Подключение к Azure SQL из службы приложений с использованием удостоверения AAD

Локальное веб-приложение (.net 4.6.1), которое использует аутентификацию Windows для своих пользователей, а затем интегрированную аутентификацию AD для подключения к базе данных MS SQL, было перенесено в Azure.

В идеале следует сохранить существующий механизм безопасности, предусматривающий предоставление пользователям AD разрешений на объекты базы данных и позволяющий БД быть источником безопасности приложения.

Копия базы данных SQL уже создана и настроена.

Если я запускаю веб-приложение локально, но с использованием новой базы данных Azure, все работает должным образом.

Если я запустил эту команду, я получу ожидаемого пользователя AD:

SELECT CURRENT_USER;

Теперь, когда я развертываю точно такое же приложение в службе приложений Azure и включаю аутентификацию Azure Active Directory и управляемую идентификацию службы, пользователь правильно аутентифицируется в веб-приложении, но не может подключиться к базе данных SQL, и возникает следующая ошибка вернулся:

Errors = System.Data.SqlClient.SqlErrorCollection ClientConnectionId = e9f0c48a-3159-465c-ab72-c1da99761b8f Class = 14 LineNumber = 65536 Number = 18456 Procedure = Server = xxxxxxxxxxx.tr4.canadacentral1-a.worker.database.windows.net,11057 State = 1 Source = .Net SqlClient Data Provider ErrorCode = -2146232060 Message = Login failed for user 'NT AUTHORITY\ANONYMOUS LOGON'

Если я отключу Managed Service Identity, я получаю вместо этого следующую ошибку:

InnerExceptions = System.Collections.ObjectModel.ReadOnlyCollection`1[System.Exception] Message = One or more errors occurred. Data = System.Collections.ListDictionaryInternal InnerException = Microsoft.Azure.Services.AppAuthentication.AzureServiceTokenProviderException: Parameters: Connection String: [No connection string specified], Resource: https://database.windows.net/, Authority: . Exception Message: Tried the following 4 methods to get an access token, but none of them worked. Parameters: Connection String: [No connection string specified], Resource: https://database.windows.net/, Authority: . Exception Message: Tried to get token using Managed Service Identity. Unable to connect to the Managed Service Identity (MSI) endpoint. Please check that you are running on an Azure resource that has MSI setup. Parameters: Connection String: [No connection string specified], Resource: https://database.windows.net/, Authority: . Exception Message: Tried to get token using Visual Studio. Access token could not be acquired. Visual Studio Token provider file not found at "D:\local\LocalAppData.IdentityService\AzureServiceAuth\tokenprovider.json" Parameters: Connection String: [No connection string specified], Resource: https://database.windows.net/, Authority: . Exception Message: Tried to get token using Azure CLI. Access token could not be acquired. 'az' is not recognized as an internal or external command, operable program or batch file. Parameters: Connection String: [No connection string specified], Resource: https://database.windows.net/, Authority: https://login.microsoftonline.com/common. Exception Message: Tried to get token using Active Directory Integrated Authentication. Access token could not be acquired. get_user_name_failed: Failed to get user nameInner Exception : The format of the specified domain name is invalidat Microsoft.Azure.Services.AppAuthentication.AzureServiceTokenProvider.d__14.MoveNext()

Возможно ли то, что я пытаюсь сделать? Если да, то что мне не хватает? Любые мысли будут оценены.

Для справки, это метод, возвращающий SQL-соединение:

private SqlConnection GetSqlConnection()
{
    var accessToken = new AzureServiceTokenProvider().GetAccessTokenAsync("https://database.windows.net/").Result;

    return new SqlConnection
    {
        ConnectionString = WebConfigurationManager.ConnectionStrings["Default"].ConnectionString,
        AccessToken = accessToken
    };
}

... а это строка подключения:

  <connectionStrings>
    <add name = "Default" connectionString = "Data Source=myserver.database.windows.net;Initial Catalog=MyDB;" providerName = "System.Data.SqlClient" />
  </connectionStrings>

Примечание. Локальный AD синхронизирован со своим аналогом в Azure AD.