从非系统管理员域用户拥有的 SQL 代理作业运行 SSIS 包

Question

我有两个 SSIS 包，它们作为更大的 SSIS 部署的一部分在夜间（通过 SQL Server 代理）运行，没有任何问题。一切都使用 Windows 身份验证，计划作业由系统管理员（好吧，我）拥有并作为SQL Server 代理服务帐户运行。

因此，数据基本上在source system ~> transit db ~> staging ~> NDS一夜之间消失了。

我关心的两个 SSIS 包分别处理一组特定数据的transit db ~> staging和staging ~> NDS部分。

域用户（非系统管理员）在 中执行某些操作source system并将有趣的数据推送到 中transit db，因此我需要一种方法来在工作时间内获取此更新的数据以更新NDS：决定此人触发的最简单方法该 ETL 是通过单击启用宏的 Excel 工作簿中的按钮来实现的，该工作簿通过 ODBC（使用 Windows 身份验证）连接到 SQL Server 并执行存储过程。

存储过程如下所示：

create procedure dbo.UpdateMaterialInventory
as
begin
    execute msdb.dbo.UpdateMaterialInventory;
end

[msdb] 中的“姐妹”存储过程如下所示：

create procedure dbo.UpdateMaterialInventory
with execute as 'SqlAgentProxy'
as
begin
    execute msdb.dbo.sp_start_job N'NDS-ManualMaterialInventory';
end

这个 [SqlAgentProxy] 用户是我在域用户登录的 [msdb] 中创建的一个 Windows 用户，我授予execute了此UpdateMaterialInventory过程的权限。这避免了必须授予域用户对 的execute权限msdb.dbo.sp_start_job，这将是过多的。

SQL 代理作业NDS-ManualMaterialInventory归域用户所有，有 2 个步骤，每个步骤都是 [SQL Server 集成服务包] 类型，设置为运行身份 SSISProxy。

SSISProxy是使用凭据名称映射到 [SQL Server 集成服务包] 子系统的 SQL Server 代理代理SSISProxyCredentials。域用户的登录名已添加到代理帐户 principals。

它SSISProxyCredentials是使用同一域用户的身份创建的，该用户在一夜之间运行整个 SSIS ETL，并且其密码经过四重检查。

现在，如果我运行这个：

execute as login=N'DOMAIN\thatperson'
exec NDS.dbo.UpdateMaterialInventory;
go

我得到这个输出：

create procedure dbo.UpdateMaterialInventory
as
begin
    execute msdb.dbo.UpdateMaterialInventory;
end

然而，工作经历讲述了一个不那么令人鼓舞的故事：

create procedure dbo.UpdateMaterialInventory
with execute as 'SqlAgentProxy'
as
begin
    execute msdb.dbo.sp_start_job N'NDS-ManualMaterialInventory';
end

和第 1 步的详细信息：

execute as login=N'DOMAIN\thatperson'
exec NDS.dbo.UpdateMaterialInventory;
go

作业失败，任何地方都没有记录任何内容。

如果我将作业所有者更改为我自己，并将步骤运行更改为SQL Server 代理服务帐户，则作业将运行、成功并将 1,067 行记录到 [Metadata].[dbo].[sysssislog]。

看起来代理/凭据的设置方式有问题。我做错了哪一部分？

Answer 1

问题看起来比实际更复杂。由于您使用的是 SQL 2014，您可能会被 2012 年引入的新安全功能所困扰。

唯一真正重要的是：

Server: {server name}, Package path: \SSISDB\Foo\Bar\foobar.dtsx, Environment reference Id: NULL.   
Description: Login failed for user '{domain user that runs SSIS ETL overnight}'.

您的代理用户的登录名很可能无权访问 SSISDB 目录（即使他可能有权访问 SQL Server）。
您需要将登录名映射到 SSISDB 用户并配置对 Integration Services 中 SSISDB 文件夹/项目的访问权限。

请查看此 MSDN 博客文章SSIS 目录访问控制技巧和SQL 2012 SSIS 目录权限

一旦您实际加载了包，您可能会遇到其他安全上下文问题，但您应该从集成服务本身获得更好的日志记录。