SSIS角色db_ssisoperator用户无法查看集成服务目录项目

针对你需要给AD组分配枚举所有SSIS目录项目/包、执行包、读取日志，但禁止修改/上传的需求，默认内置角色组合无法满足目录内容枚举要求，以下是精准的权限配置步骤：

保留已配置的基础角色 #

先保留你已分配的角色，这些是执行和日志读取的基础：

• msdb数据库：db_datareader、db_ssisoperator
• SSISDB数据库：db_datareader、ssis_logreader

添加目录枚举所需的额外权限 #

默认角色缺少SSIS目录结构的枚举权限，需要通过T-SQL手动授予以下权限（替换<AD组名>为你的实际AD组名称）：

USE SSISDB;
GO
-- 授予SSIS目录的查看定义权限，允许用户看到目录结构
GRANT VIEW DEFINITION ON CATALOG::SSISDB TO [<AD组名>];

-- 授予枚举文件夹、项目、包所需的系统存储过程执行权限
GRANT EXECUTE ON [catalog].[folders] TO [<AD组名>];
GRANT EXECUTE ON [catalog].[projects] TO [<AD组名>];
GRANT EXECUTE ON [catalog].[packages] TO [<AD组名>];

-- 授予执行包相关的存储过程权限（配合msdb的db_ssisoperator实现完整执行能力）
GRANT EXECUTE ON [catalog].[create_execution] TO [<AD组名>];
GRANT EXECUTE ON [catalog].[start_execution] TO [<AD组名>];
GRANT EXECUTE ON [catalog].[executions] TO [<AD组名>];

权限验证 #

完成配置后，用该AD组的用户登录SSMS验证：

• 展开Integration Services Catalogs -> SSISDB，应能看到所有文件夹、项目及包
• 尝试执行任意包，确认执行流程正常
• 查看包执行日志，确保日志内容可正常读取
• 尝试上传新项目、修改现有包或删除对象，应触发权限拒绝提示

原理说明 #

SSIS目录的项目/包枚举依赖于catalog架构下的系统存储过程和视图，默认的db_datareader角色仅能读取基础系统表，没有这些关键对象的执行或查看权限。通过授予VIEW DEFINITION和指定存储过程的执行权限，既能实现目录内容的枚举，又不会赋予ssis_admin角色附带的修改、上传等敏感权限。

内容的提问来源于stack exchange，提问作者meadek