无需凭据从存储过程调用sqlcmd时认证失败的解决咨询

这个问题的核心是SQL Server Express默认的xp_cmdshell代理上下文和Standard版不同：在Standard 2012里，xp_cmdshell会直接以SQL服务账户（NT Service\MSSQLSERVER）启动外部进程；但Express 2019默认会用**本地机器账户（mydomain\mymachine$）**来运行xp_cmdshell的子进程（也就是你的sqlcmd），这就导致了身份验证失败——哪怕你加了-E（可信连接），也是用这个机器账户去尝试登录SQL Server，而它没有对应的登录权限。

下面是无需指定账户密码的解决步骤：

1. 配置xp_cmdshell使用SQL服务账户作为代理 #

我们需要让xp_cmdshell继承SQL Express服务的账户上下文（NT Service\MSSQL$SQLExpress），而不是用机器账户：

• 先确保xp_cmdshell已启用（如果没开的话）：

  sp_configure 'show advanced options', 1;
  RECONFIGURE;
  sp_configure 'xp_cmdshell', 1;
  RECONFIGURE;
  

• 设置代理账户为SQL Express的服务账户（NT Service账户不需要密码）：

  EXEC sp_xp_cmdshell_proxy_account 'NT Service\MSSQL$SQLExpress', '';
  

2. 给SQL服务账户创建SQL登录并分配权限 #

现在需要让这个服务账户能正常登录SQL Server并执行你的脚本：

• 创建Windows登录：

  CREATE LOGIN [NT Service\MSSQL$SQLExpress] FROM WINDOWS;
  

• 分配必要权限：如果你的脚本需要服务器级权限（比如创建数据库、执行DDL等），可以添加到sysadmin角色：

  ALTER SERVER ROLE sysadmin ADD MEMBER [NT Service\MSSQL$SQLExpress];
  

  要是只需要特定数据库的权限，也可以在目标数据库创建对应的用户并分配db_owner或其他所需角色，根据你的脚本需求调整。

3. 验证上下文是否正确 #

执行下面的命令确认xp_cmdshell现在用的是服务账户：

xp_cmdshell 'whoami'

如果返回结果是NT Service\MSSQL$SQLExpress，说明配置成功了。这时候再调用你的sqlcmd脚本，不需要加-E也能正常运行——因为服务账户是Windows认证，可信连接会自动生效，身份验证不会再出现问题。

补充说明 #

之前你尝试加-E和给机器账户建登录没用的原因：-E是让sqlcmd使用启动它的进程的账户去连接SQL Server，之前启动sqlcmd的是机器账户，所以哪怕加了-E，还是用mydomain\mymachine$去尝试登录；而改了代理账户后，sqlcmd由服务账户启动，这个账户已经有了合法的SQL登录权限，自然就能通过认证了。

内容的提问来源于stack exchange，提问作者Bernd L.