无法将Azure AD组作为用户添加到Azure SQL数据库中

Question

我想完成以下任务：

1. 将X AD组分配为数据库中的用户
2. 分配权限以完全管理特定于该AD组的数据库

我正在使用以下查询：

SELECT * FROM SYS.DATABASE_PRINCIPALS --> Check/confirm If group exists in the SQL Database

CREATE USER [SQLGroup] FROM EXTERNAL PROVIDER --> Create the group inside the SQL Database

EXEC sp_addrolemember 'db_datareader', 'SQLGroup' --> Provide Reader access to the group

以上查询适用于MembershipType为“已同步”的Azure AD组，但不适用于成员资格为“ Assigned”的组。我正在使用Azure AD SSO进行身份验证。我非常确定我没有权限问题，因为我是订阅和Azure SQL数据库的所有者。

错误：

Failed to execute query. Error: Cannot add the principal 'Test-AnalyticsWro1', because it does not exist or you do not have permission.

Answer 1

我与MSFT交谈，并了解此行为是ByDesign。该语句取决于“ GroupType”而不是“ MembershipType”。如果GroupType ='Office'，则SQL查询失败。也就是说，它不会将该AD组添加为Azure SQL数据库中的SQL用户。