调度Snowflake链接服务器SQL存储过程遇认证错误求助

核心原因 #

手动执行存储过程时，使用的是当前登录用户的身份，该用户能通过浏览器完成Snowflake的交互式认证；而SQL Server Agent调度时，使用的是服务账号NT SERVICE\SQLSERVERAGENT——这是本地系统账号，没有交互桌面权限，无法弹出浏览器完成Snowflake的SSO认证，因此触发Failed to authenticate a user by external browser错误。

解决方案 #

1. 修改Snowflake链接服务器的认证方式 #

将依赖浏览器的SSO认证改为用户名密码认证或密钥认证，确保无需交互即可完成认证：

• 打开SQL Server Management Studio，找到链接服务器SNOWFLAKE，右键选择「属性」。
• 切换到「安全性」选项卡，选择「使用此安全上下文建立连接」，输入Snowflake的用户名和密码（若用密钥认证，需在ODBC数据源配置中设置密钥文件路径，并确保Agent账号有该文件的读取权限）。
• 点击「确定」保存设置。

2. 调整SQL Server Agent服务的运行账号 #

NT SERVICE\SQLSERVERAGENT是受限的本地账号，无法进行外部认证交互，建议更换为具备以下权限的账号：

• 能访问Snowflake（已完成认证配置）；
• 在SQL Server中拥有执行存储过程和作业的权限；
• 具备本地系统的基本交互权限。

操作步骤：

1. 打开「服务」管理器（services.msc），找到「SQL Server Agent」服务。
2. 右键选择「属性」，切换到「登录」选项卡。
3. 选择「此账户」，输入域账号或本地账号的名称和密码，点击「应用」。
4. 重启SQL Server Agent服务。

3. 配置作业步骤的运行身份 #

如果不想修改Agent服务账号，可以在作业中指定执行存储过程的身份：

• 在SQL Server代理的作业步骤中，选择「运行身份」为一个已配置Snowflake认证权限的SQL Server登录账号（该账号手动执行存储过程正常）。

4. 验证存储过程的执行逻辑 #

确保存储过程中的查询使用正确的链接服务器安全上下文，可尝试将四部分名称查询改为OPENQUERY格式，避免隐式权限问题：

CREATE PROCEDURE [dbo].[Test]
AS
    INSERT INTO [Test].[dbo].[ID] (id_number)
        SELECT ID 
        FROM OPENQUERY([SNOWFLAKE], 'SELECT ID FROM GEAR.INSIGHTS.APP_USERS WHERE FIRST_NAME = ''DAVID''')

内容的提问来源于stack exchange，提问作者dadou