如何通过Azure API Management构建API暴露Azure SQL DB表供K8s应用访问

核心最优方案（无代码、全程配置化，1小时内可落地） #

无需开发自定义后端服务，直接通过APIM原生内置能力对接Azure SQL，是时间成本最低的实现路径：

• 为APIM实例开启系统分配托管身份，在Azure SQL侧为该托管身份创建授权账号，授予目标表所需的读写权限，参考SQL命令：

-- 在Azure SQL库中执行，替换<>内的实际资源名
CREATE USER <APIM实例名> FROM EXTERNAL PROVIDER;
GRANT SELECT,INSERT,UPDATE,DELETE ON <目标表名> TO <APIM实例名>;

• 在APIM控制台创建新API，按照业务需求定义请求路径、请求方法（GET/POST/PUT/DELETE）
• 为API配置sql-data-lookup内置后端策略，直接写对应的数据操作SQL语句即可完成请求到SQL操作的映射，参考策略模板：

<policies>
    <inbound>
        <base />
        <sql-data-lookup
            connection-string="Server=tcp:<SQL实例名>.database.windows.net,1433;Database=<SQL库名>;Authentication=Active Directory Managed Identity"
            query="SELECT * FROM <目标表名> WHERE id = @id"
        >
            <parameter name="id" type="Int32" value="@(context.Request.MatchedParameters["id"])" />
        </sql-data-lookup>
        <return-response response-variable-name="sqlResponse" />
    </inbound>
</policies>

• 配置API的限流、访问鉴权规则，为Kubernetes托管的应用分配API订阅密钥，K8s应用直接调用APIM公开端点即可访问SQL表数据。

次选方案（适配复杂操作场景，2小时内可落地） #

如果需要多表关联查询、复杂参数校验、自动生成GraphQL接口等能力，选择Azure Data API Builder(DAB)自动生成SQL的REST/GraphQL接口，再导入到APIM即可，全程仅需编写JSON配置文件定义表操作权限、关联关系，无需编写业务代码。

避坑建议 #

• 不要自行开发.NET/Java/Python等后端服务对接SQL再发布到APIM，会额外增加服务开发、部署、调试、运维的时间成本
• 全程使用托管身份完成APIM到Azure SQL的身份认证，不要在APIM策略、配置文件中硬编码SQL账号密码，避免安全风险
• 若涉及大数据量查询场景，在APIM策略中添加分页参数校验、单次请求返回量限制，避免单请求拉取过量数据影响SQL稳定性

内容的提问来源于stack exchange，提问作者Pirvu Georgian