使用受控識別將 Azure SQL 資料庫 連線至部署至 Azure Spring Apps 的應用程式

將許可權授與受控識別

線上到您的 SQL Server 並執行下列 SQL 查詢：

CREATE USER [<managed-identity-name>] FROM EXTERNAL PROVIDER;
ALTER ROLE db_datareader ADD MEMBER [<managed-identity-name>];
ALTER ROLE db_datawriter ADD MEMBER [<managed-identity-name>];
ALTER ROLE db_ddladmin ADD MEMBER [<managed-identity-name>];
GO

佔位元的值 <managed-identity-name> 遵循規則 <service-instance-name>/apps/<app-name>，例如： myspringcloud/apps/sqldemo。 您也可以使用下列命令，使用 Azure CLI 查詢受控識別名稱：

az ad sp show --id <identity-object-ID> --query displayName

將您的 Java 應用程式設定為使用受控識別

開啟 src/main/resources/application.properties 檔案，然後在行尾spring.datasource.url新增 Authentication=ActiveDirectoryMSI; ，如下列範例所示。 請務必針對 $AZ_DATABASE_NAME 變數使用正確的值。

spring.datasource.url=jdbc:sqlserver://$AZ_DATABASE_NAME.database.windows.net:1433;database=demo;encrypt=true;trustServerCertificate=false;hostNameInCertificate=*.database.windows.net;loginTimeout=30;Authentication=ActiveDirectoryMSI;

使用 命令，將部署至 Azure Spring Apps 的應用程式設定為使用az spring connection create系統指派的受控識別連線到 Azure SQL 資料庫，如下列範例所示。

1. 使用下列命令來安裝 Azure CLI 的 Service Connector 無密碼擴充功能：

   az extension add --name serviceconnector-passwordless --upgrade
   

2. 使用下列命令連線到資料庫：

   az spring connection create sql \
       --resource-group $SPRING_APP_RESOURCE_GROUP \
       --service $SPRING_APP_SERVICE_NAME \
       --app $APP_NAME \
       --deployment $DEPLOYMENT_NAME \
       --target-resource-group $SQL_RESOURCE_GROUP \
       --server $SQL_SERVER_NAME \
       --database $DATABASE_NAME \
       --system-identity
   

3. 使用下列命令來檢查建立結果：

   export CONNECTION_NAME=$(az spring connection list \
      --resource-group $SPRING_APP_RESOURCE_GROUP \
      --service $SPRING_APP_SERVICE_NAME \
      --app $APP_NAME  \
      --query '[0].name' \
      --output tsv)
   
   az spring connection list-configuration \
      --resource-group $SPRING_APP_RESOURCE_GROUP \
      --service $SPRING_APP_SERVICE_NAME \
      --app $APP_NAME  \
      --connection $CONNECTION_NAME