SQL Server Credential账户最佳实践：长期运行代理作业应使用什么账户

首选方案：域环境下使用托管服务账户(MSA) #

托管服务账户是微软专为服务类场景设计的专用账户类型，是业界首推的作业运行凭据方案，完全解决个人账号密码定期轮换导致的失效问题：

• 分为独立托管服务账户(sMSA)和组托管服务账户(gMSA)两类，单服务器运行作业选sMSA，多服务器共享同一作业凭据选gMSA
• 账户密码由域控制器自动生成、定期轮换，无需人工维护密码，也不存在密码过期问题
• 仅允许绑定的服务器使用该账户，禁止交互式登录，安全风险远低于普通用户账户
• 可严格按照最小权限原则分配权限，仅开放脚本运行、依赖资源访问（文件路径、其他服务、数据库等）的必要权限，避免过度授权

落地操作步骤 #

1. 由域管理员在AD中创建对应sMSA/gMSA，授权SQL Server所在主机的计算机账号有权限使用该MSA
2. 在SQL Server中创建凭据，账户名填写MSA的完整标识域\MSA名称$（注意末尾必须带$符号），密码栏留空即可
3. 创建SQL Server Agent代理账户，绑定上述凭据，开启CmdExec/PowerShell子系统权限，授予作业使用该代理的权限
4. 作业步骤的运行身份选择该代理账户即可正常运行

备选方案：工作组环境使用本地专用服务账户 #

如果是无AD的工作组部署场景，使用本地专用账户：

• 单独创建仅用于该作业的本地用户，命名清晰易识别，例如SQL_PS_Job_Runner，不要复用任何个人账号
• 配置账户属性为「密码永不过期」，设置强密码，同时开启「禁止交互式登录」「仅允许作为服务登录」的限制
• 严格控制账户权限，仅分配脚本执行、依赖资源访问的最小权限，无必要不要加入本地管理员组

禁止使用个人管理员账户、普通员工用户账户作为长期作业的运行凭据，除了密码过期问题，还会存在人员离职、权限过度分配带来的稳定性、安全隐患。

内容的提问来源于stack exchange，提问作者CaptainBalrog