跨资源组Azure Pipeline不同服务连接访问SQL Server的方法咨询

遇到这种跨资源组、服务连接权限隔离的问题，我有几个可行的方案，你可以根据自己的权限和场景选择：

方案1：扩展RG2服务连接的权限至RG1的SQL Server #

这是最直接的方式，让RG2的服务连接拥有访问RG1中SQL Server的权限：

• 步骤1：找到RG2服务连接对应的服务主体ID
  在Azure DevOps项目设置里，找到你的RG2服务连接，查看详情并复制服务主体的Application ID（即对象ID）。也可以用Azure CLI命令获取：

  az ad sp list --display-name "你的RG2服务连接名称" --query "[0].id" -o tsv
  

• 步骤2：给服务主体授予RG1中SQL Server的权限
  登录Azure门户，进入RG1的SQL Server：

  1. 前往访问控制(IAM)，点击添加角色分配
  2. 选择SQL DB Contributor或SQL Server Contributor角色（遵循最小权限原则，按需选择）
  3. 搜索并选择刚才复制的服务主体ID，完成权限分配

• 步骤3：确保SQL Server启用Azure AD身份验证并设置管理员
  在RG1的SQL Server的Azure Active Directory设置中，指定一个拥有足够权限创建AD用户的Azure AD用户/组作为SQL管理员

• 步骤4：在RG2的Pipeline中执行SQL命令创建用户
  用Azure SQL Database任务或Azure CLI任务，连接到RG1的SQL Server，执行创建用户的SQL。首先通过RG2的服务连接获取App Service的对象ID：

  APP_SERVICE_ID=$(az webapp show --name "你的App Service名称" --resource-group RG2 --query "identity.principalId" -o tsv)
  

  然后执行SQL创建用户并授权：

  CREATE USER [$APP_SERVICE_ID] FROM EXTERNAL PROVIDER;
  ALTER ROLE db_datareader ADD MEMBER [$APP_SERVICE_ID]; -- 按需添加所需权限
  

方案2：使用跨资源组的通用服务连接 #

如果权限允许，创建一个能同时访问RG1和RG2的服务连接：

• 在Azure DevOps中创建新的Azure Resource Manager服务连接，范围选择订阅级别（或同时包含RG1和RG2的资源组范围）
• 给这个服务连接对应的服务主体，在RG1和RG2中分别分配必要权限（比如RG2的App Service读取权限、RG1的SQL Server操作权限）
• 在RG2的Pipeline中使用这个通用服务连接，先获取App Service的对象ID，再连接到RG1的SQL Server完成用户创建

方案3：通过Azure CLI/PowerShell使用服务主体凭据直接访问 #

如果无法修改现有服务连接的权限，可以在Pipeline中调用RG1服务连接的凭据执行操作：

• 步骤1：添加RG1服务连接的凭据作为Pipeline秘密变量
  将RG1服务连接的服务主体ID、密钥、租户ID，以秘密变量的形式添加到Pipeline中

• 步骤2：用Azure CLI登录到RG1的服务主体

  az login --service-principal -u $RG1_SP_ID -p $RG1_SP_SECRET --tenant $RG1_TENANT_ID
  

• 步骤3：获取App Service对象ID并创建SQL用户
  先通过RG2的服务连接获取App Service对象ID，再用已登录的RG1服务主体执行sqlcmd命令：

  APP_SERVICE_ID=$(az webapp show --name "你的App Service名称" --resource-group RG2 --query "identity.principalId" -o tsv)
  sqlcmd -S "你的SQL Server名称.database.windows.net" -d "你的数据库名称" -U "你的SQL AD管理员用户名" -P "$ADMIN_PASSWORD" -Q "CREATE USER [$APP_SERVICE_ID] FROM EXTERNAL PROVIDER; ALTER ROLE db_datareader ADD MEMBER [$APP_SERVICE_ID];"
  

  注意：SQL AD管理员的密码需要作为秘密变量存储，避免明文暴露

方案4：预创建App Service托管身份用户（无需Pipeline操作） #

如果你的App Service已启用系统托管身份，可以直接在RG1的SQL Server中预创建该身份的用户，跳过Pipeline中的创建步骤：

• 在Azure门户中，找到RG2的App Service，复制其托管身份对象ID
• 在RG1的SQL Server对应的数据库中，执行SQL创建用户并授权：

  CREATE USER [App Service托管身份对象ID] FROM EXTERNAL PROVIDER;
  ALTER ROLE db_datareader ADD MEMBER [App Service托管身份对象ID];
  

  之后App Service即可通过托管身份直接连接SQL Server，无需在Pipeline中重复操作

推荐优先考虑方案1或方案2，它们更符合DevOps的权限最小化原则，也更易于长期维护。

内容的提问来源于stack exchange，提问作者amit