基于令牌的数据库认证失败：‘NT AUTHORITY\ANONYMOUS LOGON’登录失败

我之前也踩过这个令牌认证的坑，AD密码能正常连但令牌不行，这个匿名登录错误其实指向了几个核心的配置或权限问题，咱们一步步拆解：

核心原因分析 #

这个错误本质是你的令牌没有被Azure SQL正确映射到合法的数据库用户，或者令牌本身的属性、连接配置有问题，导致SQL无法识别你的身份，退回到匿名登录。

逐一排查解决方案 #

1. 确保Azure SQL中存在服务主体对应的数据库用户 #

你用证书获取的令牌是属于clientId对应的服务主体（不是AD用户账户），所以必须在目标SQL数据库中创建这个服务主体的用户：

-- 在目标数据库中执行
CREATE USER [你的ClientId] FROM EXTERNAL PROVIDER;
GRANT CONNECT SQL TO [你的ClientId];
-- 如果需要读写权限，再加对应的角色
ALTER ROLE db_datareader ADD MEMBER [你的ClientId];
ALTER ROLE db_datawriter ADD MEMBER [你的ClientId];

注意：这里的[你的ClientId]就是你代码里的clientId值，直接用字符串即可，不需要加引号。

2. 检查令牌的Scope和Audience是否正确 #

你的GetAccessToken方法里，获取令牌的Scope必须是https://database.windows.net/.default（带.default后缀），而不是单纯的resource值。如果Scope不对，令牌的aud（受众）字段会不匹配，导致SQL拒绝识别。补全你的方法：

static async Task<string> GetAccessToken()
{
    var certificateSDN = "redacted";
    var tenantId = "redacted";
    var clientId = "redacted";
    var resource = "https://database.windows.net";

    X509Certificate2 certificate;
    using (var certificateStore = new X509Store(StoreName.My, StoreLocation.CurrentUser))
    {
        certificateStore.Open(OpenFlags.ReadOnly);
        var certificates = certificateStore.Certificates.Find(
            X509FindType.FindBySubjectDistinguishedName, 
            certificateSDN, 
            validOnly: true);
        if (certificates.Count == 0)
            throw new InvalidOperationException("未找到指定证书");
        certificate = certificates[0];
    }

    var app = ConfidentialClientApplicationBuilder
        .Create(clientId)
        .WithTenantId(tenantId)
        .WithCertificate(certificate)
        .Build();

    // 关键：Scope必须是 {resource}/.default
    var result = await app.AcquireTokenForClient(new[] { $"{resource}/.default" })
        .ExecuteAsync();

    // 可以用JWT解析工具检查令牌的aud字段是否为https://database.windows.net
    return result.AccessToken;
}

3. 修正数据库连接配置 #

确保你的连接字符串没有启用Windows集成认证，并且正确设置AccessToken：

// 连接字符串不要包含 Integrated Security=True
var connString = "Server=tcp:your-server.database.windows.net,1433;Database=your-db;";
using (var conn = new SqlConnection(connString))
{
    conn.AccessToken = await GetAccessToken();
    await conn.OpenAsync();
    // 执行数据库操作
}

如果连接字符串里有Integrated Security=True，会优先尝试Windows身份认证，而你的应用程序身份可能没有权限，就会触发匿名登录错误。

4. 检查证书的访问权限 #

如果你的应用程序是在Windows服务、IIS应用池下运行，要确保运行账户有读取证书私钥的权限：

• 打开证书管理器（certmgr.msc），找到目标证书
• 右键→所有任务→管理私钥
• 添加应用程序的运行账户（比如IIS AppPool\YourPoolName，或者Local System），给予“读取”权限

另外，如果是服务账户运行，建议把证书从Current User\My store移到Local Machine\My store，避免用户上下文的问题。

5. 验证服务主体的Azure权限 #

确保你的服务主体（clientId对应的）有Azure SQL Database Contributor角色（或者至少对目标SQL服务器的Microsoft.Sql/servers/databases/connect/action权限），可以在Azure Portal的SQL服务器→访问控制（IAM）里添加这个角色。

总结排查顺序 #

1. 用JWT工具解析令牌，确认aud是https://database.windows.net，scope包含https://database.windows.net/.default
2. 在SQL数据库中检查是否存在服务主体用户，并且有CONNECT权限
3. 检查连接字符串是否正确，没有启用集成认证，且正确设置了AccessToken
4. 验证证书的私钥访问权限和存储位置
5. 确认服务主体在Azure IAM中有足够的权限

内容的提问来源于stack exchange，提问作者user247702