如何为远程开发者提供Azure SQL Server访问权限且无需频繁更新IP白名单

以下是按优先级从高到低排列的可落地方案：

方案1：启用Azure AD身份验证（最推荐） #

完全不需要依赖IP白名单规则，通过身份鉴权控制访问权限，是当前最优解：

• 首先在你的Azure数据库实例配置页，设置Azure AD管理员账号
• 为每个开发者的Azure AD账号/AD组分配数据库级别的最小权限（仅开放必要的库、表读写权限即可）
• 开发者连接数据库时，选择Azure Active Directory认证方式（支持SSO、MFA等校验逻辑），无需输入数据库账密，也不需要将本地公网IP加入白名单即可正常连接
• 目前所有主流数据库连接工具、编程语言的Azure数据库驱动均支持该认证模式

方案2：配置点到站点(P2S) VPN #

适合需要同时访问Azure内部多个资源的团队场景：

• 将Azure数据库配置为允许对应虚拟网络(VNet)内的资源访问，关闭公网访问入口或仅保留极小范围的公网白名单
• 开发者本地设备安装VPN客户端，访问Azure资源前先连接P2S VPN，所有数据库访问流量走Azure内网链路，无需配置公网IP白名单

方案3：自动脚本批量更新白名单（临时过渡方案） #

如果前两种方案暂时无法落地，可以用自动化脚本替代手动操作，将更新流程压缩到1秒内完成：

• 为开发者配置Azure自定义角色，仅开放对应数据库服务器的防火墙规则编辑权限，不授予其他资源操作权限
• 开发者本地安装Azure CLI，执行以下命令即可自动抓取当前公网IP并添加到白名单：

# 先登录Azure账号
az login
# 自动添加当前公网IP到白名单
az sql server firewall-rule create \
  --resource-group <替换为你的资源组名称> \
  --server <替换为你的Azure SQL服务器名称> \
  --name "dev-local-$(whoami)-$(date +%Y%m%d%H%M)" \
  --start-ip-address $(curl -s ifconfig.me) \
  --end-ip-address $(curl -s ifconfig.me)

• 也可以将上述逻辑封装为可执行脚本，开发者双击即可运行，无需手动修改参数

内容的提问来源于stack exchange，提问作者Balu.cc