第三方应用访问Dynamics 365 SQL数据库遇预认证问题求助

问题本质 #

这个"需预先认证"错误，是因为Dynamics 365 Online对连接底层SQL数据库的应用有严格身份管控：SSMS能成功连接，是用了你的个人账号做交互式登录；而第三方应用一般用服务主体/应用ID做非交互式连接，必须先在Azure AD完成注册并获得授权，才能绕过交互式认证流程。

具体操作步骤 #

1. 在Azure AD注册第三方应用 #

• 登录Azure门户，进入Azure Active Directory > 应用注册 > 新注册
• 填写应用名称（对应你的第三方应用），账户类型选择"仅此目录中的账户"（匹配你的Dynamics 365租户）
• 注册完成后，记录应用程序(客户端)ID和目录(租户)ID，这是应用的核心身份标识

2. 为应用分配Dynamics 365数据库权限 #

• 进入Power Platform管理中心，找到目标Dynamics 365环境
• 进入设置 > 安全 > 应用权限
• 点击添加应用，搜索刚注册的Azure AD应用，选中后分配对应权限（比如"数据库读取者"，按需调整）

3. 配置第三方应用连接参数 #

确保第三方应用使用符合要求的连接字符串（替换占位符）：

Server=tcp:<你的Dynamics 365 SQL服务器名>,1433;Initial Catalog=<数据库名>;Persist Security Info=False;User ID=<应用客户端ID>@<租户ID>;Password=<应用客户端密钥>;MultipleActiveResultSets=False;Encrypt=True;TrustServerCertificate=False;Authentication="Active Directory Password"

提示：如果应用支持，也可使用"Active Directory Service Principal"认证模式，具体参数参考应用文档

4. 检查访问白名单（可选） #

若仍有问题，排查租户级别的访问限制：

• 查看Azure AD的条件访问策略，确认第三方应用未被拦截
• 检查Power Platform管理中心的环境网络设置，确认应用的IP地址已加入允许列表

常见排查点 #

• 确认应用注册时生成的客户端密钥是否有效（密钥有过期时间，过期需重新生成）
• 权限分配后需等待5-10分钟让系统同步，不要立即测试
• 部分旧第三方应用仅支持SQL身份验证，但Dynamics 365 Online已禁用该方式，需换用Azure AD服务主体认证

内容的提问来源于stack exchange，提问作者Patrick Theobald