如何配置Azure Synapse无服务器SQL池以支持端到端AD认证授权？

我已尝试数日为Azure Synapse无服务器SQL池搭建端到端AD认证访问，虽有进展但至今仍未找到可行的完整方案。尝试使用域名创建AD安全组的SQL Server登录名，执行的语句如下：
CREATE LOGIN [UG-DataAccess-Confidential-RO@domain.com] FROM EXTERNAL PROVIDER;

收到的报错信息：

Principal 'UG-DataAccess-Confidential-RO@domain.com' could not be found or this principal type is not supported.

排查与解决步骤 #

• 确认AD安全组有效性：检查UG-DataAccess-Confidential-RO@domain.com是否为Azure AD中安全组的UPN（用户主体名称），而非显示名称。可登录Azure AD门户，在“组”列表中查找该组，核对其UPN属性是否匹配。注意仅支持安全组，通讯组无法用于创建此类登录。
• 验证执行账号权限：执行创建登录操作的账号必须是Azure AD认证的账号，且拥有Synapse无服务器SQL池的CONTROL SERVER权限，SQL本地账号无法完成AD登录的创建操作。
• 检查AD与Synapse的信任关系：确认Synapse工作区已正确关联Azure AD，可在Synapse门户的“管理”->“Azure Active Directory”页面查看关联状态，确保无配置异常。
• 尝试使用对象ID创建：若UPN方式仍失败，可改用安全组的对象ID创建登录，语句格式为：
  CREATE LOGIN [组对象ID] FROM EXTERNAL PROVIDER;
  对象ID可在Azure AD组的“概述”页面获取。

内容的提问来源于stack exchange，提问作者beaudet