如何从采用SQL Server认证的外部应用调用AWS部署的SSIS包？

方案1：SQL Server Agent代理账户 + 作业触发 #

这是最常用的适配方案，核心思路是让存储过程通过有权限的Windows代理账户执行SSIS包，避开应用的SQL认证限制：

• 在AWS环境中创建Windows账户（EC2部署的SQL Server可建本地账户；RDS SQL Server需加入AWS Managed AD），给该账户分配SSIS Catalog执行权限：

  USE [SSISDB]
  -- 添加SSIS管理员角色
  EXEC sp_addrolemember 'ssis_admin', 'DOMAIN\SSIS_Exec_User'
  -- 或仅授权特定包执行权限
  GRANT EXECUTE ON OBJECT::[SSISDB].[catalog].[start_execution] TO [DOMAIN\SSIS_Exec_User]
  

• 在SQL Server中创建SQL Server Agent代理，子系统指定为「SSIS包执行」，关联上述Windows账户。
• 修改现有存储过程，触发预先配置好的SQL Agent作业（作业步骤用SSIS代理账户执行包）：

  CREATE PROCEDURE dbo.TriggerSSISPackage
  AS
  BEGIN
      EXEC msdb.dbo.sp_start_job @job_name = 'SSIS_Package_Execution_Job'
  END
  

• 给应用使用的SQL认证账户分配执行该存储过程及启动作业的权限。

方案2：通过EXECUTE AS切换身份执行 #

若不想依赖SQL Server Agent，可通过存储过程内的身份切换直接调用SSIS包：

• 确保目标Windows账户已在SQL Server中创建登录，并拥有SSIS包执行权限（同方案1权限配置）。
• 修改存储过程，切换到该Windows账户执行启动命令：

  CREATE PROCEDURE dbo.TriggerSSISPackage
  AS
  BEGIN
      SET NOCOUNT ON
      -- 切换到有权限的Windows登录
      EXECUTE AS LOGIN = 'DOMAIN\SSIS_Exec_User'
      
      -- 启动SSIS包
      DECLARE @execution_id BIGINT
      EXEC [SSISDB].[catalog].[create_execution] 
          @package_name = 'YourPackage.dtsx',
          @execution_id = @execution_id OUTPUT,
          @folder_name = 'YourFolder',
          @project_name = 'YourProject'
      EXEC [SSISDB].[catalog].[start_execution] @execution_id
      
      -- 切换回原身份
      REVERT
  END
  

• 给应用的SQL认证账户分配IMPERSONATE权限：

  GRANT IMPERSONATE ON LOGIN::[DOMAIN\SSIS_Exec_User] TO [App_SQL_User]
  

方案3：AWS Lambda触发SSIS包（无服务器适配） #

针对AWS RDS/EC2部署的SSIS，可通过Lambda间接触发，完全避开应用认证限制：

• 创建AWS Lambda函数，配置IAM角色赋予其访问SQL Server及执行SSIS包的权限（需将Lambda接入SQL Server所在VPC）。
• 在Lambda中编写代码（如Python的pyodbc或PowerShell），使用有权限的Windows账户连接SQL Server并调用catalog.start_execution。
• 外部应用通过调用Lambda的API网关端点触发包执行，无需直接连接SQL Server。

内容的提问来源于stack exchange，提问作者Randhir Singh