无法无密码连接SQL Server：PowerShell跨机用AD服务账号求助

核心前提 #

• SQL Server已启用Windows集成认证，且服务器与客户端同属AD域（或信任域）
• AD服务账号已完成SQL Server登录映射与权限配置（你已完成的db_creator、db_reader/db_writer设置）

实现步骤 #

1. 替换为集成认证连接字符串 #

弃用原SQL Server认证的连接字符串，改用Windows集成认证版本，无需硬编码账号密码：

$connString = "Server=你的SQL服务器名;Database=Testdb;Integrated Security=True;"

关键：去掉User ID和Password参数，Integrated Security=True会自动使用当前运行上下文的AD身份认证

2. 无密码运行脚本的两种方式 #

方式一：Kerberos约束委派（推荐，无交互）

这是企业级无密码认证的标准方案，需在AD中配置委派权限：

1. 打开AD用户和计算机，找到你的服务账号 → 属性 → 委派选项卡
2. 选择信任此用户以委派到指定服务，点击「添加」，搜索并添加SQL Server的服务主体名称（SPN）
   • SPN格式：MSSQLSvc/你的SQL服务器名（默认1433端口可省略，非默认端口需加:端口号）
3. 确保SQL Server服务运行在AD域账号下（而非本地系统），且已通过setspn -L SQL服务账号确认SPN已注册
4. 客户端脚本直接运行即可自动通过Kerberos认证，示例脚本：

$connString = "Server=你的SQL服务器名;Database=Testdb;Integrated Security=True;"
$conn = New-Object System.Data.SqlClient.SqlConnection($connString)

try {
    $conn.Open()
    Write-Host "连接成功"
    # 示例查询
    $cmd = $conn.CreateCommand()
    $cmd.CommandText = "SELECT TOP 5 * FROM 你的表名"
    $reader = $cmd.ExecuteReader()
    while ($reader.Read()) {
        Write-Output $reader["列名"]
    }
}
catch {
    Write-Error "连接失败：$($_.Exception.Message)"
}
finally {
    $conn.Close()
}

方式二：保存凭据的RunAs（适合测试，不推荐生产）

如果只是临时测试，可通过RunAs保存凭据实现无交互：

# 首次运行会要求输入服务账号密码，后续无需重复输入
Start-Process powershell.exe -Credential "你的域\服务账号名" -ArgumentList "-File C:\Scripts\SqlConnect.ps1" -SaveCredentials

注意：凭据会保存在本地，存在安全风险，生产环境优先用Kerberos委派

3. 验证与排查 #

• 先手动用服务账号登录客户端Windows，运行脚本确认连接正常，排除权限配置问题
• 若遇Kerberos错误：检查AD时间同步（差不能超5分钟）、SPN注册是否正确、委派权限是否包含目标SQL服务
• 若客户端未加入域：需使用Microsoft.Data.SqlClient驱动，连接字符串指定Authentication=Active Directory Integrated

内容的提问来源于stack exchange，提问作者Prabhjot Singh