Azure AD认证Azure SQL Database连接Web API失败排查求助

看起来你已经完成了基础配置，但还是遇到连接问题，咱们一步步排查可能的遗漏点：

• 确认Web API的连接字符串配置正确
  确保你用的是Azure AD认证模式的连接字符串，而非传统的SQL账号密码。比如：

  Server=tcp:<your-server-name>.database.windows.net,1433;Database=<your-db-name>;Authentication=Active Directory Default;Encrypt=True;
  

  如果Web API使用托管身份，Authentication=Active Directory Managed Identity会更适配。注意不要混用传统认证字段（如User ID/Password）和AD认证模式。

• 考虑AD组到SQL的同步延迟
  Azure AD组的成员变更同步到Azure SQL可能需要15-30分钟，尤其是首次创建外部用户后。如果你刚完成配置，不妨先等待一段时间再测试。

• 补全数据库用户的权限配置
  你已经创建了外部用户[dbusers]，但还需要给这个用户分配必要的数据库权限。至少要确保它拥有连接权限：

  GRANT CONNECT TO [dbusers];
  

  根据业务需求，还可以添加更具体的权限，比如：

  ALTER ROLE db_datareader ADD MEMBER [dbusers];
  ALTER ROLE db_datawriter ADD MEMBER [dbusers];
  

• 确认Web API的运行身份在AD组内
  这里容易混淆：如果Web API是用自身身份（比如Azure托管身份）连接SQL，那么这个托管身份需要被加入dbusers组，而非仅将AD管理员加入组。AD管理员拥有SQL最高权限，但Web API的运行身份才是实际访问数据库的主体。

• 检查令牌的受众（Audience）是否正确
  Web API获取的Azure AD令牌必须以SQL Database的资源ID为受众，也就是https://database.windows.net/。如果令牌的aud字段不对，SQL会直接拒绝连接。你可以用工具解码令牌来验证这一点。

• 验证SQL Server防火墙设置
  确保Web API的IP地址（或Azure服务）被允许访问SQL Server：

  • 若Web API部署在Azure上，开启SQL Server防火墙的“允许Azure服务和资源访问此服务器”选项。
  • 若为本地测试，将你的本地IP添加到SQL防火墙规则中。

• 手动验证外部用户状态
  用AD管理员身份通过SSMS或Azure CLI登录数据库，运行以下语句确认dbusers用户存在且类型正确：

  SELECT name, type_desc, authentication_type_desc 
  FROM sys.database_principals 
  WHERE name = 'dbusers';
  

  结果应显示type_desc = EXTERNAL_GROUP，authentication_type_desc = EXTERNAL。

内容的提问来源于stack exchange，提问作者Jakub Holovsky