Invoke-AzVMRunCommand远程执行SQL备份还原脚本失败排查

算力阿峰

2026-8-27

问题描述

现有一套基于PowerShell SQL Server模块/DBATools模块开发的SQL备份还原脚本，可兼容SQL Server 2014 Standard、SQL Server 2019 Standard版本
脚本在目标服务器本地直接运行时，可正常完成SQL凭据创建、数据库备份全流程操作
因业务需求需从其他服务器远程触发备份，采用Invoke-AzVmRunCommand方式远程调用脚本时，脚本可成功切换至SQL Server PowerShell路径：

SQLSERVER:\SQL\$env:COMPUTERNAME\DEFAULT

路径切换后，脚本内所有SQL相关操作函数全部执行失败，无明确错误明细，仅返回通用报错提示：

Failed to create credentials or backup and restore databases
（中文含义：凭据创建或数据库备份还原操作失败）

问题根因

执行上下文权限不匹配：Invoke-AzVmRunCommand默认使用本地系统账号NT AUTHORITY\SYSTEM执行远程下发的脚本，该账号默认未被授予SQL Server实例的操作权限；本地执行时使用的是当前登录的有权限用户账号，二者权限边界完全不同
隐式认证失效：切换到SQLSERVER:路径仅代表PowerShell成功加载了SQL Server Provider，不代表已经通过了SQL实例的身份认证，远程非交互式会话下不会像本地交互式会话一样自动透传当前用户的认证凭据
错误捕获逻辑过于宽泛：脚本对SQL操作的异常做了全捕获，直接吞掉了权限不足、认证失败、模块加载异常等具体错误信息，只抛出通用提示，加大了排查难度

修复步骤

先放开错误捕获拿到具体报错
调整脚本内所有SQL操作的catch块，不要直接返回通用提示，先输出完整错误信息定位具体问题：

catch {
    # 输出完整错误详情，定位问题后可再改回原有错误提示
    Write-Output $_.Exception.ToString()
    throw "Failed to create credentials or backup and restore databases"
}

显式指定有权限的执行账号
调用Invoke-AzVmRunCommand时，不要使用默认的SYSTEM账号上下文，通过-RunAsUser、-RunAsPassword参数传入同时具备以下权限的账号：
- 目标服务器本地管理员权限（用于远程执行脚本、加载模块、访问磁盘备份路径）
- SQL Server实例内的操作权限：创建凭据的权限、数据库备份/还原权限、对应备份目录的读写权限
不要依赖路径切换的隐式认证
所有SQL相关操作显式传入认证参数，不要依赖切换路径后的默认上下文：
- 使用原生SQL模块时，提前获取有权限的账号凭据，执行SQL操作时通过-Credential参数显式传入
- 使用DBATools模块时，所有备份、凭据创建命令显式添加-SqlCredential参数传入SQL认证凭据，Windows认证场景下提前确认执行账号的实例权限
脚本开头强制加载依赖模块
远程非交互式会话不会自动加载所有已安装的PowerShell模块，在脚本最开头添加强制加载逻辑，避免模块加载不全导致的命令执行失败：
```
# 强制加载SQL Server官方模块
Import-Module SqlServer -Force -ErrorAction Stop
# 若使用DBATools模块，添加以下行
Import-Module dbatools -Force -ErrorAction Stop
```
若必须使用默认SYSTEM账号执行脚本，需提前在SQL Server实例内为NT AUTHORITY\SYSTEM账号授予对应服务器级操作权限，同时授予该账号对备份存储目录的完全控制权限。

内容的提问来源于stack exchange，提问作者silverbackbg