azure - 跨 Azure 租户的 Azure SQL Server VNet 白名单

Question

我有一个驻留在租户 A 中的 Azure SQL Server，我需要为驻留在租户 B 中的子网添加虚拟网络规则。

为此，我创建了一个服务主体并为其提供 Multi-Tenancy 访问权限。我还可以在两个租户中看到 SP。 SP 有权访问两个租户中的订阅和资源(SQL Server 和 VnNet)。

当我尝试使用 SP 凭据/登录添加 VNet 规则时，遇到以下错误:

New-AzSqlServerVirtualNetworkRule:
The client has permission to perform action 'Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/Action'
on scope '/subscriptions/{subscription ID}/resourceGroups/{resource group name}/providers/Microsoft.Sql/servers/
{SQL Server name}/virtualNetworkRules/{rule name}',
however the current tenant 'xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx' is not authorized to access linked subscription 'xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx'.

Answer 1

遇到以下错误

New-AzSqlServerVirtualNetworkRule: The client has permission to perform action 'Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/Action' on scope '/subscriptions/{subscription ID}/resourceGroups/{resource group name}/providers/Microsoft.Sql/servers/{SQL Server name}/virtualNetworkRules/{rule name}', however the current tenant 'xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx' is not authorized to access linked subscription 'xxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx'.

• Azure SQL Server 中跨 Azure 租户的服务连接只能访问一个租户中的虚拟网络。它无权访问其他租户中的虚拟网络。
• 您可以按照以下步骤向该虚拟网络分配网络贡献者角色:

转到Azure 门户 ->资源组 -> 访问控制( IAM) -> 添加角色分配。 -> 选择网络 贡献者 -> 添加