Synapse Integrate管道触发Azure Data Share缺授权头如何获取令牌

在Synapse Integrate管道中配置Web活动触发Azure Data Share，发起POST请求时系统返回授权头缺失错误，报错参考如下：

调用Azure Data Share的管控类REST API必须携带合法的Azure AD Bearer授权令牌，未配置Authorization请求头、令牌无效、令牌权限不足都会触发该错误。

步骤1：创建有权限的服务主体 #

• 进入Azure Active Directory，注册新的服务主体，记录三个核心参数：租户ID、客户端ID、客户端密钥
• 定位到目标Azure Data Share资源，打开访问控制(IAM)，给刚才创建的服务主体分配Data Share 参与者角色，分配完成后等待3-5分钟让权限生效

步骤2：在管道中动态获取授权令牌 #

不要手动填写固定令牌，令牌默认有效期1小时，长期运行的管道会因为令牌过期报错，必须动态获取：

• 在触发Data Share的Web活动之前，新增一个Web活动专门用来拉取授权令牌，配置参数如下：
  • 请求方法：POST
  • 请求URL：https://login.microsoftonline.com/<替换为你的租户ID>/oauth2/token
  • 请求头：Content-Type: application/x-www-form-urlencoded
  • 请求正文：grant_type=client_credentials&client_id=<替换为服务主体客户端ID>&client_secret=<替换为服务主体客户端密钥>&resource=https://management.azure.com/
• 该活动执行成功后，返回结果的access_token字段就是可用的授权令牌

步骤3：给触发Data Share的Web活动配置授权头 #

• 打开原有触发Data Share的Web活动配置页，找到请求头配置区域，新增Authorization头
• 头的值填写为：Bearer @{activity('<替换为上一步获取令牌的Web活动名称>').output.access_token}
• 确认调用Data Share的POST请求URL格式符合Azure管控API规范，通用格式参考：
  https://management.azure.com/subscriptions/<订阅ID>/resourceGroups/<资源组名>/providers/Microsoft.DataShare/accounts/<DataShare账号名>/shareSubscriptions/<共享订阅名>/<触发的操作名，例如runSynchronization>?api-version=2021-08-01

• 获取令牌时的resource参数必须填https://management.azure.com/，不要填成Data Share的资源地址，否则签发的令牌无法被管控API识别
• 若配置完成后仍报权限不足，回到Data Share的IAM页面检查服务主体角色分配是否正确，是否存在资源范围配错的问题
• 服务主体的客户端密钥不要硬编码在管道配置中，建议存储在Synapse关联的Azure Key Vault中，运行时动态拉取，避免凭据泄露

内容的提问来源于stack exchange，提问作者Dick ter Schiphorst