如何在SSIS中安全映射网络驱动器 解决SQL Agent运行异常问题

你的故障和“SQL Agent账号不能跑PowerShell”没有关系，核心是三个未被注意到的机制问题：

• Export-Clixml存储的加密密码采用Windows DPAPI加密，严格绑定生成该文件时的Windows账号和所在机器。你调试时用的是自己的登录账号生成的XML，SQL Server Agent服务账号没有对应的解密密钥，读取到的密码是空值；绝大多数人写PS脚本时不会给New-PSDrive加严格的错误捕获，映射失败不会抛出终止错误，所以你看到脚本“执行无异常”，实际上盘符根本没映射成功。
• New-PSDrive默认创建的是Powershell脚本作用域的虚拟驱动器，仅在当前PS进程的脚本执行周期内可见，PS进程退出后映射自动销毁。SSIS后续访问文件的任务运行在独立的数据流/控制流上下文里，根本识别不到这个临时映射的盘符。
• 如果你用的是SQL Server默认安装生成的NT SERVICE\SQLSERVERAGENT内置服务账号，该账号默认没有网络出站访问权限，本身就无法通过SMB协议访问远程文件共享，就算映射逻辑写对了也过不了共享的身份校验。
• 你在本地VS调试能跑通，本质是因为VS继承了你当前登录的Windows账号权限：既能解密你生成的凭据文件，又有本地创建驱动器映射的权限，和SQL Agent的运行上下文完全隔离，调试结果不能直接复现作业运行场景。

优先推荐不需要映射盘符的方案，稳定性和安全性远高于自定义脚本：

• 方案1：UNC路径+SQL Agent代理（官方推荐，零脚本）
  网络驱动器映射本身就是多余步骤：SSIS所有文件连接、文件系统任务、平面文件源都原生支持\\共享服务器\共享目录\文件路径格式的UNC路径，不需要映射成本地盘符。
  配置步骤：
  1. 在SQL Server实例中创建「凭据」，录入有文件共享访问权限的Windows账号和密码，凭据内容由SQL Server使用系统密钥加密存储，不会以明文形式落盘。
  2. 创建SQL Server Agent代理账户，绑定上述凭据，授予该代理「SQL Server Integration Services包」执行权限。
  3. 将运行SSIS包的SQL Agent作业步骤，修改为使用该代理账户运行即可。
     该方案全程不需要手写脚本存密码，遵循最小权限原则，是生产环境的标准实现。
• 方案2：执行进程任务调用net use（必须用盘符时选这个）
  如果你的SSIS包里有硬编码的盘符路径不好修改，不需要用PowerShell，直接在控制流最前面加一个「执行进程任务」：
  • 可执行文件路径填C:\Windows\System32\net.exe
  • 参数填use Z: \\共享服务器\共享目录 /persistent:no
    同样搭配上述SQL Agent代理账号运行作业，net use会自动使用当前代理账号的身份完成共享认证，不需要在参数里带用户名密码，映射的盘符在整个SSIS包执行周期内全局可见，包执行结束后自动断开，不会在系统里留持久化映射。
• 不推荐的备选方案：修正现有PS逻辑
  如果你一定要用现有PS脚本，需要先用SQL Server Agent服务账号登录服务器，重新生成一次凭据XML文件，同时给New-PSDrive命令加上-Scope Global -Persist参数，还要提前给该服务账号配置对应的PowerShell执行策略。该方案后续每次共享账号改密码都需要手动重新生成XML，维护成本很高。

注意：不要为了省事直接给SQL Server内置服务账号开文件共享权限，会大幅扩大服务账号的攻击面，存在安全风险。

内容的提问来源于stack exchange，提问作者SKing