使用AAD标识从应用程序服务连接到Azure SQL

Question

已将本地Web应用程序（. net 4.6.1）迁移到Azure，该应用程序对其用户使用Windows身份验证，然后使用AD集成身份验证连接到MSSQL数据库。

理想情况下，应该保留现有的安全机制，即向AD用户授予对数据库对象的权限，并让DB成为应用程序的安全源。

已创建并配置SQL数据库的副本。

如果我在本地运行web应用程序，但使用新的Azure数据库，则一切正常。

如果我运行此命令，我将获得预期的AD用户：

SELECT CURRENT_USER;

现在，当我将完全相同的应用程序部署到Azure应用程序服务并启用Azure Active Directory身份验证和托管服务标识时，用户在Web应用程序上已正确身份验证，但无法连接到SQL数据库，并返回以下错误：

错误=系统。数据SqlClient。SqlErrorCollection客户端连接ID=e9f0c48a-3159-465c-ab72-c1da99761b8f类=14行号=65536号=18456过程=服务器=XXXXXXXXXX。tr4.canadacentral1-a.worker。数据库窗户。net，11057状态=1源=。Net SqlClient数据提供程序错误代码=-2146232060消息=用户“NT授权\匿名登录”登录失败

如果禁用托管服务标识，则会出现以下错误：

InnerExceptions=系统。收藏。ObjectModel。ReadOnlyCollection“1[系统.异常]消息=发生了一个或多个错误。数据=系统。收藏。ListDictionaryInternalInnerException=Microsoft。蔚蓝色的服务。AppAuthentication。AzureServiceTokenProviderException：参数：连接字符串：[未指定连接字符串]，资源：https://database.windows.net/，权限：。异常消息：尝试了以下4种方法来获取访问令牌，但均无效。参数：连接字符串：[未指定连接字符串]，资源：https://database.windows.net/，权限：。异常消息：尝试使用托管服务标识获取令牌。无法连接到托管服务标识（MSI）终结点。请检查您是否在具有MSI设置的Azure资源上运行。参数：连接字符串：[未指定连接字符串]，资源：https://database.windows.net/，权限：。异常消息：尝试使用Visual Studio获取令牌。无法获取访问令牌。在“D:\local\LocalAppData.IdentityService\AzureServiceAuth\tokenprovider.json”中找不到Visual Studio令牌提供程序文件参数：连接字符串：[未指定连接字符串]，资源：https://database.windows.net/，权限：。异常消息：尝试使用Azure CLI获取令牌。无法获取访问令牌。“az’不被识别为内部或外部命令、可操作程序或批处理文件。参数：连接字符串：[未指定连接字符串]，资源：https://database.windows.net/，授权：https://login.microsoftonline.com/common.异常消息：尝试使用Active Directory集成身份验证获取令牌。无法获取访问令牌。get\u user\u name\u失败：无法获取用户名内部异常：指定域名的格式为Invalidate Microsoft。蔚蓝色的服务。AppAuthentication。AzureServiceTokenProvider。d\u 14。MoveNext（）

这是我想做的吗？如果是，我遗漏了什么？任何想法都将不胜感激。

作为参考，以下是返回SQL连接的方法：

private SqlConnection GetSqlConnection()
{
    var accessToken = new AzureServiceTokenProvider().GetAccessTokenAsync("https://database.windows.net/").Result;

    return new SqlConnection
    {
        ConnectionString = WebConfigurationManager.ConnectionStrings["Default"].ConnectionString,
        AccessToken = accessToken
    };
}

... 这是连接字符串：

  <connectionStrings>
    <add name="Default" connectionString="Data Source=myserver.database.windows.net;Initial Catalog=MyDB;" providerName="System.Data.SqlClient" />
  </connectionStrings>

注意：本地广告已与其Azure广告对应项同步。

Answer 1

部署应用程序后，请将应用程序设置和连接字符串放入Azure上的webapp应用程序设置选项。请参阅本文。

注意：它已从Azure应用程序服务的–应用程序设置刀片服务器中配置的应用程序设置中提取值，但未从Web提取值。配置文件。这样，您可以随时更改这些可配置的值，而无需依赖于开发人员。同样的规则甚至适用于连接字符串。

Answer 2

确保您已在Azure SQL中添加身份用户并授予所需的权限。

CREATE USER [MyAppIdentity] FROM EXTERNAL PROVIDER
GO
ALTER ROLE db_datareader ADD MEMBER [MyAppIdentity];
ALTER ROLE db_datawriter ADD MEMBER [MyAppIdentity];

Answer 3

我认为要解决您的问题，您必须执行以下操作：

• 授予用户作为数据库中的外部供应商的访问权限：（当您选择所有应用程序时，您也可以在AAD中的企业应用程序下找到）。重要的是要确保此时已经创建了该应用服务标识。
  • 对于Web应用程序，它是Web应用程序的名称
  • 如果您使用的是部署插槽，则sql用户名为{应用程序名称}/插槽/{插槽名称}
  • 如果您使用用户托管身份，您还必须使用以下值指定应用设置AzureServicesAuthConnectionString：RunAs=App； AppId={ClientId of标识}
  • 连接字符串可以是这样的：Server=tcp：{server}。database.windows.net，1433；初始目录={Database aseName}；持久安全信息=False；MultipleActiveResultSets=True；加密=True；信任服务器证书=False；身份验证=“活动目录交互”。
    • 这也适用于EntityFramework，但如果您直接在Azure中设置连接字符串，则需要选择Custom而不是SqlAzure作为提供程序。

    <SqlAuthenticationProviders>
       <providers>
          <add name="Active Directory Interactive" type="Microsoft.Azure.Services.AppAuthentication.SqlAppAuthenticationProvider, Microsoft.Azure.Services.AppAuthentication" />
       </providers>
    </SqlAuthenticationProviders>