如何允许非管理员用户在Azure SQL Database中使用BULK INSERT

我来帮你解决非管理员用户在Azure SQL Database中执行BULK INSERT的权限问题——这个场景我之前处理过好几次，核心就是要给普通用户分配刚好够用的权限，而不是直接赋予管理员权限。

管理员需提前完成的前置配置 #

你提到管理员执行脚本没问题，应该已经完成了这些步骤，但还是完整列出来确保没有遗漏：

-- 1. 确保数据库主密钥存在（若不存在则创建）
IF NOT EXISTS (SELECT * FROM sys.symmetric_keys WHERE name = '##MS_DatabaseMasterKey##')
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<符合复杂度要求的强密码>';

-- 2. 创建数据库范围凭据（使用Blob存储的SAS令牌）
CREATE DATABASE SCOPED CREDENTIAL StorageCredential
WITH IDENTITY = 'SHARED ACCESS SIGNATURE',
SECRET = '<你的Blob存储SAS令牌，注意不要包含开头的?符号>';

-- 3. 创建指向Blob存储容器的外部数据源
CREATE EXTERNAL DATA SOURCE BlobStorageSource
WITH (
    TYPE = BLOB_STORAGE,
    LOCATION = 'https://<你的存储账户名>.blob.core.windows.net/<目标容器名>',
    CREDENTIAL = StorageCredential
);

给非管理员用户分配必要权限 #

普通用户无法继承管理员权限，需要明确授予以下关键权限，请由管理员执行这些脚本：

-- 替换为你的非管理员用户名和目标表名
DECLARE @UserName NVARCHAR(128) = 'NonAdminUser';
DECLARE @TargetTable NVARCHAR(128) = 'YourTargetTable';

-- 1. 授予对目标表的INSERT权限（基础操作权限）
EXEC('GRANT INSERT ON ' + @TargetTable + ' TO ' + @UserName);

-- 2. 授予对数据库范围凭据的REFERENCES权限（必须，用于访问Blob存储的授权信息）
GRANT REFERENCES ON DATABASE SCOPED CREDENTIAL::StorageCredential TO @UserName;

-- 3. 授予对外部数据源的REFERENCES权限（必须，用于使用定义好的Blob数据源）
GRANT REFERENCES ON EXTERNAL DATA SOURCE::BlobStorageSource TO @UserName;

非管理员用户执行BULK INSERT的示例脚本 #

完成权限配置后，非管理员用户就可以运行类似这样的BULK INSERT命令：

BULK INSERT YourTargetTable
FROM '/Blob文件的相对路径，比如data/import_data.csv'
WITH (
    DATA_SOURCE = 'BlobStorageSource', -- 对应管理员创建的外部数据源名称
    FORMAT = 'CSV',
    FIRSTROW = 2, -- 若CSV包含表头则跳过第一行
    FIELDTERMINATOR = ',',
    ROWTERMINATOR = '\n',
    CODEPAGE = '65001' -- 若使用UTF-8编码则添加此参数
);

常见问题排查 #

如果仍报错，优先检查以下几点：

• 确认SAS令牌未过期，且权限包含Read和List（BULK INSERT需要读取Blob和列出容器内容的权限）
• 检查外部数据源的LOCATION是否正确，避免存储账户名、容器名拼写错误
• 确保未给非管理员用户设置任何DENY权限（DENY会覆盖GRANT，导致权限失效）
• 若使用格式文件（FORMATFILE），需确保用户对格式文件所在的Blob路径有访问权限，并同步授予对应凭据权限

内容的提问来源于stack exchange，提问作者Simon Lehmann