azure - guest 用户无法通过 Azure AD 身份验证连接到 Azure SQL

Question

我在 Azure SQL 中创建了数据库并配置了 Azure 身份验证，因此我可以使用我的 Azure AD 帐户通过 SQL Management Studio 连接到数据库。然后我从其他 Azure AD 添加了用户，当我执行 CREATE USER [<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="ea9f998f98aa87939e8f848b849edbc48584878389988599858c9ec4898587" rel="noreferrer noopener nofollow">[email protected]</a>] FROM EXTERNAL PROVIDER 时我收到错误

Principal '[email protected]' could not be found or this principal type is not supported.

该用户<a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="0f7a7c6a7d4f62767b6a616e617b3e21606162666c7d607c60697b216c6062" rel="noreferrer noopener nofollow">[email protected]</a>在我的 Azure AD 中作为受邀 guest 用户。

我做错了什么？

Answer 1

所以我终于成功了。原因是受邀使用必须接受邀请。由于我邀请的用户没有真实的电子邮件，我(或某人)必须以某种方式“单击”邀请链接。我是通过 PowerShell 完成的。

需要执行以下步骤才能授予 guest 用户读取权限:

1. 安装 Azure 广告模块。我通过命令 Install-Module AzureAd 完成的
2. 连接到 AAD，您将通过 Connect-AzureAD 邀请用户
3. 通过命令 New-AzureADMSInvitation -InvitedUserEmailAddress "<user_email>" -InviteRedirectUrl "https://portal.azure.com" -SendInvitationMessage $false -InvitedUserType "Guest" 邀请用户加入 AAD 。其中 < user_email> 邀请用户的电子邮件。该命令的结果将是具有属性的对象，其中之一是邀请链接。 注意:先在记事本中复制并格式化，然后在浏览器中复制并接受邀请，或将其发送给拥有此帐户的人。
4. 现在要将用户添加到数据库，我们必须执行 T-SQL CREATE USER [<user principal>] FROM EXTERNAL PROVIDER 。诀窍是受邀用户的<用户主体>具有“EXT”格式。要获得正确的主体，只需执行 Get-AzureADUser - 此命令列出具有真实用户主体​​名称的用户。

Example:

Real email: [email protected]

Principal name: user1_dep1.myorg.com#EXT#@targetazuread.onmicrosoft.com

复制相应的主体并运行CREATE USER...

最后一步，对于我的情况，是授予新用户读取权限，因此我调用 EXEC sp_addrolemember 'db_datareader', '<user principal>'

因此，我可以使用受邀用户连接到数据库。我还知道在哪里可以通过Get-AzureADUser查看真实的用户主体powershell(Azure AD 模块)的命令。