在启用MSI的Function App中使用PowerShell无法连接Azure SQL

我来帮你梳理下这个连接问题的排查方向，结合我之前做Azure Function + MSI + SQL的经验，咱们一步步来：

1. 先修正MSI令牌请求的URI格式 #

你代码里的$sqlTokenURI用了&这个HTML转义字符，这在PowerShell里是无效的，应该直接用&。而且正确的令牌请求应该把resource作为查询参数拼在MSI端点后面，完整的请求代码应该是这样：

Write-Output "PowerShell Timer trigger function executed at:$(get-date)"; 

# 获取MSI认证信息
$msiEndpoint = $env:MSI_ENDPOINT
$msiSecret = $env:MSI_SECRET
$tokenUri = "$msiEndpoint?resource=https://database.windows.net&api-version=2017-09-01"

try {
    $authResult = Invoke-RestMethod -Method Get -Headers @{'Secret' = $msiSecret} -Uri $tokenUri
    $accessToken = $authResult.access_token
    Write-Output "Successfully acquired access token"
}
catch {
    Write-Error "Failed to get token: $_"
    throw
}

之前的截断代码（Invoke-RestMethod -Method Get -Headers $header -U...）要确保完整，而且一定要捕获异常，方便看具体错误。

2. 确保正确使用令牌连接SQL #

拿到access_token后，你需要把它赋值给SqlConnection的AccessToken属性，而不是用传统的用户名密码。示例代码如下：

# 构建SQL连接字符串
$sqlConnString = "Server=tcp:<你的SQL服务器名>.database.windows.net,1433;Database=<你的数据库名>;Encrypt=True;TrustServerCertificate=False;Connection Timeout=30;"
$sqlConn = New-Object System.Data.SqlClient.SqlConnection($sqlConnString)
$sqlConn.AccessToken = $accessToken

try {
    $sqlConn.Open()
    Write-Output "Successfully connected to SQL Database"
    # 这里执行你的SQL操作
}
catch {
    Write-Error "SQL connection failed: $_"
}
finally {
    $sqlConn.Close()
    $sqlConn.Dispose()
}

很多时候问题就出在忘记设置AccessToken，或者用了错误的连接方式。

3. 检查MSI的权限配置 #

这是最容易忽略的点：

• 第一步：在Azure Portal的SQL服务器页面，进入「访问控制(IAM)」，给你的Function App的MSI（系统分配或用户分配）添加「SQL DB Contributor」角色，或者更细粒度的权限（比如db_datareader）。
• 第二步：用Azure AD管理员身份登录SQL数据库（比如SSMS），执行以下语句创建MSI对应的数据库用户并授权：

CREATE USER [你的Function App名称] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [你的Function App名称]; -- 根据需求调整权限

如果没有这一步，即使MSI有IAM权限，SQL数据库也不认这个身份。

4. 排查日志找具体错误 #

如果上面的步骤都没问题，就去Function App的「监控」->「日志」里看详细的错误信息：

• 如果是令牌获取失败，可能是MSI端点/密钥环境变量没加载，或者resource参数错误；
• 如果是SQL连接失败，可能是权限没配好，或者服务器防火墙没允许Function App的IP（不过用MSI的话，防火墙可以设置允许Azure服务访问）。

内容的提问来源于stack exchange，提问作者Piroinno