SQL Server代理作业以dbo运行时sp_send_dbmail执行报错原因排查

我创建了一个SQL Server代理作业，仅包含一个作业步骤，代码如下：

insert joblog select getdate(),SUSER_NAME(),current_user    
exec msdb.dbo.sp_send_dbmail ...

作业所有者为sa（我作为开发人员无sa权限，但拥有sysadmin权限），此时作业运行正常，邮件可发送，joblog表记录：

suser_name=NT SERVICE\SQLSERVERAGENT
current_user=dbo

但当我在代理UI的作业步骤「高级」页设置「以用户身份运行」为dbo时，作业报错“EXECUTE denied on sp_send_dbmail”，joblog表记录：

susername=sa
current_user=dbo

已知sa和NT SERVICE\SQLSERVERAGENT均有权限执行该存储过程，请问报错原因是什么？我的猜测是「以用户身份运行」选择的dbo无关联登录。

你的猜测完全正确，核心原因是指定的dbo数据库用户未关联有效的登录账户，具体逻辑如下：

• 当SQL Server代理作业步骤设置「以用户身份运行」为某数据库用户时，SQL Server会尝试以该用户的模拟上下文执行代码。若该数据库用户没有映射到任何登录账户（无关联登录），模拟操作会失效，此时实际执行上下文会回退到作业所有者身份，但权限验证会出现异常：
  • 尽管作业所有者是sa，但由于模拟上下文的异常状态，执行msdb.dbo.sp_send_dbmail时的权限检查不会正确继承sa的权限，最终触发权限拒绝错误。
• 未指定「以用户身份运行」时，作业默认以SQL Server代理服务账户NT SERVICE\SQLSERVERAGENT的身份执行，该账户本身拥有sp_send_dbmail的执行权限，上下文传递正常，因此作业可以顺利运行。

补充说明：dbo是数据库级用户，若要在作业步骤中指定「以用户身份运行」为dbo，需确保该数据库的dbo用户映射到了拥有sp_send_dbmail执行权限的登录账户（比如sa），否则会因模拟上下文异常导致权限验证失败。

内容的提问来源于stack exchange，提问作者George Menoutis