ADF管道从本地SQL插入数据至Azure SQL数据库失败

问题背景 #

• 业务需求：使用Azure Data Factory管道将本地SQL Server数据库数据迁移至Azure SQL数据库
• 已完成配置：
  • 为本地SQL Server创建自承载集成运行时对应的链接服务
  • 为ADF账号授予Azure SQL数据库的托管标识访问权限
• 现有链接服务配置：

IR Configuration: Azure Managed Virtual Runtime
已验证认证方式：SQL身份验证、系统分配托管标识

• 已确认正常的能力：链接服务测试连接成功，可单独对Azure SQL Server执行select查询操作
• 异常表现：运行管道执行数据插入操作时抛出连接失败错误，错误详情如下：

ErrorCode=SqlFailedToConnect
顶层异常：Microsoft.DataTransfer.Common.Shared.HybridDeliveryException
提示信息：无法连接到SQL Database: '', Database: '', User: ''。请检查链接服务配置是否正确，确保SQL数据库防火墙允许集成运行时访问。
异常来源：Microsoft.DataTransfer.ClientLibrary
底层异常：System.Data.SqlClient.SqlException
错误信息：无法打开登录请求的服务器""，登录失败。
错误属性：SqlErrorNumber=40532, Class=14, ErrorCode=-2146232060, State=1

根因排查与修复方案 #

读操作正常、仅写操作触发登录失败，优先从权限匹配、运行时网络差异、活动配置覆盖三个方向排查：

• 校验托管标识/ SQL账号的库级写入权限
  链接服务测试、单表select操作仅校验服务器连通性与读取权限，写入操作需要额外的目标库权限，ADF拷贝默认走批量插入逻辑，需要的权限比普通insert更高：
  • 用Azure SQL的AAD管理员或具备权限的账号登录目标数据库，执行以下SQL完成赋权：

  -- 托管标识认证场景：替换为你的ADF实例名称
  CREATE USER [<你的ADF实例名>] FROM EXTERNAL PROVIDER;
  ALTER ROLE db_datareader ADD MEMBER [<你的ADF实例名>];
  ALTER ROLE db_datawriter ADD MEMBER [<你的ADF实例名>];
  -- 批量插入操作需要额外授予以下权限
  GRANT ADMINISTER DATABASE BULK OPERATIONS TO [<你的ADF实例名>];
  
  -- SQL身份验证场景：替换为你使用的SQL登录名
  CREATE USER [<你的SQL登录账号名>] FROM LOGIN [<你的SQL登录账号名>];
  ALTER ROLE db_datareader ADD MEMBER [<你的SQL登录账号名>];
  ALTER ROLE db_datawriter ADD MEMBER [<你的SQL登录账号名>];
  GRANT ADMINISTER DATABASE BULK OPERATIONS TO [<你的SQL登录账号名>];
  

• 校验托管VNet IR的网络白名单配置
  门户上的链接服务测试走ADF平台侧的网络，管道实际运行时走Azure Managed VNet IR的独立出站IP，二者IP段不重合会导致测试通、运行失败：
  • 找到当前使用的托管VNet IR所在区域对应的出站IP段，全部加入Azure SQL数据库的防火墙允许列表
  • 确认Azure SQL逻辑服务器的「允许Azure服务和资源访问此服务器」开关为开启状态
• 校验链接服务与活动配置的准确性
  40532错误的常见诱因是连接目标不匹配：
  • 确认链接服务中填写的Azure SQL Server地址为完整格式：<你的SQL逻辑服务器名>.database.windows.net，无拼写遗漏
  • 确认链接服务中配置的目标数据库名称准确，无拼写错误
  • 打开管道中的拷贝/写入活动，检查sink端关联的链接服务是否为测试通过的实例；如果使用参数化动态配置，调试时输出运行时实际传入的服务器名、库名、认证参数，确认与测试配置完全一致，避免活动层配置覆盖链接服务默认值。
• SQL身份验证场景额外校验项
  • 确认使用的SQL登录账号未开启登录IP限制、密码未过期
  • 确认该账号未被设置为仅允许特定库访问，且对应目标库的用户映射未损坏。

内容的提问来源于stack exchange，提问作者Rahul