启用CLR严格安全的AWS RDS SQL Server 2019中CLR程序集使用遇阻求助

问题本质 #

你碰到的是AWS RDS SQL Server的权限限制与CLR严格安全规则的冲突：

• 服务器默认开启clr strict security，SAFE/EXTERNAL_ACCESS级别的CLR程序集必须要么被标记为可信，要么用证书/非对称密钥签名并关联有权限的登录
• 普通用户没有sysadmin权限，没法用sp_add_trusted_assembly标记可信
• RDS默认锁死了普通用户创建证书、非对称密钥的权限，导致签名路径走不通

可行解决方案 #

1. 找RDS管理员用rds_superuser权限操作 #

AWS RDS里的rds_superuser角色（替代原生sysadmin）拥有足够权限处理CLR部署，让管理员做以下操作：

方案A：标记程序集为可信

先把程序集二进制内容导入，再标记可信，最后创建程序集：

-- 加载程序集二进制（替换为你的文件路径）
DECLARE @AssemblyBin VARBINARY(MAX) = (SELECT * FROM OPENROWSET(BULK 'D:\CLR\CLRAssemblyTestProject.dll', SINGLE_BLOB) AS src);
-- 标记为可信程序集
EXEC sp_add_trusted_assembly @assembly = @AssemblyBin, @description = N'Trusted test CLR assembly';
-- 创建程序集
CREATE ASSEMBLY CLRAssemblyTestProject
FROM @AssemblyBin
WITH PERMISSION_SET = SAFE;

如果需要EXTERNAL_ACCESS权限，标记可信后直接修改权限集即可，无需额外配置。

方案B：用签名方式部署（更安全）

如果你能在本地给程序集签名，把签名后的程序集和公钥文件给管理员，让他们执行：

-- 创建非对称密钥（替换为公钥文件路径）
CREATE ASYMMETRIC KEY CLRAssemblyTestKey
FROM FILE = 'D:\CLR\CLRAssemblyPubKey.pub';
-- 创建关联登录并授权
CREATE LOGIN CLRAssemblyTestLogin
FROM ASYMMETRIC KEY CLRAssemblyTestKey;
GRANT UNSAFE ASSEMBLY TO CLRAssemblyTestLogin;
-- 部署程序集
DECLARE @AssemblyBin VARBINARY(MAX) = (SELECT * FROM OPENROWSET(BULK 'D:\CLR\CLRAssemblyTestProject.dll', SINGLE_BLOB) AS src);
CREATE ASSEMBLY CLRAssemblyTestProject
FROM @AssemblyBin
WITH PERMISSION_SET = SAFE;

2. 临时调整CLR严格安全参数（不推荐） #

如果管理员同意，可以通过RDS参数组把clr strict security设为0，但这会降低服务器安全性，仅适合测试环境。操作步骤：

• 管理员在AWS控制台找到对应RDS实例的参数组
• 修改clr strict security参数值为0
• 重启RDS实例生效
• 部署完成后建议改回1

关键提醒 #

• 所有涉及权限的操作必须由拥有rds_superuser权限的用户执行，普通用户没权限绕开这些限制
• 优先用标记可信或签名的方式，尽量不要修改clr strict security参数

内容的提问来源于stack exchange，提问作者Jhonty