Azure SQL Database创建外部数据源时遭遇权限问题求助

嘿，我碰到过好几次类似的权限坑——虽然你是资源所有者，顶层权限拉满，但创建外部数据源需要SQL数据库层面和Blob存储层面的双重配置，差一步都可能报错。下面是我总结的排查和解决步骤：

1. 先把Blob存储的权限配置捋清楚 #

• 首先检查存储账户的防火墙设置：进入存储账户的「防火墙和虚拟网络」页面，确认已经勾选了「允许受信任的Azure服务访问此存储账户」。如果用了私有端点，得确保SQL数据库所在的虚拟网络能访问到存储的私有端点。
• 容器权限分两种情况：
  • 用SAS令牌的话：必须包含Read和List权限，而且有效期要覆盖当前时间，重点注意不要带令牌开头的?符号，很多人栽在这里。
  • 用托管标识的话：给SQL数据库的系统/用户托管标识分配存储Blob数据读取者角色（划重点：是这个数据角色，不是普通的「读者」角色，普通读者没Blob数据的访问权限）。分配路径是存储账户的「访问控制(IAM)」→ 添加角色分配→ 选「存储Blob数据读取者」→ 成员类型选「托管标识」→ 找到你的SQL数据库标识。

2. 确认SQL外部数据源的语法是否正确 #

两种常用的认证方式，别写错了：

方式一：SAS令牌认证 #

-- 先创建数据库范围凭据
CREATE DATABASE SCOPED CREDENTIAL MyBlobCredential
WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
SECRET = '<你的SAS令牌（去掉开头的?）>';

-- 再创建外部数据源
CREATE EXTERNAL DATA SOURCE MyBlobStorage
WITH (
    TYPE = BLOB_STORAGE,
    LOCATION = 'https://<你的存储账户名>.blob.core.windows.net/<容器名>',
    CREDENTIAL = MyBlobCredential
);

方式二：托管标识认证 #

-- 创建托管标识凭据
CREATE DATABASE SCOPED CREDENTIAL MyManagedIdentityCredential
WITH IDENTITY = 'Managed Identity';

-- 创建外部数据源
CREATE EXTERNAL DATA SOURCE MyBlobStorage
WITH (
    TYPE = BLOB_STORAGE,
    LOCATION = 'https://<你的存储账户名>.blob.core.windows.net/<容器名>',
    CREDENTIAL = MyManagedIdentityCredential
);

3. 检查SQL数据库内的权限 #

虽然你是资源所有者，但要确认执行创建操作的SQL账户有CREATE EXTERNAL DATA SOURCE权限，db_owner角色默认是有的，但可以跑个查询确认：

SELECT HAS_PERMS_BY_NAME(NULL, NULL, 'CREATE EXTERNAL DATA SOURCE');

返回1就是有权限，返回0的话执行这句授权：

GRANT CREATE EXTERNAL DATA SOURCE TO <你的SQL登录用户名>;

4. 常见错误的快速排查 #

• 报错「无法验证凭据」：大概率是SAS令牌无效（权限不够、过期、带了?），或者托管标识的角色没分配到位（等个几分钟，Azure角色分配有时候会延迟）。
• 报错「无法访问存储账户」：检查存储防火墙是否限制了SQL的访问，或者虚拟网络 peering 没配置好。
• 跨租户的情况：如果你的SQL和存储不在同一个Azure租户，需要额外配置来宾用户权限，但你是所有者，应该不存在这个问题。

如果还是解决不了，把具体的错误代码和完整错误描述贴出来，比如Msg 46520这类，能更快定位问题。

内容的提问来源于stack exchange，提问作者Cam