Azure Runbook用AccessToken连SQL数据库报SSPI上下文错误求助

• 验证AccessToken的受众与权限
  确保获取的AccessToken受众（audience）为https://database.windows.net/，这是Azure SQL数据库的专属资源标识。获取Token时需指定正确的资源参数：

  $token = (Get-AzAccessToken -ResourceUrl "https://database.windows.net/").Token
  

  避免使用Azure管理API的资源标识（如https://management.azure.com/），否则Token无法被SQL数据库识别。

• 改用SQLServer模块的Invoke-SqlCmd命令
  PowerShell Workflow的运行环境与普通PowerShell（如Cloud Shell）存在差异，传统System.Data.SqlClient.SqlConnection对象易触发SSPI上下文兼容问题。直接使用SQLServer模块提供的Invoke-SqlCmd并传入AccessToken参数：

  workflow Connect-AzureSqlWithToken {
      $token = (Get-AzAccessToken -ResourceUrl "https://database.windows.net/").Token
      $sqlParams = @{
          ServerInstance = "your-sql-server.database.windows.net"
          Database = "your-db-name"
          AccessToken = $token
          Query = "SELECT 1"
      }
      Invoke-SqlCmd @sqlParams
  }
  

• 配置托管身份的SQL权限
  若Runbook使用自动化账户托管身份运行，需完成两步配置：

  1. 为托管身份授予Azure SQL数据库的SQL DB Contributor或对应权限角色；
  2. 在目标SQL数据库中创建托管身份对应的用户并分配权限：

     CREATE USER [自动化账户托管身份名称] FROM EXTERNAL PROVIDER;
     ALTER ROLE db_datareader ADD MEMBER [自动化账户托管身份名称];
     -- 根据业务需求添加db_datawriter等其他角色
     

• 显式指定连接字符串的认证方式
  手动构建连接字符串，强制使用Active Directory Access Token认证，绕过SSPI自动协商流程：

  workflow Connect-SqlWithTokenManual {
      $token = (Get-AzAccessToken -ResourceUrl "https://database.windows.net/").Token
      $connString = "Server=tcp:your-sql-server.database.windows.net,1433;Database=your-db-name;Authentication=Active Directory Access Token;Uid=AnyString;Pwd=$token;"
      $conn = New-Object System.Data.SqlClient.SqlConnection($connString)
      try {
          $conn.Open()
          # 执行查询逻辑
      }
      catch {
          Write-Error $_
      }
      finally {
          $conn.Close()
      }
  }
  

• 确认Runbook的身份上下文一致性
  PowerShell Workflow中需保证获取Token的身份与Runbook运行身份一致：若使用托管身份，无需调用Connect-AzAccount，Get-AzAccessToken会自动使用已配置的托管身份；若使用服务 principal，需在Workflow中明确完成登录并保持上下文稳定。

内容的提问来源于stack exchange，提问作者new_programmer_22