如何在SSIS中使用服务账户访问文件服务器并导入数据至数据库？

一、平面文件连接无法指定账户的替代方案 #

SSIS平面文件连接管理器本身依赖运行进程的身份，无法单独配置访问账户，可通过以下两种方式实现服务账户访问：

1. 脚本任务实现身份模拟读取文件 #

在SSIS包中添加脚本任务，通过Windows身份模拟API，用服务账户凭据访问文件，读取后将数据传递给数据流。示例C#代码（需引用System.Security.Principal和System.Runtime.InteropServices）：

using System;
using System.Data;
using Microsoft.SqlServer.Dts.Runtime;
using System.Security.Principal;
using System.Runtime.InteropServices;

namespace ST_FileAccessImpersonation
{
    [Microsoft.SqlServer.Dts.Tasks.ScriptTask.SSISScriptTaskEntryPointAttribute]
    public partial class ScriptMain : Microsoft.SqlServer.Dts.Tasks.ScriptTask.VSTARTScriptObjectModelBase
    {
        [DllImport("advapi32.dll", SetLastError = true, CharSet = CharSet.Unicode)]
        public static extern bool LogonUser(String lpszUsername, String lpszDomain, String lpszPassword,
            int dwLogonType, int dwLogonProvider, out IntPtr phToken);

        [DllImport("kernel32.dll", CharSet = CharSet.Auto)]
        public extern static bool CloseHandle(IntPtr handle);

        public void Main()
        {
            string domain = "你的域名称";
            string username = "服务账户名";
            string password = Dts.Variables["User::ServiceAccountPwd"].Value.ToString();
            string targetFile = Dts.Variables["User::TargetFilePath"].Value.ToString();

            IntPtr tokenHandle = IntPtr.Zero;
            bool logonSuccess = LogonUser(username, domain, password, 2, 0, out tokenHandle);

            if (!logonSuccess)
            {
                Dts.Events.FireError(0, "身份模拟失败", $"错误码: {Marshal.GetLastWin32Error()}", "", 0);
                Dts.TaskResult = (int)DTSExecResult.Failure;
                return;
            }

            using (WindowsImpersonationContext impersonatedContext = WindowsIdentity.Impersonate(tokenHandle))
            {
                // 执行文件读取操作，示例为读取文本内容到变量
                string fileContent = System.IO.File.ReadAllText(targetFile);
                Dts.Variables["User::FileContent"].Value = fileContent;
                impersonatedContext.Undo();
            }

            CloseHandle(tokenHandle);
            Dts.TaskResult = (int)DTSExecResult.Success;
        }
    }
}

• 注意：将服务账户密码存入包变量，设置包保护级别为EncryptSensitiveWithPassword，确保敏感数据加密存储。

2. 临时映射网络驱动器 #

通过“执行进程任务”在包执行前映射网络驱动器，使用服务账户凭据：

net use Z: \\文件服务器\目标共享 /user:域\服务账户名 密码 /persistent:no

数据流中使用Z:路径访问文件，包执行结束后取消映射：

net use Z: /delete

同样需将密码存入加密变量，避免明文暴露。

二、解决SQL Server代理作业权限错误 #

针对The process could not be created for step 1 of job *** (reason: A required privilege is not held by the client)错误，按以下步骤排查：

1. 给SQL Server代理服务账户添加权限 #

SQL Server代理服务账户需拥有替换进程级令牌权限：

• 打开本地安全策略（secpol.msc）
• 导航至「本地策略」→「用户权限分配」
• 找到「替换进程级令牌」，添加SQL Server代理的服务账户
• 重启SQL Server代理服务

2. 检查作业执行账户配置 #

若作业步骤指定了服务账户作为运行身份，需确保该账户：

• 拥有SQL Server登录权限（至少加入SQLAgentUserRole角色）
• 对SSIS包存储位置（文件系统/SSISDB）有读取权限
• 对目标数据库有写入权限

3. 优化SSISDB部署模式 #

将包部署至SSISDB，作业步骤选择「SQL Server Integration Services包」类型，配置包保护级别为EncryptSensitiveWithPassword，在步骤中输入包密码，确保SQL代理服务账户有SSISDB访问权限，同时依赖脚本任务的身份模拟逻辑完成文件访问。

三、EncryptSensitiveWithPassword配置要点 #

• 在SSDT中右键包→「属性」，设置「保护级别」为EncryptSensitiveWithPassword
• 设置加密密码并保存包
• 在SQL代理作业步骤中选择该包时，输入对应的解密密码，确保作业能正常读取敏感变量

内容的提问来源于stack exchange，提问作者Jonas