Windows任务计划程序运行Talend作业连接远程MSSQL时Windows身份验证使用哪个用户

前提背景 #

Windows任务计划程序会为每个任务关联两类独立用户账户：

• 任务创建作者账户：对应用户创建、修改任务时使用的本地登录账户
• 任务执行账户：任务被触发启动进程时，为进程分配运行权限的账户

核心结论 #

通过任务计划启动的Talend作业，连接远程MSSQL时用于Windows身份验证的实际用户，是任务配置的「任务实际运行时的执行账户」，和任务创建作者账户无任何关联。

技术逻辑说明 #

• Windows集成身份验证的身份传递完全基于进程持有的访问令牌，不会追溯进程的创建者、发起任务的操作人身份
• 任务创建作者账户仅用于校验任务的修改、删除权限，不会参与任务启动后的进程上下文构建
• Talend作业启动后是独立的JVM进程，完全继承任务计划分配的运行账户令牌；当作业发起带Integrated Security=true参数的MSSQL连接请求时，传递给远程数据库的认证身份就是该令牌对应的账户

实操注意事项 #

• 若配置任务时使用了SYSTEM、本地服务等内置系统账户作为执行账户，哪怕是用自己的域登录账户创建的任务，连接MSSQL时也会使用该系统账户的身份发起认证，通常会因数据库无对应账号权限报登录失败
• 若需要使用指定域账户完成MSSQL的Windows认证，必须在任务计划的常规配置页手动将该域账户设为任务执行账户，同时配置好对应账户密码、选择“无论用户是否登录都要运行”的选项
• 跨网段访问远程MSSQL时，需保证任务配置的执行账户和MSSQL服务账户处于同一信任域环境，否则身份令牌传递会被网络策略拦截

内容的提问来源于stack exchange，提问作者Krishnachandran E S