跨租户从Azure Synapse专用SQL池访问防火墙保护的存储账户遇阻

以下是针对问题的分步排查与解决方案：

1. 确认专用端点的跨租户连接状态 #

• 检查租户B存储账户的「专用链接」设置，确认来自租户A Synapse工作区的专用端点请求已被批准，状态显示为「已连接」。跨租户专用端点需手动批准，若处于「待批准」状态，存储账户会直接拒绝连接请求。
• 确保存储账户防火墙已启用「允许通过专用端点访问」（默认开启，若被手动禁用需重新启用）。

2. 修正存储账户防火墙规则 #

• 禁用「允许受信任的Microsoft服务访问」选项（该选项不适用于跨租户专用端点场景），仅保留「允许专用端点访问」规则。
• 不要尝试添加租户A的托管VNet到存储账户防火墙的「允许特定虚拟网络」列表——跨租户VNet无法直接添加，专用端点是唯一合法的跨租户访问路径。

3. 验证IAM角色配置 #

• 确保用于身份验证的服务主体（SP）被授予存储Blob数据参与者角色（而非存储账户参与者），且角色作用域覆盖目标容器或具体文件路径。
• 核对数据库范围凭据中的SP信息：clientID、tenantID、SECRET需完全正确，无拼写错误或过期情况。

4. 修正外部数据源与表的路径配置 #

原脚本中外部数据源的LOCATION指向单个文件，外部表又指向根目录，会导致路径解析异常，触发权限检查失败。修正如下：

-- 修改外部数据源为容器路径
CREATE EXTERNAL DATA SOURCE AzureDataLakeStore
WITH ( 
    LOCATION = 'abfss://somecontainer@someadlsl001.dfs.core.windows.net/' , 
    CREDENTIAL = cred, 
    TYPE = HADOOP 
) ;

-- 外部表指向具体文件
CREATE EXTERNAL TABLE [dbo].[WeatherData2] (
    [usaf] [nvarchar](100) NULL
)
WITH
(
    LOCATION='weather.csv',
    DATA_SOURCE = AzureDataLakeStore,
    FILE_FORMAT = csvFile,
    REJECT_TYPE = VALUE,
    REJECT_VALUE = 0
);

5. 检查私有DNS配置 #

对于Synapse托管VNet，需确保已创建并关联对应存储账户的私有DNS区域：

• 创建privatelink.dfs.core.windows.net私有DNS区域
• 将存储账户的专用端点关联到该区域
• 运行nslookup someadlsl001.dfs.core.windows.net验证解析结果为专用端点的私有IP，而非公网IP。若解析到公网IP，说明DNS配置缺失，Synapse会尝试公网访问被防火墙拦截。

6. 测试连通性 #

使用Synapse工作区的SQL池执行简单的路径检查命令，验证专用端点访问是否正常：

SELECT * FROM sys.dm_exec_external_work

查看返回结果中的错误信息，进一步定位问题。

内容的提问来源于stack exchange，提问作者Subha_26