Azure Synapse数据库用户登录遇Blob存储错误及Azure用户登录失败求助

一、数据库用户访问Blob存储失败（错误13807） #

核心原因 #

Synapse无服务器访问Blob存储需同时满足Blob存储侧的身份权限和Synapse内部的对象权限，仅给数据库用户授予SELECT权限不足以读取Blob路径内容，尤其是Delta Lake格式的表需要访问_delta_log目录的权限。

解决步骤 #

1. 配置Blob存储IAM权限

   • 找到Synapse工作区的系统分配托管标识，在Azure Blob存储的curated/macro/infodb容器（或父容器）的IAM设置中，添加该托管标识为存储Blob数据读取者角色，确保权限覆盖目标路径及_delta_log子目录。
   • 若使用SAS密钥认证外部数据源，确认SAS权限包含List和Read，有效期未过期，且资源范围覆盖目标Blob路径。

2. 修正Synapse内部权限配置

   • 修正GRANT语句的语法错误，指定具体对象授权：

     -- 给单个视图授权
     GRANT SELECT ON OBJECT::dbo.target_view TO [your_user];
     -- 给整个schema下的对象授权
     GRANT SELECT ON SCHEMA::dbo TO [your_user];
     

   • 检查外部表/视图的数据源配置，确保使用的凭据权限有效：

     -- 基于Synapse托管标识创建数据库范围凭据
     CREATE DATABASE SCOPED CREDENTIAL SynapseManagedIdentity
     WITH IDENTITY = 'Managed Identity';
     
     -- 创建指向Blob存储的外部数据源
     CREATE EXTERNAL DATA SOURCE BlobStorage
     WITH (
         LOCATION = 'https://azuresystem.dfs.core.windows.net/curated/macro/infodb',
         CREDENTIAL = SynapseManagedIdentity
     );
     

3. 验证视图依赖关系
   确认无法访问的视图是否基于未配置权限的外部表，排查底层对象的数据源权限是否完整。

二、跨租户Azure用户登录失败（错误40532） #

核心原因 #

Azure函数与Synapse分属不同租户，常规Azure AD用户默认无法跨租户直接登录Synapse，且可能存在连接字符串配置错误。

解决步骤 #

1. 修正连接字符串配置
   确认连接字符串中的服务器名称为Synapse无服务器终结点（格式为{workspace-name}-ondemand.sql.azuresynapse.net），勿将用户域名mydomain.com作为服务器名。

2. 使用跨租户兼容的身份认证方式

   • 推荐：托管标识/服务主体认证
     1. 在Synapse所在租户中，为Azure函数的系统分配托管标识创建AD用户：

        CREATE USER [function-managed-identity-name] FROM EXTERNAL PROVIDER;
        

     2. 给该用户授予Synapse数据库的SELECT权限，并在Blob存储IAM中添加该托管标识为存储Blob数据读取者。
   • 若需使用用户账号
     1. 在Synapse所在租户的Azure AD中，添加email@mydomain.com作为外部用户。
     2. 在Synapse中创建该用户的登录及权限：

        CREATE LOGIN [email@mydomain.com] FROM EXTERNAL PROVIDER;
        CREATE USER [email@mydomain.com] FROM EXTERNAL PROVIDER;
        GRANT SELECT ON SCHEMA::dbo TO [email@mydomain.com];
        

     3. 在Synapse工作区权限设置中，将该用户添加为Synapse SQL管理员或SQL用户角色，允许外部租户用户访问。

内容的提问来源于stack exchange，提问作者Santiago Pérez