通过SQL Agent运行SSIS包失败，报0x8009000B解密错误求助

这个问题我之前帮不少同行排查过，核心就是SSIS包的加密机制在本地SSDT和SQL Agent的执行上下文不匹配——你本地运行时用的是自己的用户密钥加密敏感数据（比如数据库密码），但SQL Agent用的是服务账户或代理账户，两者的密钥不一样，自然解密失败。下面是一步步的解决办法：

1. 调整包的保护级别（最常见的解决方案） #

打开SSDT里的包，右键点击包 → 选择「属性」，找到ProtectionLevel（保护级别）选项，默认的EncryptSensitiveWithUserKey是罪魁祸首——它只会用当前登录用户的密钥加密敏感数据，换个账户运行就打不开。推荐换成这几个更适合SQL Agent的选项：

• EncryptSensitiveWithPassword：用你指定的密码加密敏感数据。设置后，在SQL Agent的作业步骤里，点击「配置」→「高级」，输入你设置的密码即可。
• ServerStorage：如果你的包是部署到SSIS Catalog（SSISDB），选这个最省心——敏感数据会存在SQL Server里，由数据库的凭据系统管理，不用手动输入密码，权限也更安全。
• DontSaveSensitive：不保存敏感数据到包里，需要把密码这类信息放到配置文件、环境变量或者SQL Server凭据里，运行时动态加载。适合对安全性要求极高的场景。
• EncryptAllWithPassword：加密整个包（不止敏感数据），同样需要在SQL Agent作业步骤里提供密码，适合需要完整保密包内容的情况。

2. 检查SQL Agent代理账户的权限 #

如果你的包存在文件系统里，SQL Agent的运行账户（或者你指定的代理账户）必须有包文件的读取权限，同时如果包用到了其他资源（比如共享文件夹、目标数据库），也要确保这个账户有对应的访问权限。

另外，如果你非要用EncryptSensitiveWithUserKey（不推荐），可以把SQL Agent的代理账户改成你本地运行SSDT的账户，但这种方式扩展性差，换机器或者换账户就会失效，不建议长期用。

3. 确认部署环节的细节 #

• 如果是项目部署到SSISDB：部署时要确认保护级别设置正确，并且作业步骤关联了正确的环境（如果用环境变量存储敏感数据）。
• 如果是包部署到MSDB：导入包到MSDB时，要选择合适的保护级别转换——比如导入时指定密码，或者选择用服务器存储加密数据。

4. 清理本地加密缓存（偶尔有用） #

有时候本地的加密缓存会导致包的加密信息异常，你可以试试在SSDT里重新保存包，确保敏感数据是用新的保护级别重新加密的，然后再重新部署到目标环境。

额外提醒 #

尽量不要在包里硬编码敏感数据，用配置文件、SSIS环境变量或者SQL Server凭据来管理，不仅能避免这类加密问题，也更符合安全规范。

内容的提问来源于stack exchange，提问作者user3569267