如何通过PowerShell/CLI自动化Azure Synapse SQL服务主体授权？

可以通过Azure CLI或PowerShell完全自动化执行授权脚本，以下是两种方式的具体实现步骤：

一、使用Azure CLI实现 #

前提准备 #

• 安装最新版Azure CLI，已完成租户身份验证（自动化场景建议用服务主体登录）
• 执行操作的身份需拥有Synapse SQL池的ALTER ANY USER及GRANT SELECT权限（或更高权限如db_owner）

直接执行SQL命令 #

将授权逻辑直接通过CLI命令传递执行，注意修正原脚本中的DEFAFULT_SCHEMA拼写错误为DEFAULT_SCHEMA：

# 若未登录，先通过服务主体登录（自动化场景推荐）
az login --service-principal -u <你的服务主体客户端ID> -p <你的服务主体密钥> --tenant <租户ID>

# 执行授权SQL
az synapse sql pool execute-sql \
    --resource-group <资源组名称> \
    --workspace-name <Synapse工作区名称> \
    --sql-pool-name <SQL池名称> \
    --query "CREATE USER [MY_SERVICE_PRINCIPAL] FROM EXTERNAL PROVIDER WITH DEFAULT_SCHEMA=[dbo]; GRANT SELECT ON DATABASE::MyDB TO [MY_SERVICE_PRINCIPAL];"

通过本地SQL文件执行 #

如果授权逻辑较复杂，可将SQL写入本地文件（如grant_sp_permissions.sql），再通过CLI调用：

az synapse sql pool execute-sql \
    --resource-group <资源组名称> \
    --workspace-name <Synapse工作区名称> \
    --sql-pool-name <SQL池名称> \
    --file ./grant_sp_permissions.sql

二、使用PowerShell实现 #

前提准备 #

• 安装Az.Synapse模块：Install-Module -Name Az.Synapse -Force -AllowClobber
• 执行操作的身份需具备足够权限（同CLI要求）

服务主体登录与SQL执行 #

# 服务主体身份验证（自动化场景无需交互式登录）
$clientId = "<你的服务主体客户端ID>"
$clientSecret = ConvertTo-SecureString "<你的服务主体密钥>" -AsPlainText -Force
$tenantId = "<租户ID>"
$credential = New-Object System.Management.Automation.PSCredential ($clientId, $clientSecret)
Connect-AzAccount -ServicePrincipal -Credential $credential -Tenant $tenantId

# 定义授权SQL（修正拼写错误）
$sqlQuery = @"
CREATE USER [MY_SERVICE_PRINCIPAL] FROM EXTERNAL PROVIDER WITH DEFAULT_SCHEMA=[dbo];
GRANT SELECT ON DATABASE::MyDB TO [MY_SERVICE_PRINCIPAL];
"@

# 执行SQL到目标Synapse SQL池
Invoke-AzSynapseSqlPoolQuery -ResourceGroupName "<资源组名称>" `
    -WorkspaceName "<Synapse工作区名称>" `
    -SqlPoolName "<SQL池名称>" `
    -Query $sqlQuery

通过本地SQL文件执行 #

若SQL逻辑存储在本地文件，可读取后执行：

$sqlQuery = Get-Content -Path ./grant_sp_permissions.sql -Raw
Invoke-AzSynapseSqlPoolQuery -ResourceGroupName "<资源组名称>" `
    -WorkspaceName "<Synapse工作区名称>" `
    -SqlPoolName "<SQL池名称>" `
    -Query $sqlQuery

关键注意事项 #

• 务必修正原脚本中的DEFAFULT_SCHEMA拼写错误，否则会导致用户创建失败
• 自动化场景下，服务主体的密钥建议存储在Azure Key Vault中，通过密钥检索方式获取，避免明文暴露
• 确保执行操作的服务主体已被授予Synapse工作区及SQL池的对应权限，否则会出现权限不足报错

内容的提问来源于stack exchange，提问作者crystyxn