使用GMSA连接SQL Server时Azure DevOps流水线登录失败问题

核心问题分析 #

GMSA（组托管服务账户）是专为服务/机器身份设计的账户，无法通过在JDBC连接串中直接指定username参数的方式完成认证。本地ORQA工具连接成功，是因为使用了integratedSecurity=true参数，让驱动借助当前运行上下文的GMSA身份完成认证；而Azure DevOps流水线的连接串移除了该参数并手动指定用户名，导致认证逻辑错误。

解决方案步骤 #

• 修正JDBC连接字符串：恢复使用集成身份认证参数，删除手动指定的username参数，正确连接串格式如下：

  jdbc:sqlserver://dbserver:port;databaseName=dbname;integratedSecurity=true;encryption=true;trustServerCertificate=true;Persist Security Info=false;MultiSubnetFailover=true
  

• 确保自托管代理以GMSA身份运行：
  1. 登录ORQA服务器（自托管代理所在机器）
  2. 打开「服务」控制台，找到Azure DevOps代理对应的服务（通常命名为Azure Pipelines Agent）
  3. 右键选择「属性」-「登录」选项卡，切换到GMSA账户（格式为DOMAIN\GMSA$）
  4. 重启该服务，确保代理以GMSA身份启动
• 验证GMSA账户权限：确认GMSA账户已被授予SQL Server目标数据库的登录权限及对应数据库用户权限，避免因权限不足导致登录失败

额外注意事项 #

• 不要尝试在JDBC连接串中直接传递GMSA用户名，该方式不被SQL Server JDBC驱动支持
• 若代理服务运行在本地系统账户或其他非GMSA账户下，即使连接串正确也无法完成身份认证

内容的提问来源于stack exchange，提问作者Anusha M