如何从Azure DevOps Release pipeline连接本地虚拟机SQL Server

下面是生产环境落地验证过的配置步骤和排障点，按顺序检查基本能解决90%以上的连通失败问题：

1. 先解决网络连通问题（80%的连通失败卡在这一步） #

• 优先方案：不要把本地SQL Server直接暴露到公网，在和SQL Server同内网的机器上安装Azure DevOps Self-hosted Agent，把所有SQL相关的部署任务指定到这个私有Agent池运行，流量全程走内网，不需要开公网端口，安全性和稳定性都远高于公网连接。
• 如果临时要走公网测试连通，必须在两层防火墙放开规则：一是虚拟机本地的Windows Defender/第三方防火墙入站规则放通SQL Server端口（默认1433），二是本地机房/公司网络的出口防火墙放通对应端口的入站流量，同时给SQL Server绑定固定公网IP。
• 不管用哪种网络方案，先在运行Pipeline任务的Agent机器上执行连通性测试：telnet <SQL Server实例IP> 1433，telnet能通再往下查配置，不通就先解决网络路由、防火墙问题，不用浪费时间查账号配置。

2. SQL Server服务端配置校验 #

• 打开SQL Server Configuration Manager，找到SQL Server网络配置-对应实例的TCP/IP协议，确认协议状态为已启用；右键打开TCP/IP属性，切到IP地址页拉到最底部，确认IPAll配置下的TCP端口为固定值（默认1433，自定义端口也建议用静态端口，不要开动态端口），改完配置需要重启SQL Server服务生效。
• 打开SSMS连接本地SQL实例，右键实例选择「属性-安全性」，确认服务器身份验证模式选中的是SQL Server 和 Windows 身份验证模式，如果选了仅Windows身份验证，所有SQL账号的登录请求都会被直接拒绝，改完同样要重启SQL服务。
• 在SSMS的「安全性-登录名」目录下找到你要用来连接的SQL账号，右键打开属性页：
  • 切到「状态」页，确认登录权限为授予、登录状态为已启用
  • 切到「用户映射」页，给这个账号绑定目标部署数据库的对应权限（部署脚本需要库表读写、结构修改权限的话就给对应的db_ddladmin、db_datawriter等角色，按最小权限配置即可，不要一上来就给sysadmin权限）

3. Pipeline侧任务配置注意点 #

• SQL连接串不要写错格式，本地SQL用自签名证书的场景必须加信任证书参数，标准格式参考：

  Data Source=<SQL实例IP>,<端口>;Initial Catalog=<目标数据库名>;User ID=<SQL账号名>;Password=<SQL账号密码>;Encrypt=True;TrustServerCertificate=True
  

  很多人漏加TrustServerCertificate=True，会直接触发SSL证书校验失败，报连不上的错。
• SQL账号密码不要硬写在任务配置或者代码里，存到Azure DevOps的变量组里，把密码字段标记为机密值，任务里直接引用变量即可，避免明文泄露。
• 排查问题时先开调试日志：在Release Pipeline的变量里加一个system.debug变量，值设为true，重跑任务看具体报错信息精准定位：
  • 报连接超时：100%是网络层问题，回头查防火墙、路由、Agent和SQL的连通性
  • 报「登录失败，该用户与可信SQL Server连接无关联」：就是SQL没开混合身份验证模式，回去改配置重启服务
  • 报「用户'xxx'登录失败」：先核对账号密码是否正确，再检查账号是否启用、有没有对应库的访问权限
  • 报证书链不受信任：连接串加TrustServerCertificate=True参数即可

内容的提问来源于stack exchange，提问作者Sankar M