Azure中能否将两个独立的Azure SQL数据库用户账户关联至同一个托管标识？

答案是——没办法直接给同一个托管标识创建两个独立的Azure SQL数据库用户账户。因为托管标识本质上是Azure AD里的单一安全主体，SQL数据库里用CREATE USER ... FROM EXTERNAL PROVIDER创建用户时，是把一个AD主体（用户、组、托管标识）和SQL用户一一绑定的，同一个主体只能对应一个SQL用户。

不过别发愁，咱们有几个靠谱的办法能帮你实现「同一应用的不同部分使用不同权限」的需求，下面给你拆解得明明白白：

方法一：自定义数据库角色 + 存储过程上下文切换（最推荐） #

这个思路很简单：给托管标识对应的SQL用户默认分配低权限，把需要高权限的操作封装到存储过程里，通过EXECUTE AS让存储过程以高权限身份执行。应用平时用低权限跑普通操作，需要高权限时调用存储过程就行。

具体步骤走一遍：

1. 先创建托管标识对应的SQL用户（这步你应该已经熟了）：

CREATE USER [你的App Service托管标识名称] FROM EXTERNAL PROVIDER;

2. 建两个自定义数据库角色，分别对应高低权限：

-- 低权限角色：比如只给只读权限
CREATE ROLE AppLowPrivRole;
GRANT SELECT ON SCHEMA::dbo TO AppLowPrivRole;

-- 高权限角色：比如给增改数据的权限
CREATE ROLE AppHighPrivRole;
GRANT INSERT, UPDATE ON SCHEMA::dbo TO AppHighPrivRole;

3. 把托管标识的SQL用户加入低权限角色，确保默认操作都是低权限：

ALTER ROLE AppLowPrivRole ADD MEMBER [你的App Service托管标识名称];

4. 建一个高权限的「代理用户」（可以是AD用户也可以是SQL用户，这里用AD用户举例），把它加入高权限角色：

-- 创建高权限代理AD用户
CREATE USER [AppHighPrivProxy] FROM EXTERNAL PROVIDER;
ALTER ROLE AppHighPrivRole ADD MEMBER [AppHighPrivProxy];

5. 写需要高权限的存储过程，用EXECUTE AS切换到代理用户身份执行：

CREATE PROCEDURE dbo.DoHighPrivOperation
    @Param1 INT
AS
BEGIN
    SET NOCOUNT ON;
    -- 切换到高权限代理用户
    EXECUTE AS USER = 'AppHighPrivProxy';
    
    -- 这里写你需要高权限的操作，比如插入数据
    INSERT INTO dbo.YourTable (Column1) VALUES (@Param1);
    
    -- 切回原用户身份
    REVERT;
END;

6. 给托管标识的SQL用户授予执行这个存储过程的权限：

GRANT EXECUTE ON dbo.DoHighPrivOperation TO [你的App Service托管标识名称];

这样一来，普通查询用低权限，需要高权限的操作调用存储过程就搞定，权限分离得清清楚楚。

方法二：用Azure AD组实现权限分组（适合多场景复用） #

如果你的应用要在多个环境或者多个数据库里复用权限规则，用AD组来管理会更方便：

1. 在Azure AD里建两个安全组：AppLowPrivGroup（低权限组）和AppHighPrivGroup（高权限组）
2. 把你的App Service托管标识加入这两个组
3. 在SQL数据库里分别给这两个组创建用户：

CREATE USER [AppLowPrivGroup] FROM EXTERNAL PROVIDER;
CREATE USER [AppHighPrivGroup] FROM EXTERNAL PROVIDER;

4. 给每个组的用户分配对应的权限：

-- 给低权限组只读权限
GRANT SELECT ON SCHEMA::dbo TO [AppLowPrivGroup];
-- 给高权限组增改权限
GRANT INSERT, UPDATE ON SCHEMA::dbo TO [AppHighPrivGroup];

⚠️ 这里要注意：托管标识连接SQL时会自动继承所有所属组的权限，所以如果要实现「部分操作低权限、部分高权限」，还得结合方法一的EXECUTE AS来切换上下文，不然应用会同时拥有两个组的所有权限哦。

方法三：临时权限提升（不推荐，风险高） #

你也可以用DBCC IMPERSONATE LOGON来临时模拟高权限用户，但这个操作需要IMPERSONATE ANY LOGON的服务器级权限，安全风险很高，容易被滥用，所以除非万不得已，千万别用这个办法。

总的来说，虽然不能给同一个托管标识创建两个SQL用户，但通过角色、存储过程或者AD组的组合，完全能实现你要的权限分离需求～

备注：内容来源于stack exchange，提问作者NitramAvfank