如何使用用户凭据而不是 Web 应用程序对 Azure 数据库进行身份验证

Question

我有一个连接到 azure sql 数据库的 ASP.Net MVC Web 应用程序。我使用我的 AAD 登录在该数据库上设置了一个帐户。当我在本地（本地主机）运行时，Web 应用程序加载正常并且我的凭据已成功通过身份验证，并且我能够查询数据库。当我将应用程序发布到云上的应用程序服务时，我无法在数据库上进行身份验证。

我最初遵循本教程https://docs.microsoft.com/en-us/azure/app-service/app-service-web-tutorial-connect-msi，据我所知，一旦发布，它就会作为应用程序本身进行身份验证（我已通过将应用程序注册到 AAD 并将应用程序 API 登录添加到数据库来证明这一点）

我真正想要的是一种以应用程序用户身份而不是应用程序本身身份验证的方法 - 即我们目前用于我们的本地应用程序的 Azure 版本的 Kerberos

Answer 1

鉴于您已了解 AAD 身份验证在 Azure SQL DB 中的工作原理，并且您已成功配置 MSI 以使用 Azure SQL DB 进行身份验证，因此您需要执行以下操作来验证 个人用户帐户使用 AAD 的 Azure SQL DB。

• 向您的 AAD (https://docs.microsoft.com/en-us/azure/active-directory/develop/quickstart-register-app) 注册应用程序
• 在API Permissions 下再添加一项权限-> Azure SQL 数据库
• 选择Delegated Permissions -> User impersonation
• 在 Azure SQL DB 中创建新的安全组
• 向您的 SQL 数据库实例授予该安全组权限 (https://docs.microsoft.com/en-us/azure/sql-database/sql-database-aad-authentication-configure#create-contained-database-users-in-your-database-mapped-to-azure-ad-identities)
• 还以外部用户身份将应用程序添加到 SQL DB（与添加安全组的方式相同）
• 当您将用户登录到您的应用程序时，请在您的授权请求中使用 resource=https://database.windows.net 请求 Azure SQL DB 的访问令牌。
• 在登录用户的上下文中使用访问令牌访问数据库：https://docs.microsoft.com/en-us/azure/sql-database/sql-database-aad-authentication-configure#azure-ad-token

如果您成功完成所有步骤，您将能够使用 AAD access_token 登录到数据库，并使用已登录用户的安全上下文。 但问题是——你真的想这样做吗？仅当您在数据库中做出数据授权决策时，这才有意义。并在数据库中真正配置用户帐户。