SQL Server开启xp_cmdshell后仍报错被阻止访问问题求助

可行解决方案如下 #

• 先确认配置生效状态与操作的实例是否匹配
  若服务器部署了多个SQL Server实例，优先确认所有配置操作都是在目标业务实例上执行的，再执行以下查询验证xp_cmdshell的实际运行状态：

  SELECT name, value, value_in_use 
  FROM sys.configurations 
  WHERE name = 'xp_cmdshell'
  

  若查询结果中value_in_use字段为0，说明配置未生效，执行配置语句时使用RECONFIGURE WITH OVERRIDE替代普通RECONFIGURE，强制绕过安全策略限制完成配置：

  sp_configure 'show advanced options', 1
  RECONFIGURE WITH OVERRIDE
  GO
  sp_configure 'xp_cmdshell', 1
  RECONFIGURE WITH OVERRIDE
  GO
  

• 排查定时任务的执行账号权限
  若定时任务由SQL Server代理作业触发，确认作业步骤的运行账号属于sysadmin固定服务器角色；如果是非sysadmin账号调用xp_cmdshell，需要提前为该账号配置对应的xp_cmdshell代理账号。另外如果存储过程中使用了EXECUTE AS指定低权限用户作为执行上下文，也会因为权限不足触发该报错。
• 排查后台自动重置配置的逻辑
  服务器的域安全组策略、合规扫描工具、SQL Server自动安全补丁更新都会在无人操作的情况下自动重置xp_cmdshell为禁用状态，可以查看Windows事件查看器、SQL Server错误日志中的配置变更记录，定位到自动修改配置的进程后添加对应规则排除即可。
• 验证执行上下文一致性
  手动测试SP时如果使用的是高权限账号，而定时任务运行时用的是低权限账号，会出现手动测试正常但定时任务报错的情况，需要使用和定时任务完全相同的账号登录实例执行SP验证效果。
• 重启实例生效配置
  部分旧版本SQL Server存在运行时配置未同步的已知问题，上述操作都验证无误后可以重启SQL Server实例，重启后配置会重新加载生效。

内容的提问来源于stack exchange，提问作者Rudresh Kundur