EC2用户数据脚本修改SQL Server sa密码无效，但手动执行正常的原因排查

遇到这种“手动跑正常，放用户数据里就失效”的问题，大概率是执行上下文、环境差异或者脚本细节没处理到位导致的，结合你的场景，我整理了几个最可能的原因：

1. 执行上下文的权限/身份差异 #

EC2的用户数据脚本默认是在Local System系统账户下运行的，而你手动执行是用自己的管理员账户。虽然两者都有高权限，但SQL Server对不同身份的连接可能有隐性的差异：

• 比如Local System连接SQL Server时，默认用的是Windows身份验证，虽然你修改了sa的密码，但可能某些SQL Server的内部状态没有被正确同步（比如密码哈希的存储），而管理员账户连接时的操作会触发完整的同步流程。
• 另外，Local System账户可能没有某些SQL Server的隐式权限，导致Alter()操作看似成功（DateLastModified更新），但实际密码的变更没有被持久化到数据库引擎的核心存储中。

2. PowerShell的32位/64位环境差异 #

EC2的用户数据脚本默认会调用32位的PowerShell（路径是C:\Windows\SysWOW64\WindowsPowerShell\v1.0\powershell.exe），而你手动打开的通常是64位的PowerShell（C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe）。

• SQL Server的SMO组件有32位和64位版本之分，如果你的自定义AMI只安装了64位SMO，32位PowerShell加载的SMO可能存在兼容性问题：虽然LoadWithPartialName没报错，但执行ChangePassword和Alter()时，实际是和SQL Server实例做了“半成功”的交互——只更新了元数据（比如DateLastModified），但没真正修改密码哈希。
• 解决办法：在用户数据脚本里明确调用64位PowerShell来执行这段SQL修改逻辑，比如：

  & "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -Command {
      [System.Reflection.Assembly]::LoadWithPartialName("Microsoft.SqlServer.Smo") | Out-Null
      $srv = New-Object "Microsoft.SqlServer.Management.Smo.Server" localhost
      $user = $srv.Logins | where Name -eq "sa"
      $user.ChangePassword('你的随机密码');
      $user.PasswordPolicyEnforced = 1;
      $user.Alter();
      $user.Refresh();
  }
  

3. 密码的特殊字符转义问题 #

你提到密码是随机生成的，很可能包含PowerShell的特殊字符（比如$、&、`、`"``这些）。如果注入到脚本时没有正确处理转义：

• 比如你用双引号包裹密码（$user.ChangePassword("<随机密码>");），PowerShell会解析引号内的特殊字符（比如$会被当作变量引用），导致实际设置的密码和你预期的不一样。
• 而手动执行时，你可能会用单引号包裹密码（'），PowerShell不会解析单引号内的特殊字符，所以密码设置正确。
• 解决办法：确保注入密码时用单引号包裹，或者对特殊字符进行转义（比如把`换成 ` ``）。

4. SQL Server服务未完全就绪 #

用户数据脚本是在系统启动阶段运行的，这时候SQL Server服务可能还在初始化（比如正在加载数据库、完成启动流程），虽然你的脚本没有报错，但ChangePassword和Alter()操作可能因为服务未完全就绪，导致变更没有被真正应用——只是更新了表面的元数据（DateLastModified），但核心的密码哈希没有被写入。

• 解决办法：在修改密码前，先等待SQL Server服务完全启动，比如：

  # 等待SQL Server服务启动（假设是默认实例，服务名是MSSQLSERVER）
  while ((Get-Service -Name MSSQLSERVER).Status -ne 'Running') {
      Start-Sleep -Seconds 5
      Write-Host "等待SQL Server服务启动..."
  }
  # 再执行后续的SMO操作
  

备注：内容来源于stack exchange，提问作者data princess