SQLPACKAGE使用通用身份验证部署DACPAC文件

Question

我有一个 Azure DevOps YAML 管道，当前正在使用 SQLPackage.exe 部署我的 Azure SQL 数据库，并使用相当标准的命令进行 SQL 身份验证：

SqlPackage.exe /Action:Publish /SourceFile:"mydb01.dacpac" /TargetServerName:"mysqlserver.database.windows.net" /TargetDatabaseName:"mydb01" /TargetUser:"sqladmin" /TargetPassword:"mypwd" 

我现在想要创建可以与 SSMS 中的“Azure Active Directory - Universal with MFA”选项连接的数据库用户。为此，已在 Azure AD 中创建了一个服务帐户，并在 Azure 门户中的 Azure SQL Server 配置下分配为“Azure Active Directory 管理员”。

SQL 数据库项目具有使用此命令创建的用户：

CREATE USER [[email protected]]
FROM EXTERNAL PROVIDER 
WITH DEFAULT_SCHEMA = dbo;

ALTER ROLE db_datareader ADD MEMBER [[email protected]]

使用先前的命令部署 .dacpac 文件会导致此错误，这是可以理解的：

无法创建主体“[电子邮件受保护]”。仅有的 使用 Active Directory 帐户建立的连接可以创建 其他 Active Directory 用户

如果我从笔记本电脑本地使用此命令来部署数据库：

SqlPackage.exe /Action:Publish /SourceFile:"mydb01.dacpac" /TargetServerName:"mysqlserver.database.windows.net" /TargetDatabaseName:"mydb01" /ua:True /tid:mydomain.onmicrosoft.com

将显示一个交互式弹出窗口，我现在在其中输入此 Azure SQL Server 的 AAD 管理员的凭据，部署工作正常，之后域用户“User01”可以使用带有 MFA 的通用身份验证连接到数据库。

现在真正的问题是如何避免此交互式弹出窗口，因为我希望自动执行此操作而无需输入凭据？我想使用 AAD 集成在我的 Azure DevOps YAML 管道中自动执行数据库部署。

Answer 1

您必须设置名为 Azure DevOps 中的服务连接，并为其授予读取和写入数据库所需的权限。创建服务连接后，它将出现在“Azure 订阅”下拉列表中，当您单击 YAML 中的“设置”位时，该下拉列表会出现：

需要 db_owner 权限数据库和读者权限在广告上。您可能需要 AD 管理员的一些帮助。这将避免以下错误：

Server identity does not have Azure Active Directory Readers permission

一个简单的示例：

  - task: SqlAzureDacpacDeployment@1
    displayName: 'Deploy dacpac to dedicated SQL Pool'
    inputs:
      azureSubscription: 'some_service_connection'
      AuthenticationType: 'servicePrincipal'
      ServerName: 'someServer'
      DatabaseName: 'someDatabase'
      deployType: 'DacpacTask'
      DeploymentAction: 'Publish'
      DacpacFile: 'C:\a\1\...someDacpac.dacpac'
      IpDetectionMethod: 'AutoDetect'

  dependsOn: Build

我们必须等待才能进行此设置，尤其是 AAD 位，所以我很早就将 AAD 安全性与数据库项目分离，并将其作为每个环境的一次性手动部署作为解决方法。