Azure Synapse Serverless SQL池无法连接但Dedicated SQL池可访问问题

问题背景 #

团队测试使用Azure Synapse过程中遇到角色权限相关异常，具体场景如下：

• 账号初始被授予Synapse Contributor角色时，可正常登录工作区浏览资源，但尝试使用内置serverless SQL pool时触发如下报错：

You don't have access to the serverless SQL pool, Built-in. To be granted access, contact a Synapse Administrator for this workspace.

• 异常表现：持有该角色可正常访问新创建的dedicated SQL pool，无连接或权限阻碍。
• 后续管理员为账号分配Synapse SQL Administrator角色后，账号才得以同时正常访问serverless SQL pool与dedicated SQL pool。

出于最小权限原则，团队不希望为所有需使用serverless SQL pool的用户分配管理员角色，提出两点疑问：

1. 该现象是否为产品预期行为？访问serverless SQL pool是否必须分配Synapse SQL Administrator角色？是否存在遗漏的其他角色或配置项？
2. 为何持有Synapse Contributor角色即可访问dedicated SQL pool，却无法访问serverless SQL pool？

问题解答 #

1. 该现象属于产品预期设计，访问内置serverless SQL pool无需强制分配Synapse SQL Administrator角色 #

该问题核心是遗漏了Azure Synapse内置serverless SQL pool的权限分层逻辑：

• Synapse Contributor属于Azure管控平面角色，仅授予工作区资源浏览、服务创建修改等管理类权限，不会自动同步授予数据平面（即SQL连接、数据查询操作）的访问权限。
• 普通用户访问serverless SQL pool不需要分配高权限的Synapse SQL Administrator角色，按最小权限原则可按以下步骤配置：
  • 在工作区Azure RBAC配置页，为对应用户分配Synapse SQL User角色，该角色仅授予SQL端点连接的基础权限，无服务管理权限
  • 由具备SQL管理员权限的账号连接内置serverless SQL pool，通过T-SQL的GRANT语句为用户分配对应粒度的操作权限，例如仅授予指定数据库的SELECT权限即可满足普通查询需求
  • 若用户需要通过serverless SQL pool查询ADLS Gen2存储中的文件，还需单独配置对应存储路径的Blob数据读取/写入权限，该权限与SQL角色体系独立。

2. 两类SQL池的权限初始化逻辑差异是异常表现的核心原因 #

• 用户自行创建的dedicated SQL pool属于独立SQL资源：持有Synapse Contributor角色的用户创建dedicated SQL pool时，系统会自动将创建者添加为该SQL池的db_owner角色成员，因此创建完成后可直接连接访问，无需额外授权。
• 内置serverless SQL pool是工作区部署时默认预置的共享资源，不存在用户自主创建的流程，因此不会自动为Synapse Contributor角色持有者授予任何数据平面访问权限，必须手动完成权限配置才可正常连接，这就是同角色下两类SQL池访问表现不一致的根本原因。

内容的提问来源于stack exchange，提问作者rodneyc8063