远程通过dtexec执行SSIS包的认证配置问题咨询

1. SSIS服务本地账户是否为问题根源？改域账户的作用 #

• SSIS服务使用NT Authority\Local Service或NT Authority\Network Service这类本地账户时，无法进行跨机器的Kerberos身份认证——本地账户仅在服务器本地有效，无法被其他机器信任，这就是你用SQL Server服务账户执行dtexec时出现“非信任域间认证问题”的核心原因。
• 改成域账户运行SSIS服务后，可支持Kerberos委托，让远程执行时的用户身份能正确传递到目标数据库服务器，解决跨机器认证问题。
• 为何SQL Server代理能正常执行？因为SQL代理作业是在数据库服务器本地上下文运行：
  • 如果SQL代理用域账户，本身就具备跨域认证权限；
  • 如果用本地系统账户，在服务器本地访问资源时拥有完全权限，无需跨域传递身份；
  • 另外，代理作业可能配置了专门的执行账户（比如SQL代理的代理账户），该账户已被授予SSIS和数据库的全部必要权限。

2. 你的Windows账户远程执行dtexec的授权设置 #

你作为数据库服务器管理员和sysdba，按以下步骤配置即可解决“此登录模式对该用户不可用”的问题：

• 确认SQL Server启用Windows认证模式：在SQL Server配置管理器中，确保实例的安全模式为“Windows身份验证模式”（混合模式也可，但优先Windows认证）。
• 在SQL Server上创建你的Windows账户登录：
  1. 打开SSMS，连接到目标数据库服务器；
  2. 展开「安全性」→「登录名」，右键新建登录名；
  3. 选择「Windows身份验证」，输入你的域账户（格式如DOMAIN\YourUserName）；
  4. 勾选「服务器角色」中的sysadmin（确认你的账户已拥有该权限），同时在「用户映射」中给SSISDB数据库分配ssis_admin角色。
• 配置Kerberos双跳认证（跨机器场景）：
  1. 将SSIS服务和SQL Server服务都改为同一个域账户运行；
  2. 为该域账户注册SPN（服务主体名称）：
     • 为SQL Server注册：setspn -S MSSQLSvc/YourServerName:1433 DOMAIN\ServiceAccount
     • 为SSIS服务注册：setspn -S MsDtsServer150/YourServerName DOMAIN\ServiceAccount
  3. 在Active Directory中，给该服务账户启用「信任此计算机以委派到任何服务（Kerberos only）」（或根据安全需求配置更严格的委派规则）。
• 正确执行dtexec命令：
  使用远程服务器的SSISDB路径执行，示例命令：

  dtexec /ISSERVER "\SSISDB\YourProjectFolder\YourProject\YourPackage.dtsx" /SERVER "YourRemoteServerName" /WINDOWS /DECRYPT "YourPackagePassword"
  

  其中/WINDOWS参数指定用当前Windows账户认证，/DECRYPT是包的加密密码（如果包设置了加密）。
• 本地机器权限检查：确保你的账户在本地机器上有执行dtexec.exe的权限（默认管理员组已拥有），同时本地机器与数据库服务器在同一个域或有双向信任关系。

内容的提问来源于stack exchange，提问作者Matteo Fioroni