基于用户数据配置SSRS使用条件化链接服务器连接的配置指导请求

嘿，看起来你想要实现的是基于SSRS用户身份动态切换Server B上的Impala链接服务器，这个需求在需要数据权限隔离的场景里挺常见的。我给你梳理几个关键的配置步骤，你可以一步步来落地：

• 第一步：确保SSRS用户身份能传递到SQL Server B
  首先得保证Server A上的SSRS在执行报表时，能把当前访问报表的用户身份传递到Server B。如果你们用的是Windows身份验证，直接在SSRS的数据源配置里勾选「使用当前Windows用户凭据」就行；如果是SSRS自定义的非Windows用户，得先把这些用户的凭据存储在SSRS里，同时确保Server B能识别这些用户，或者提前做好用户到Hadoop账号的角色映射。

• 第二步：在Server B上搭建动态路由逻辑
  你没法让SSRS报表直接根据用户切换链接服务器，得在Server B上做一层中间逻辑。推荐用存储过程来实现，它能灵活根据当前用户判断要调用哪个链接服务器：
  举个简单的例子，先获取当前执行的用户名，再根据预设的规则选择对应的Impala链接服务器执行查询：

  CREATE PROCEDURE GetImpalaTargetData
  AS
  BEGIN
      DECLARE @UseMaskedLink BIT
      -- 这里可以根据实际规则判断，比如从权限表查询，或者直接匹配用户名
      SET @UseMaskedLink = CASE WHEN SUSER_SNAME() IN ('SalesUser1', 'SupportUser') THEN 1 ELSE 0 END
  
      IF @UseMaskedLink = 1
          EXEC('SELECT * FROM [MaskedImpala_LS].[HadoopDB].[CustomerTable]')
      ELSE
          EXEC('SELECT * FROM [UnmaskedImpala_LS].[HadoopDB].[CustomerTable]')
  END
  

  如果觉得存储过程太灵活不好管控，也可以用视图结合函数的方式，但存储过程对动态逻辑的支持更好。

• 第三步：配置SSRS报表调用这个中间逻辑
  在Server A的SSRS里，把报表的数据源指向Server B上的这个存储过程（或者视图），而不是直接链接到Impala的服务器。这样每次用户打开报表时，Server B会自动根据当前用户身份选择对应的Impala链接服务器，进而触发Apache Ranger/Atlas的掩码策略。

• 第四步：和Ranger/Atlas的权限策略联动验证
  这一步你已经有基础配置了，只需要再核对下：Server B上两个链接服务器对应的Hadoop用户，是否在Ranger里配置了对应的掩码规则。比如非掩码用户能访问原始敏感字段，掩码用户只能看到脱敏后的数据，确保账号和权限一一对应。

• 额外的维护优化建议

  • 可以在Server B上创建数据库角色，比如MaskedDataAccess和UnmaskedDataAccess，把对应的SSRS用户加到角色里，这样判断逻辑可以改成检查用户所属角色，后续新增用户直接加角色就行，不用改存储过程：

    SET @UseMaskedLink = CASE WHEN IS_MEMBER('MaskedDataAccess') = 1 THEN 1 ELSE 0 END
    

  • 测试阶段记得用不同权限的用户登录SSRS执行报表，检查返回的数据是否符合预期，同时可以查看Server B的SQL日志，确认确实使用了正确的链接服务器。

备注：内容来源于stack exchange，提问作者Mujahid