使用GMA账户执行远程SQL BULK INSERT遇Access Denied错误的解决咨询

核心原因 #

BULK INSERT命令由SQL Server数据库引擎的服务账户发起访问共享文件的请求，而非执行PowerShell的GMA域账户。即便GMA账户有权限访问共享，只要SQL服务账户没有对应权限，就会触发"Access is denied"错误。

解决方案 #

1. 给SQL Server服务账户分配共享文件权限 #

• 先确认SQL Server服务的运行账户：打开SQL Server配置管理器，找到目标SQL Server服务，查看「登录身份」（可能是本地系统账户如NT SERVICE\MSSQLSERVER，或指定的域账户）
• 配置共享权限：在共享文件夹的「共享」标签页，添加SQL服务账户，授予读取权限
• 配置NTFS权限：在文件夹的「安全」标签页，添加SQL服务账户，授予读取权限
  • 若SQL服务用的是本地系统账户，需要在共享所在服务器上添加账户（格式：\\<SQL服务器名>\NT SERVICE\MSSQLSERVER）

2. 使用OPENROWSET(BULK...)配合Kerberos约束委派（以GMA账户权限访问） #

如果必须用执行PowerShell的GMA账户权限读取文件，可改用OPENROWSET(BULK...)，但需配置Kerberos约束委派：

• 命令示例：

  INSERT INTO TABLE
  SELECT * FROM OPENROWSET(
      BULK '\\Server\Drive$\FILENAME.csv',
      FORMAT='CSV',
      FIELDTERMINATOR='|#|',
      ROWS_PER_BATCH=123,
      FIRSTROW=1 -- 若首行是表头则设为2
  ) AS bulkData;
  

• 前置要求：
  • 在AD中给SQL Server服务账户配置对文件服务器的约束委派（允许委派GMA账户身份访问文件共享）
  • GMA账户需同时拥有：共享文件的读取权限、SQL Server的登录权限、目标表的INSERT权限

3. 任务计划程序的额外验证 #

• 确保GMA账户在目标服务器上拥有「登录为批处理作业」的权限（通过本地安全策略→用户权限分配配置）
• 检查任务计划的「运行方式」确实是指定的GMA账户，若需后台执行，勾选「不管用户是否登录都要运行」

内容的提问来源于stack exchange，提问作者Kartik M