如何加密SQL Server Agent Job中PowerShell脚本使用的明文密码

当前配置界面：

以下是3种可落地的安全处理方案，优先级从高到低排列： #

方案1：使用SQL Server代理Proxy账户（推荐） #

不需要手动传递任何凭证参数，依托SQL Server原生的凭据管理能力实现上下文身份继承：

• 进入SQL Server 「安全性」→「凭据」节点，新建凭据，填入有权限访问目标SQL实例的账户名和密码
• 进入「SQL Server代理」→「代理」→「PowerShell」节点，新建代理，绑定刚才创建的凭据，给Job所有者分配该代理的使用权限
• 打开对应Job的PowerShell步骤配置，将「运行身份」修改为刚创建的代理
• 脚本内直接用集成身份验证连接目标SQL实例即可，全程不会出现明文密码

方案2：DPAPI加密存储密码 #

如果你必须手动传入密码参数，可以用Windows原生DPAPI加密密码，加密结果仅能在当前机器、当前SQL Server Agent服务账户上下文下解密：

1. 切换到SQL Server Agent服务的运行账户，执行以下PowerShell命令生成加密密码文件：
   ConvertTo-SecureString "你的明文密码" -AsPlainText -Force | ConvertFrom-SecureString | Out-File "C:\权限受限目录\encrypted_pwd.txt"
2. 给加密文件仅开放SQL Server Agent服务账户的读取权限，删除所有其他账户的访问权限
3. Job的PowerShell脚本内直接读取解密使用：

$securePwd = Get-Content "C:\权限受限目录\encrypted_pwd.txt" | ConvertTo-SecureString
$cred = New-Object System.Management.Automation.PSCredential("目标SQL用户名", $securePwd)
# 后续用$cred连接目标SQL即可

方案3：本地密钥保管库存储凭证 #

使用PowerShell官方的SecretManagement模块管理凭证，安全性更高，还支持后续修改凭证不需要调整Job配置：

1. 提前在服务器上安装对应模块：
   Install-Module Microsoft.PowerShell.SecretManagement, Microsoft.PowerShell.SecretStore -Scope AllUsers
2. 切换到SQL Server Agent服务账户，创建本地保管库并存储凭证：

Register-SecretVault -Name LocalSQLVault -ModuleName Microsoft.PowerShell.SecretStore -DefaultVault
Set-Secret -Name TargetSQL_Cred -Secret (Get-Credential)
# 按提示输入目标SQL的用户名和密码即可

3. Job的PowerShell脚本内直接读取凭证：
   $cred = Get-Secret -Name TargetSQL_Cred

注意：禁止将明文密码、加密密码串直接写在Job的参数或者步骤定义中，避免有Job查看权限的用户直接获取到敏感信息。

内容的提问来源于stack exchange，提问作者Reyan Chougle