通过存储过程启动SSIS包导入Excel时匿名用户权限问题求助

核心原因 #

直接调用ssisdb.catalog.Create_execution和ssisdb.catalog.start_execution时，SSIS包的执行上下文默认继承当前SQL会话的安全身份：

• 若使用SQL登录，会沿用SQL Server服务账户（通常是Local System/Network Service，无域文件服务器访问权限）
• 若使用Windows登录，若会话由服务或远程调用发起，也可能缺失目标文件的访问权限
  而SQL Agent作业通过代理账户运行，使用的是预先配置的、拥有文件访问权限的身份，因此能正常访问。

可行解决方案 #

1. 使用有权限的账户执行存储过程 #

创建一个同时拥有文件服务器Excel路径读取权限和SSISDB包执行权限的Windows账户（或映射到该Windows账户的SQL登录），在执行存储过程时切换到该账户上下文：

-- 切换到有权限的账户
EXECUTE AS LOGIN = 'Domain\Authorized_Account';

DECLARE @execution_id BIGINT;
-- 创建执行实例
EXEC ssisdb.catalog.create_execution
    @package_name = N'YourExcelPackage.dtsx',
    @execution_id = @execution_id OUTPUT,
    @folder_name = N'YourSSISFolder',
    @project_name = N'YourSSISProject',
    @use32bitruntime = False,
    @reference_id = Null;

-- 启动包执行
EXEC ssisdb.catalog.start_execution @execution_id;

-- 恢复原身份
REVERT;

确保该账户已被授予SSISDB的ssis_admin或ssis_executor角色权限，同时对文件服务器的目标路径有读取权限。

2. 配置SSISDB目录的全局执行账户 #

通过SSMS统一设置SSIS目录的执行账户，让所有通过存储过程启动的包都使用该身份访问外部资源：

• 打开SSMS，连接到Integration Services实例
• 右键点击SSISDB，选择属性
• 在执行账户选项卡中，选择“指定账户”，输入拥有文件服务器访问权限的Windows账户和密码
• 保存配置后，所有SSISDB存储过程启动的包都会使用该账户访问Excel文件

3. 利用SQL Agent代理封装执行逻辑 #

如果不想修改存储过程调用方式，可以将存储过程的执行逻辑封装到SQL Agent作业中，继续使用已验证有效的代理账户：

• 创建新的SQL Agent作业，添加一个“Transact-SQL脚本”步骤
• 在步骤中写入调用Create_execution和start_execution的代码
• 为作业指定已配置好的、拥有文件访问权限的代理账户
• 直接调用该作业即可实现权限正确的包执行

内容的提问来源于stack exchange，提问作者Bernhard