MSSQL至Oracle链接服务器远程访问异常问题求助

我之前处理过几乎一模一样的场景，先把问题明确下：

本地操作MSSQL上的Oracle链接服务器完全正常；但远程用SSMS通过Windows凭据登录时，触发ORA-12154: TNS:could not resolve the connect identifier specified错误，换成SQL sysadmin账户远程操作就没问题，服务器是混合模式。

核心原因猜个八九不离十 #

这种情况基本都是Windows身份验证的Kerberos委派或者权限问题：

• 本地操作时，MSSQL是用服务器本地的Windows上下文去访问Oracle，权限和配置都没问题；
• 远程用自己的Windows账户登录时，MSSQL需要把你的身份委派到Oracle服务器，但如果Kerberos没配置好，或者MSSQL的服务账户没拿到委派权限，就会卡壳；
• 而SQL sysadmin是SQL身份验证，MSSQL直接用自身的服务账户去连Oracle，绕开了你的Windows凭据，所以正常。

一步步排查解决 #

• 先检查MSSQL服务账户的委派权限
  如果你用的是本地系统账户跑MSSQL，建议先换成域账户（本地账户没法做跨域委派）。然后：

  1. 打开AD用户和计算机，找到MSSQL的服务账户；
  2. 右键属性→委派标签，选「信任此用户以委派到任何服务(仅Kerberos)」（如果要更安全，就选「仅委派到指定服务」，添加Oracle的服务）；
  3. 重启MSSQL服务生效。

• 确认远程Windows账户能读TNS配置
  远程登录的Windows账户需要能访问MSSQL服务器上的TNSNAMES.ORA文件（一般在Oracle\client_1\network\admin目录下）：

  • 给该账户添加这个文件和所在目录的读取权限；
  • 可以远程登到MSSQL服务器上，用这个账户直接打开TNSNAMES.ORA，看看能不能正常打开，排除权限问题。

• 检查链接服务器的安全配置
  打开SSMS找到目标链接服务器，右键属性→安全性标签：

  • 确保选的是「使用登录用户的安全上下文」（如果你们是用Windows凭据映射Oracle权限的话）；
  • 别选「不建立连接」或者错误的安全上下文选项。

• 验证Kerberos是否正常工作
  在MSSQL服务器上执行这条SQL：

  SELECT auth_scheme FROM sys.dm_exec_connections WHERE session_id = @@SPID
  

  • 如果返回KERBEROS，说明Kerberos正常；
  • 如果是NTLM，那得给MSSQL服务账户配置SPN（服务主体名称），用下面的命令（替换成你的域和服务器信息）：

    setspn -A MSSQLSvc/你的SQL服务器域名.xxx.com DOMAIN\你的SQL服务账户
    setspn -A MSSQLSvc/你的SQL服务器名:1433 DOMAIN\你的SQL服务账户
    

• 临时测试：用SQL身份验证排查
  如果前面的步骤都没解决，可以临时建个SQL登录账户，给它链接服务器的操作权限，远程用这个账户登录测试。如果正常，那肯定是Windows凭据的委派问题，回到前面的步骤再仔细排查。

内容的提问来源于stack exchange，提问作者Richard