Azure SQL持有dbmanager/loginmanager角色的账户创建数据库后无法访问

根因说明 #

拥有服务器级dbmanager角色的SQL登录创建数据库后，默认不会自动映射为该数据库的用户，也不会继承任何数据库访问权限，这是SQL Server（含Azure SQL 逻辑实例）的默认安全机制，你遇到的安全主体%user%无法在当前安全上下文下访问该数据库报错，本质就是目标数据库中没有对应该登录的用户，也没有授予访问权限。

临时修复现有问题 #

你需要先使用拥有sysadmin或服务器管理员权限的账户，执行以下SQL操作：

• 在无法访问的目标数据库中，创建映射到你的SQL登录的用户：

USE [你的目标数据库名]
CREATE USER [你的SQL登录名] FOR LOGIN [你的SQL登录名]

• 按需授予该用户数据库权限，如需完整操作权限可以授予db_owner角色：

USE [你的目标数据库名]
ALTER ROLE [db_owner] ADD MEMBER [你的SQL登录名]

如果只需要最小权限，单独授予CONNECT、SELECT、CREATE TABLE等对应权限即可。

适配PowerShell自动化的方案 #

不需要引入高权限账户参与自动化流程，只要在创建数据库的脚本中新增一步授权操作即可：建库完成后，立刻用当前登录的上下文切换到新库执行用户映射和授权，建库完成的瞬间当前会话默认持有新库的所有权，可以正常执行权限操作，会话断开后才会失去访问权限。
参考脚本片段：

# 基础连接配置
$dbServer = "你的SQL实例地址"
$loginName = "你的SQL登录名"
$loginPwd = "你的SQL登录密码"
$newDbName = "要创建的数据库名"

# 第一步：创建数据库
Invoke-Sqlcmd -ServerInstance $dbServer -Username $loginName -Password $loginPwd -Query "CREATE DATABASE [$newDbName]"

# 第二步：立刻对新库执行授权
$authQuery = @"
CREATE USER [$loginName] FOR LOGIN [$loginName];
ALTER ROLE [db_owner] ADD MEMBER [$loginName];
"@
Invoke-Sqlcmd -ServerInstance $dbServer -Database $newDbName -Username $loginName -Password $loginPwd -Query $authQuery

注意事项 #

• 若要批量创建数据库，每次建库后都要执行对应授权操作
• 权限配置可根据实际业务需求调整，不需要过度授予高权限

内容的提问来源于stack exchange，提问作者NoobsCode