库读写权限
ALTER SERVER ROLE server_datareader ADD MEMBER [Write-SQL];
ALTER SERVER ROLE server_datawriter ADD MEMBER [Write-SQL];

注意：此方式权限范围大，仅建议在测试环境或明确需求的场景下使用。

内容的提问来源于stack exchange，提问作者Nathaniel Bador