调用含xp_cmdshell的存储过程提示无法在当前安全上下文访问数据库

报错信息 #

The server principal "xxx" is not able to access the database "dbbb" under the current security context

排查步骤 #

• 核对数据库名称拼写：你存储过程中写的是USE dbbbb（共4个字母b），报错中提示的无法访问的库名为dbbb（共3个字母b），先确认是否是脚本中库名拼写错误导致的问题。
• 验证sqlcmd执行账号权限：确认执行sqlcmd命令的账号xxx是否在目标数据库下存在映射用户，且拥有执行脚本、调用xp_cmdshell的相关权限。
• 检查xp_cmdshell代理账号配置：如果xxx不属于SQL Server的sysadmin角色，调用xp_cmdshell时会默认使用预配置的##xp_cmdshell_proxy_account##凭证，需确认该代理账号拥有目标数据库的访问权限，同时具备dtexec工具执行权限、SSIS包文件路径的读写权限。
• 校验SSIS包内部权限：如果SSIS包内包含访问dbbbb数据库的逻辑，需确认包内配置的数据库连接账号拥有对应库的访问权限。

解决方案 #

1. 修正拼写错误 #

如果确认是脚本中库名拼写错误，直接将存储过程开头的USE dbbbb修改为实际的数据库名称即可。

2. 给执行账号授予对应权限 #

使用具备sysadmin权限的账号登录SQL Server，执行以下命令为xxx账号赋权：

-- 创建目标库的映射用户
USE [dbbbb]
GO
CREATE USER [xxx] FOR LOGIN [xxx]
GO

-- 授予目标库的执行权限
GRANT EXECUTE TO [xxx]
GO

-- 授予xp_cmdshell调用权限
USE master
GO
GRANT EXECUTE ON xp_cmdshell TO [xxx]
GO

3. 配置xp_cmdshell代理账号（非sysadmin账号调用时需要） #

如果xxx不是sysadmin角色，先配置代理账号并赋权：

-- 配置xp_cmdshell代理账号，替换为实际的域账号/本地账号和密码
EXEC sp_xp_cmdshell_proxy_account 'DOMAIN\your_proxy_account', 'your_proxy_password'
GO

之后给该代理账号授予dbbbb数据库的访问权限、SSIS包所在文件夹的读写权限、dtexec工具的执行权限即可。

4. 修正SSIS包权限配置 #

如果是SSIS包内部连接数据库报错，修改包内的数据库连接字符串，替换为拥有dbbbb库访问权限的账号凭证，重新打包后再执行即可。

内容的提问来源于stack exchange，提问作者Riccardo Pezzolati