Azure DevOps中SqlAzureDacpacDeployment任务ServicePrincipal认证失败

开发者阿泽

2026-8-11

问题描述

使用ServicePrincipal执行Azure SQL数据库迁移时，手动生成迁移脚本并通过Invoke-Sqlcmd传入AccessToken的方式可以正常执行，但使用Azure DevOps的SqlAzureDacpacDeployment@1任务、选择servicePrincipal认证类型时，出现**Login failed for user 'token-identified principal'**错误，无法完成脚本执行。

手动可行的执行流程：

- script: 'dotnet ef migrations script --idempotent --output migrations.sql --project DBPROJECT --startup-project ./APIPROJECT/ -v'
  displayName: Create EF Scripts

- task: AzurePowerShell@5
  displayName: Capture DB access token
  inputs:
    azureSubscription: $(ServiceConnection)
    ScriptType: 'InlineScript'
    azurePowerShellVersion: LatestVersion
    Inline: |
        Import-Module Az.Accounts -MinimumVersion 2.2.0

        $tenantID = '$(tenant)'
        $clientID = '$(clientId)'
        $clientSct = '$(clientSecret)'

        $request = Invoke-RestMethod -Method POST `
           -Uri "https://login.microsoftonline.com/$tenantID/oauth2/token"`
           -Body @{ resource="https://database.windows.net/"; grant_type="client_credentials"; client_id=$clientid; client_secret=$clientSct }`
           -ContentType "application/x-www-form-urlencoded"
        $access_token = $request.access_token
        Write-Host("##vso[task.setvariable variable=access_token;issecret=true]$($access_token)")
        Write-Output "Access token type is $($request.token_type), expires $($request.expires_on)"

- task: AzurePowerShell@5
  displayName: 'Execute SQL Migration Script'
  inputs:
    azureSubscription: $(serviceConnection)
    ScriptType: inlineScript
    Inline: Invoke-Sqlcmd -AccessToken "$(access_token)" -ServerInstance "$(serverName).database.windows.net" -Database "$(dbName)" -InputFile "$(System.DefaultWorkingDirectory)\migrations.sql"
    azurePowerShellVersion: 'LatestVersion'

失效的任务配置：

- task: SqlAzureDacpacDeployment@1
  displayName: 'Execute SQL Migration Script'
  inputs:
    azureSubscription: $(ServiceConnection)
    AuthenticationType: 'servicePrincipal'
    ServerName: '$(serverName).database.windows.net'
    DatabaseName: $(dbName)
    TaskNameSelector: 'SqlTask'
    SqlFile: '$(System.DefaultWorkingDirectory)\migrations.sql'
    IpDetectionMethod: 'AutoDetect'

可能的原因及解决方案

1. 任务默认资源受众不匹配

SqlAzureDacpacDeployment@1任务使用servicePrincipal认证时，可能默认请求的资源受众不是Azure SQL要求的https://database.windows.net/，导致生成的令牌无法被数据库识别。

解决方法：
保留手动获取令牌的任务，在SqlAzureDacpacDeployment@1中通过AdditionalArguments显式传入正确的AccessToken：

- task: SqlAzureDacpacDeployment@1
  displayName: 'Execute SQL Migration Script'
  inputs:
    azureSubscription: $(ServiceConnection)
    AuthenticationType: 'servicePrincipal'
    ServerName: '$(serverName).database.windows.net'
    DatabaseName: $(dbName)
    TaskNameSelector: 'SqlTask'
    SqlFile: '$(System.DefaultWorkingDirectory)\migrations.sql'
    IpDetectionMethod: 'AutoDetect'
    AdditionalArguments: '-AccessToken "$(access_token)"'

2. ServicePrincipal数据库权限不足

确保ServicePrincipal已在目标SQL数据库中被授予足够权限：
用数据库管理员账号执行以下SQL语句：

CREATE USER [你的ServicePrincipal名称] FROM EXTERNAL PROVIDER;
ALTER ROLE db_owner ADD MEMBER [你的ServicePrincipal名称];

注：你的ServicePrincipal名称对应ServicePrincipal的clientId或显示名称

3. 任务版本存在bug

尝试升级任务到最新版，或切换至SqlAzureDacpacDeployment@2（若可用），新版本可能修复了servicePrincipal认证的问题。

4. 服务连接配置错误

检查Azure DevOps中的服务连接$(ServiceConnection)：

确认clientId、tenantId、clientSecret配置无误
确保服务连接的权限范围覆盖目标SQL数据库所在的资源组或数据库资源

验证步骤

用本地环境测试手动生成的AccessToken是否能正常执行迁移脚本，排除权限本身的问题
开启Azure DevOps任务的调试日志，检查SqlAzureDacpacDeployment@1是否正确获取到令牌
测试切换至SqlAzureDacpacDeployment@2任务，对比执行结果

内容的提问来源于stack exchange，提问作者Krzysztof