MS Access连接SQL Server Windows身份验证下使用服务账号问题咨询

第一个问题解答 #

当SQL Server仅开启Windows身份验证时，无法直接在Access连接字符串中传入Windows账号的用户名和密码完成登录，必须使用Trusted Connection（可信连接/集成安全）方式。

底层逻辑说明：SQL Server的Windows身份验证依托Windows系统的安全令牌完成身份校验，不会校验连接字符串中传入的账号密码字段，该字段仅在SQL Server身份验证模式下生效，这是SQL Server的原生机制限制，和Access前端无关，也是之前测试传入账号密码被拒绝的根本原因。

第二个问题解答 #

不需要修改SQL Server端配置的前提下，有两种成熟可行的实现方案：

• 方案1：使用runas命令封装启动脚本
  可以给用户制作专用的启动脚本（批处理或VBS脚本均可），核心调用Windows自带的runas命令，示例批处理代码如下：

  runas /user:你的域名\服务账号名称 /savecred "C:\本地Access前端存储路径\你的前端文件.accdb"
  

  该方案实现成本为0，无需修改任何Access代码，用户首次启动时输入一次服务账号密码，后续Windows会自动保存凭据，无需重复输入。
• 方案2：Access VBA调用Windows API实现身份模拟
  可以在Access前端的启动逻辑（自动执行宏或启动窗体加载事件）中加入Windows身份模拟代码，核心调用LogonUser、ImpersonateLoggedOnUser、RevertToSelf三个系统API，在建立SQL Server连接前模拟为服务账号身份，连接完成后也可根据需要撤销模拟，整个过程用户无感知。
  该方案不需要给用户额外提供启动脚本，所有逻辑封闭在Access前端内部，只需要将服务账号的凭据加密存储在前端的隐藏表或加密后的VBA常量中即可，避免明文泄露风险。

内容的提问来源于stack exchange，提问作者Kevin