如何配置SQL Server特定用户仅可访问执行指定Agent作业

完全可以实现不依赖SSMS筛选的精准权限控制，核心思路是避免使用SQLAgentReaderRole等默认的通用SQL Agent角色，转而通过细粒度权限分配实现仅开放指定作业的查看和执行权限。

前置操作 #

首先将目标用户从msdb数据库下的SQLAgentUserRole、SQLAgentReaderRole、SQLAgentOperatorRole三个固定SQL Agent角色中移除，这类通用角色默认会开放所有作业的查看权限。

两种可行配置方案 #

方案1：修改目标作业所有者（全版本兼容，配置最简单） #

SQL Agent默认规则是：用户仅能查看自己作为所有者的作业，不需要额外分配通用角色权限，就能直接查看和启动自己名下的作业。
执行以下SQL修改Job2的所有者为目标用户即可：

USE msdb;
GO
-- 先确保目标登录在msdb库有对应的用户
CREATE USER [你的域名\目标用户名] FOR LOGIN [你的域名\目标用户名];
GO
-- 修改Job2的所有者
EXEC dbo.sp_update_job 
    @job_name = N'Job2',
    @owner_login_name = N'你的域名\目标用户名';
GO

方案2：自定义角色+行级安全（适合不允许修改作业所有者的场景） #

如果Job2的所有者必须保留为管理员账号，SQL Server 2016及以上版本可以通过自定义角色+行级安全策略实现权限控制：

1. 首先在msdb库创建自定义权限角色

USE msdb;
GO
CREATE ROLE Job2_AccessRole;
GO
-- 授予角色基础的作业操作权限
GRANT EXECUTE ON dbo.sp_start_job TO Job2_AccessRole;
GRANT SELECT ON dbo.sysjobs_view TO Job2_AccessRole;
GO
-- 将目标用户加入自定义角色
EXEC sp_addrolemember N'Job2_AccessRole', N'你的域名\目标用户名';
GO

2. 创建行级安全过滤函数，限制角色仅能看到Job2

CREATE FUNCTION dbo.fn_JobPermissionFilter(@job_id UNIQUEIDENTIFIER)
RETURNS TABLE
WITH SCHEMABINDING
AS
RETURN SELECT 1 AS access_result
WHERE
  -- 仅允许访问Job2
  @job_id = (SELECT job_id FROM dbo.sysjobs WHERE name = N'Job2')
  -- 保留管理员的全量作业访问权限
  OR IS_MEMBER(N'db_owner') = 1
  OR IS_SRVROLEMEMBER(N'sysadmin') = 1;
GO

3. 绑定安全策略到作业视图

CREATE SECURITY POLICY JobAccessControlPolicy
ADD FILTER PREDICATE dbo.fn_JobPermissionFilter(job_id)
ON dbo.sysjobs_view
WITH (STATE = ON);
GO

效果验证 #

配置完成后目标用户重新登录SSMS，刷新SQL Agent作业列表，仅会显示Job2，无法查看Job1和Job3，同时可以正常启动运行Job2，原有Proxy等作业配置不受影响。

内容的提问来源于stack exchange，提问作者HackingWiz