Azure AD组内第二位成员无法在Azure SQL数据库中创建Schema问题咨询

问题根因 #

你遇到的问题是Azure SQL针对AAD组登录用户的默认schema解析规则导致的：
当AAD用户仅通过所属AAD组的权限登录数据库，没有单独为该用户创建对应的数据库主体时，Azure SQL处理隐式依赖默认schema的操作（比如不带参数的CREATE SCHEMA）时，会优先尝试匹配「和用户AAD UPN完全同名的schema」作为当前操作的隐式关联schema，只有当该schema不存在时才会回退到所属AAD组设置的default_schema。
user1可以正常执行是因为该用户要么之前被单独创建过数据库主体并设置了正确的默认schema，要么曾经创建过和其UPN同名的schema且拥有对应权限；而user2没有对应的同名schema，也没有单独的数据库主体，所以执行CREATE SCHEMA时会尝试关联不存在的user2@domain.com schema，触发报错。
另外你调试时的疑问也可以明确：角色本身不支持设置default_schema，该属性仅可分配给用户类主体（包括SQL用户、AAD用户、外部组用户），所以查询dbt_user的default_schema返回null是正常行为。

可用解决方案 #

方案1：为组内用户单独创建数据库主体（推荐，长期稳定） #

为所有需要访问数据库的AAD组内成员单独创建外部用户，统一配置默认schema后加入dbt_user角色即可，示例语句：

-- 为user2创建数据库用户
CREATE USER [user2@domain.com] FROM EXTERNAL PROVIDER;
-- 设置默认schema为dbo
ALTER USER [user2@domain.com] SET DEFAULT_SCHEMA = dbo;
-- 加入权限角色
ALTER ROLE dbt_user ADD MEMBER [user2@domain.com];

该方案可以规避所有AAD组登录的默认schema解析异常问题，适合固定团队使用的场景。

方案2：创建schema时显式指定所有者（适合临时操作） #

执行CREATE SCHEMA语句时增加AUTHORIZATION参数，显式指定新schema的所有者，即可绕过默认的UPN schema校验：

CREATE SCHEMA [test_schema_user2] AUTHORIZATION dbo;

该方案不需要修改现有用户权限配置，适合临时创建schema的场景。

内容的提问来源于stack exchange，提问作者Wout