Используйте Azure Powershell Runbook, чтобы добавить пользователя AzureAD как db_owner в базу данных SQL Azure.

Оказывается, есть недокументированный способ сделать это. Обнаружил его с помощью службы поддержки Azure.

Фактически, используемый SQL-запрос:

СОЗДАТЬ ПОЛЬЗОВАТЕЛЯ [[email protected]] С SID = $ hexSid, тип E;

Здесь $hexSid можно получить с помощью следующего SQL-запроса

1. Получите ObjectId пользователя AzureAD

$objectId = (Get-AzureADUser -ObjectId "[email protected]").ObjectId

2. Используйте приведенный ниже SQL, чтобы получить sid

DECLARE @sid = uniqueidentifier = cast ('$ objectId' как uniqueidentifier) ​​select cast (@sid as varbinary (max))

3. В идеале эффективный запрос должен был бы напрямую использовать @sid, но это невозможно, поскольку для With SID требуется жестко закодированное значение. Поэтому мне пришлось обрабатывать вывод sid-запроса отдельно, как показано ниже:

$result = $command.ExecuteScalar() # result is byte array
$hexSid = ($result | ForEach-Object ToString X2) -Join ''  # convert to hex format
$hexSid = "0x$hexSid"

С этими изменениями код, о котором идет речь, работает нормально!

Фактически, мы передаем только objectId пользователя AzureAD в запросе Create User.

в этом сценарии мы должны использовать поток паролей пользователей, чтобы эта команда работала. Пожалуйста, попробуйте PS ниже:

$tenant='<your tenant name/id>'
$username='<SQL admin account>'
$password='<SQL admin password>'
$appid='<app id>'
$appsec='<app secret>'

$SQLServerName = '<azure sql servername>'
$DatabaseName='<db name>'

$body=@{
    "grant_type"="password";
    "resource"="https://database.windows.net/";
    "client_id"=$appid;
    "client_secret"=$appsec;
    "username"=$username;
    "password" = $password;
}
 
$result=Invoke-RestMethod -Uri "https://login.windows.net/$tenant/oauth2/token" -Method POST -Body $body 



$conn = New-Object System.Data.SqlClient.SQLConnection 
$conn.ConnectionString = "Data Source=$SQLServerName.database.windows.net;Initial Catalog=$DatabaseName;Connect Timeout=30"
$conn.AccessToken = $result.access_token

Write-Verbose "Connect to database and execute SQL script"
$conn.Open() 

$query = 'CREATE USER [Account] FROM EXTERNAL PROVIDER;'

$command = New-Object -TypeName System.Data.SqlClient.SqlCommand($query, $conn)     
$Result = $command.ExecuteScalar()
$Result
$conn.Close() 

Перед запуском сценария is необходимо предоставить разрешение доступа к API Azure SQL для имени пользователя для вашего SPN в Azure AD здесь: Предоставьте разрешение после добавлено:

Кстати, пожалуйста, убедитесь, что учетная запись администратора SQL и имя участника-службы являются членами группы администраторов Active Directory: < img src = "https://i.stack.imgur.com/rkx5i.png" alt = "введите описание изображения здесь">

Это работает на моей стороне, и запись была успешно добавлена:

Если что-то неясно, пожалуйста, дайте мне знать :)