无法创建使用服务主体映射到Azure AD标识的AzureSQL数据库用户

Question

作为Azure SQL数据库自动化解决方案的一部分，我尝试使用服务主体创建映射到Azure AD标识的Azure SQL数据库用户。

结果是一条错误消息：此时无法找到主体AAD_User_UPN_or_Group_Name。请稍后再试。

可以使用我自己的用户帐户创建数据库用户，操作过程完全相同。

请查看以下详细信息：

• 服务主体是Azure AD安全组的成员

服务主体在AzureSQL数据库中执行以下TSQL语句：

CREATE USER [AAD_User_UPN_or_Group_Name] FROM EXTERNAL PROVIDER;

返回的错误消息是：

Principal 'AAD_User_UPN_or_Group_Name' could not be found at this time. Please try again later.

当我自己的用户帐户触发相同的T-SQL语句时，它将成功运行并创建用户。

非常感谢您的帮助或建议。

Answer 1

我打开了Azure支持的票据，他们给了我这个解决方案。

sql语句需要：

 -- type X for AAD Group
create user [myAADGroupName] with sid = <sid>, type = X;

-- type E for AAD User or Service Principal/MSI
create user [myAADUserName] with sid = <sid>, type = E;

在大多数情况下，sid需要从AAD主体ObjectID生成。但是，对于服务主体/MSI，它需要来自AppId。下面是一个生成sid值的PowerShell脚本：

param (
    [string]$objectIdOrAppId
)

[guid]$guid = [System.Guid]::Parse($objectIdOrAppId)

foreach ($byte in $guid.ToByteArray())
{
    $byteGuid += [System.String]::Format("{0:X2}", $byte)
}

return "0x" + $byteGuid