使用OPENROWSET BULK从挂载的Azure文件存储导入数据的权限问题

• 检查SQL Server服务账号的权限
  XP_CMDSHELL默认以SQL Server服务运行的Windows账号上下文执行命令，而非你当前登录的SysAdmin账号。确认该服务账号对Azure文件存储挂载的驱动器拥有读取/写入权限，同时在Azure文件存储的SMB共享权限列表中，已将该账号添加并赋予相应读写权限。

• 配置XP_CMDSHELL代理账号
  可为XP_CMDSHELL指定一个拥有Azure存储访问权限的专用代理账号，避免依赖SQL Server服务账号。执行以下T-SQL命令完成配置：

  EXEC sp_xp_cmdshell_proxy_account 'DOMAIN\ProxyAccount', 'ProxyPassword';
  

  确保该代理账号已被授予Azure文件存储挂载盘的NTFS权限和SMB共享权限。

• 调整OPENROWSET的执行上下文与路径

  • 确认当前Windows登录账号在操作系统层面可直接访问挂载驱动器或Azure文件存储的UNC路径（\\<storage-account-name>.file.core.windows.net\<share-name>）。
  • 尝试用UNC路径替代驱动器号，因为SQL Server服务上下文可能无法识别用户会话中映射的驱动器号。
  • 确保Ad Hoc Distributed Queries选项已开启（若未开启，执行：sp_configure 'show advanced options', 1; RECONFIGURE; sp_configure 'Ad Hoc Distributed Queries', 1; RECONFIGURE;）。

• 修正XP_CMDSHELL中BCP命令的参数

  • 在XP_CMDSHELL中执行BCP时，使用BCP的完整路径（例如C:\Program Files\Microsoft SQL Server\Client SDK\ODBC\170\Tools\Binn\bcp.exe），避免环境变量导致的路径识别问题。
  • 用UNC路径指定文件位置而非驱动器号，同时确保命令包含正确的身份验证参数（如-T使用可信连接）。

• 验证Azure文件存储的权限配置
  登录Azure门户，检查Azure文件存储共享的访问控制（IAM）和SMB共享权限：

  • IAM中确保目标账号拥有Storage File Data SMB Share Contributor或更高权限。
  • SMB共享权限中添加目标账号，并授予读取/写入权限。

• 检查SQL代理作业的运行上下文
  若通过SQL代理执行命令，确认作业步骤的运行身份：

  • 若使用SQL代理服务账号，需确保该账号拥有Azure存储访问权限。
  • 建议创建专用代理账号，赋予其必要的SQL权限和Azure存储访问权限，在作业步骤中指定该代理账号运行。

内容的提问来源于stack exchange，提问作者iainc