AWS Glue使用NTLM认证连接本地SQL Server提示URL无效如何解决

API 探路者

2026-8-28

排查思路

先确认JDBC驱动版本兼容性：AWS Glue内置镜像自带的SQL Server JDBC驱动版本普遍低于7.0，原生不支持authenticationScheme=NTLM参数，加载URL时会直接将该参数判定为非法属性，抛出连接URL无效错误。优先检查作业实际加载的驱动版本，若为内置旧版本驱动，可直接锁定根因。
校验URL格式合法性：SQL Server JDBC URL的参数分隔符为分号，不支持?作为参数起始标记、不支持&作为参数连接符，若误套用其他数据库的URL拼接规则（比如在参数前加?、用&分隔参数），或是给参数值额外添加单/双引号，都会触发URL无效报错。
做基础连通性对照测试：临时移除URL中的integratedSecurity=true;authenticationScheme=NTLM两个参数，改用SQL账号密码认证测试连通性。如果此时仍报URL无效，说明问题出在VPC、安全组、地址端口配置等基础网络层，和NTLM参数无关；如果移除参数后能正常连通，再加回参数复现报错，即可锁定问题出在NTLM相关配置上。
检查认证依赖缺失：旧版本SQL Server JDBC驱动做NTLM认证依赖Windows平台的sqljdbc_auth.dll系统文件，而AWS Glue运行环境为Amazon Linux，默认无该依赖，驱动初始化认证模块时也会抛出URL无效类的初始化错误。

可行解决方案

方案1：替换为高版本跨平台JDBC驱动
自行下载9.4及以上版本的mssql-jdbc驱动jar包上传至S3，在Glue作业配置的「依赖JAR包路径」中引用该S3路径，同时明确指定驱动类为com.microsoft.sqlserver.jdbc.SQLServerDriver。高版本驱动已实现NTLM认证的跨平台支持，不需要依赖Windows系统dll，可正常识别NTLM相关参数，不会触发参数非法报错。
方案2：修正URL拼接格式
不要在Glue控制台的「额外连接参数」栏零散填写NTLM相关参数，直接在JDBC连接串输入框中填写完整的合法URL，所有参数之间仅用分号分隔，不要添加多余的转义符、引号、问号、&连接符。可直接参考的合法URL格式如下：
```
jdbc:sqlserver://<本地SQL Server内网IP>:1433;databaseName=<目标库名>;integratedSecurity=true;authenticationScheme=NTLM;domain=<NTLM认证域名>;encrypt=true;trustServerCertificate=true
```
注意NTLM认证必须搭配domain参数指定所属域，缺省该参数会导致后续认证失败，但不会触发URL无效报错。

方案3：通过连接属性传参绕开控制台校验
若Glue控制台对URL中的特殊参数做了前置拦截，不要把NTLM认证参数写在URL中，直接在Glue作业脚本里通过JDBC连接属性对象传入认证参数，避开控制台的URL格式校验。PySpark作业参考代码如下：

jdbc_conf = {
    "user": "<NTLM账号>",
    "password": "<NTLM密码>",
    "integratedSecurity": "true",
    "authenticationScheme": "NTLM",
    "domain": "<NTLM认证域名>",
    "driver": "com.microsoft.sqlserver.jdbc.SQLServerDriver"
}

# 读取数据示例
source_df = glueContext.read.jdbc(
    url="jdbc:sqlserver://<本地SQL Server内网IP>:1433;databaseName=<目标库名>;encrypt=true;trustServerCertificate=true",
    table="<目标表名>",
    properties=jdbc_conf
)

内容的提问来源于stack exchange，提问作者Asce4s