VS2017 VB.net Winforms应用：Azure SQL数据库认证方式选型咨询

针对你用VS2017 VB.NET开发WinForms应用，给每个客户独立Azure SQL数据库的场景，咱们来拆解下SQL认证和Azure AD认证的适配性，帮你做决策：

当前SQL Contained User方案的优势（完美贴合你的核心需求） #

• 完全适配通用型应用的要求：不管客户用什么操作系统、有没有自己的域，只要输入你分配的SQL账号密码就能登录，不需要依赖任何外部身份系统，完美覆盖你未知的客户环境
• 管理逻辑简单直接：每个客户的账号完全隔离在自己的数据库里，你作为服务器管理员不用操心客户的身份生命周期——备份只针对单个数据库，客户流失时删库就连带清理了对应的contained user，完全符合你的管理需求
• 实现成本低：你已经在用连接字符串生成器，contained user的创建、授权流程成熟，不需要额外的代码改造或服务依赖

Azure AD认证的限制（对你场景的不适用点） #

• 虽然安全性更高（支持MFA、企业域集成等），但它的前提是客户身份必须存在于Azure AD中：要么是你自己Azure AD里创建的用户，要么是客户的AD和你的Azure AD做了联邦
• 如果客户没有自己的AD，你得在你的租户里给每个客户创建AD用户，这会额外增加你的管理成本：要处理账号创建、密码重置、客户流失时的AD账号删除（不能只删库）
• 跨OS、无域的客户登录体验并没有本质提升：他们还是要输入凭据，但你需要额外集成MSAL库来实现AD认证的代码逻辑，改造量比SQL认证大

最终建议 #

• 如果你的核心需求是通用、低管理成本、适配所有客户环境，当前的SQL Contained User方案是更合适的选择，完全能满足你的备份、隔离、简单登录的需求
• 要是未来有企业客户要求用自身AD身份登录，可以考虑做双认证支持：普通客户用SQL认证，企业客户提供AD认证选项
• 想提升SQL认证的安全性，不用依赖AD也能做到：比如强制开启Azure SQL的SSL连接、设置复杂密码策略、定期提醒客户轮换密码，这些都能有效提升安全性

内容的提问来源于stack exchange，提问作者pills101