Azure AD场景下能否用SQL访问令牌运行efbundle.exe执行数据库迁移

结论：完全支持，仅需根据运行场景做简单适配即可，efbundle.exe本身没有原生直接传入访问令牌的启动参数

• 首先明确efbundle.exe的运行逻辑：它是EF Core工具打包生成的独立迁移可执行文件，运行时复用你代码里配置的DbContext数据库连接逻辑，不会强制要求必须在连接字符串里写死账号密码认证信息，完全兼容Azure AD令牌认证模式。
• 无手动传令牌需求的场景适配（最常用）：如果你是在Azure环境（Azure DevOps流水线、Azure App Service、开启托管标识的Azure VM/容器实例等）运行efbundle，不需要手动提前获取访问令牌，只需要给运行efbundle的身份（系统/用户托管标识、注册的服务主体）分配目标Azure SQL数据库的迁移所需权限（至少需要对__EFMigrationsHistory表、业务表的结构修改权限，常规直接分配db_owner角色即可），然后在连接字符串中加入Authentication=Active Directory Default配置项，efbundle运行时会自动通过Azure Identity组件拉取对应身份的有效访问令牌完成鉴权，全程不需要手动处理令牌。
• 需要手动传入预获取SQL访问令牌的场景适配：如果你需要在非Azure环境、或者需要用提前拿到的指定令牌执行迁移，需要在生成efbundle前修改DbContext的连接配置逻辑：在OnConfiguring方法中增加环境变量判断逻辑，检测到存在预存的访问令牌时，直接给SqlConnection对象的AccessToken属性赋值，之后再正常打包生成efbundle即可。运行efbundle前，把提前获取的、资源范围为https://database.windows.net/的有效SQL访问令牌写入对应环境变量，efbundle运行时就会自动使用这个令牌连接数据库。参考配置代码如下：

protected override void OnConfiguring(DbContextOptionsBuilder optionsBuilder)
{
    var connStr = Environment.GetEnvironmentVariable("TargetDbConnectionString");
    var sqlConnection = new SqlConnection(connStr);
    var manualToken = Environment.GetEnvironmentVariable("ManualSqlAccessToken");
    if (!string.IsNullOrWhiteSpace(manualToken))
    {
        sqlConnection.AccessToken = manualToken;
    }
    optionsBuilder.UseSqlServer(sqlConnection);
}

• 常见注意事项：
  • 手动获取的访问令牌必须是Azure SQL对应的资源令牌，资源标识符不能写错，同时令牌有效期要覆盖整个迁移执行周期，避免执行中途令牌过期报错。
  • 不要尝试把访问令牌直接拼接进数据库连接字符串，SQL Server客户端原生不支持这种传参方式，必须通过SqlConnection对象的AccessToken属性赋值才会生效。
  • 令牌对应的Azure AD身份必须拥有足够的数据库权限，仅分配数据读写权限无法执行表结构修改、迁移历史表写入等迁移操作，会直接抛权限不足错误。
  • 请确保项目引用的是Microsoft.Data.SqlClient驱动，老旧的System.Data.SqlClient不支持Azure AD令牌赋值的相关能力，会出现属性不存在的报错。

内容的提问来源于stack exchange，提问作者Kostas Konstantinidis