添加AutomatedFlow值时Managed Identity Policy为何执行失败？

问题背景 #

已完成Azure Data Explorer（ADX）到SQLDB的持续导出基础配置：

• 创建了指向SQLDB的外部表
• 托管标识（MI）已具备向该外部表插入数据的权限

按照文档要求，需给MI的Managed Identity Policy添加AutomatedFlow权限，但遇到以下问题：

1. 执行包含AutomatedFlow的.alter database policy managed_identity命令时直接失败
2. 将AllowedUsages改为"All"后命令可执行，但触发自动导出时出现权限报错：

   the managed identity used for automated flow, is not authorized to access the databases under the given query. Please assign the correct roles and try again.
   

排查与解决步骤 #

1. 修正Managed Identity Policy语法 #

确保AllowedUsages的取值格式正确，需为逗号分隔的字符串，无多余空格，正确示例：

.alter database db policy managed_identity ```
[
  {
    "ObjectId": "d99c9846-1615-a2f9-a96f-78e136ba93eb",
    "AllowedUsages": "NativeIngestion, ExternalTable, AutomatedFlow"
  }
]

注意：ADX的策略参数区分大小写，确认AutomatedFlow拼写完全正确。

2. 补充托管标识的ADX源数据权限 #

自动导出任务需要MI具备读取ADX源数据库/表的权限，需完成以下操作：

• 在ADX中，给目标MI分配Database Viewer角色（用于读取数据），若需要执行特定查询，可分配Database User角色
• 如果导出查询涉及多个数据库，需给MI分配所有涉及库的对应权限

3. 验证自动导出的查询范围 #

检查导出任务的查询语句，确保只引用MI有权限访问的ADX数据库和表，避免跨未授权库的查询操作。

4. 确认托管标识的关联有效性 #

• 若使用用户分配的MI，确认该MI已正确关联到ADX集群
• 核对ObjectId是否完全匹配，避免复制错误

5. 等待权限缓存刷新 #

ADX的权限变更可能需要3-5分钟的缓存刷新时间，完成权限配置后等待一段时间再测试导出任务。

内容的提问来源于stack exchange，提问作者Johanlb