SSIS包经SQL代理作业运行连接Access库意外终止的最小权限配置方案

当前场景下的“非管理员域用户执行作业报Unexpected Termination、加本地管理员组后可正常运行”，是ACE OLEDB组件在非特权用户上下文运行时的典型权限缺失问题。SSIS没有捕获到详细错误的原因是：ACE组件在初始化阶段遇到权限不足时，会直接终止进程，不会向SSIS运行时传递结构化异常信息。核心触发点包括：

• 注册表权限缺口：ACE OLEDB.16.0 组件在系统注册表（HKCR路径）写入的配置项，默认仅给本地管理员组开放读取权限。当SQL代理作业使用普通域账号模拟执行时，因为无法读取组件的注册配置，会直接触发进程崩溃。
• 本地系统路径权限缺口：ACE引擎加载时需要访问Program Files下的Office共享组件目录、在当前模拟用户的临时目录生成缓存/锁文件。经过安全加固的服务器通常会收紧普通用户对上述路径的权限，权限不足时就会出现无详细日志的意外终止。

Visual Studio本地调试、SSIS目录手动右键执行能正常运行，是因为这两个场景的执行身份是当前登录的具备本地管理员权限的账号，完全满足ACE组件的权限要求，不会触发权限校验失败。

完全不需要给运行作业的域账号（示例账号：domainname\user1）添加本地管理员权限，按以下最小权限规则配置即可保障作业正常运行：

• 注册表权限配置：
  • 定位到注册表项HKEY_CLASSES_ROOT\Microsoft.ACE.OLEDB.16.0，给domainname\user1授予读取权限
  • 由于包调用的是匹配32位Access运行时的组件，需要同步给注册表项HKEY_CLASSES_ROOT\WOW6432Node\Microsoft.ACE.OLEDB.16.0授予同账号的读取权限，无需开放写入或完全控制权限
• 本地文件系统权限配置：
  • 对路径C:\Program Files\Common Files\microsoft shared\OFFICE16，给domainname\user1授予读取和执行权限，满足ACE组件加载动态链接库的需求
  • 对domainname\user1对应的本地用户临时目录（通常路径为C:\Users\domainname\user1\AppData\Local\Temp），给同账号授予修改权限，满足ACE引擎生成临时缓存文件的需求
• 共享访问权限配置：
  • 对UNC路径\\my-share\accessdbfile.accdb对应的本地共享，给domainname\user1授予共享层面的读取权限
  • 对该accdb文件所在的本地文件夹，在NTFS安全配置中给domainname\user1授予文件的读取权限，无需开放写入权限（仅读取数据同步场景下）
• 执行参数优化：
  在SSIS目录的包执行配置中，开启32位运行时执行开关，匹配已安装的32位Access运行时，避免因32位/64位组件架构不匹配触发的静默崩溃。

内容的提问来源于stack exchange，提问作者variable