Azure MSI登录失败：App Service通过MSI令牌连接数据库报错排查

嘿，我来帮你捋捋这个问题！结合你提供的信息——系统分配MSI已经成功创建，Kudu里也能看到MSI_ENDPOINT和MSI_SECRET配置，咱们一步步排查可能的原因：

1. 先确认数据库有没有给MSI开登录权限 #

MSI创建成功只是第一步，数据库这边得把这个服务主体加进去才行。你可以这么操作：

• 登录Azure SQL数据库的查询编辑器，或者用SSMS连接到数据库
• 把下面的SQL里的{你的MSI principalId}替换成你输出里的98f2c1f2-0a86-4ff1-92db-d43ec0edxxxx，然后执行：

CREATE USER [AppService-MSI] FROM EXTERNAL PROVIDER;
-- 给基础的读写权限，根据你的需求调整角色
ALTER ROLE db_datareader ADD MEMBER [AppService-MSI];
ALTER ROLE db_datawriter ADD MEMBER [AppService-MSI];

生产环境记得遵循最小权限原则，别随便给db_owner哈。

2. 检查连接字符串是不是用对了MSI格式 #

别用传统的用户名密码连接字符串，得指定用MSI认证才行。正确的连接字符串应该长这样：

Server=tcp:{你的数据库服务器名}.database.windows.net,1433;Initial Catalog={你的数据库名};Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;Authentication=Active Directory Managed Identity

重点是最后那个Authentication=Active Directory Managed Identity参数，没它驱动就不会用MSI令牌去连接。

3. 测试下MSI能不能正常拿到令牌 #

咱们在Kudu里直接测一把，看看MSI服务能不能返回有效的数据库访问令牌：

• 打开Kudu的CMD控制台
• 执行这条命令：

curl "%MSI_ENDPOINT%?resource=https://database.windows.net/&api-version=2017-09-01" -H "Secret: %MSI_SECRET%"

如果返回的JSON里有access_token字段，说明MSI没问题；要是返回错误，那可能是App Service的MSI配置没生效，试试重启App Service。

4. 确认App Service的MSI状态有没有问题 #

虽然你已经看到输出说创建成功，但偶尔会有延迟或者配置没同步的情况：

• 去Azure门户的App Service页面，点「身份」选项卡，确认系统分配的身份是「开启」状态
• 手动重启一次App Service，让MSI的配置完全生效

5. 检查数据库的防火墙是不是挡住了 #

最后别忘了防火墙的问题：

• 去Azure SQL服务器的「防火墙和虚拟网络」设置里，看看有没有添加App Service的出站IP，或者开了「允许Azure服务和资源访问此服务器」的选项
• 如果用了虚拟网络集成，还要确认虚拟网络的路由和防火墙规则允许App Service访问数据库

内容的提问来源于stack exchange，提问作者user9314395