如何在SSIS包中以管理员身份运行PowerShell远程配置防火墙？

云原生阿岚

2026-5-27

解决SSIS Execute Process任务远程执行PowerShell脚本访问被拒绝的问题

从你贴出的错误信息：

Connecting to remote server [SERVERNAME] failed with the following error message: Access is denied. For more information, see the aboute_Remote_Troubleshooting Helptopic. + CategoryInfo : OpenError: (SERVERNAME:String) [], PSRemotingTransportException + FullyQualifiederrorId : AccessDenied, PSSessionStateBroken

可以确定，这个问题本质是PowerShell远程（WinRM）的权限限制——哪怕你的SSIS执行账户是目标服务器的本地管理员，WinRM默认也会对远程访问的管理员做额外权限校验。先给你明确答案：当然可以在SSIS包中以管理员身份运行相关操作，但需要从以下几个方向调整配置和脚本：

1. 先搞定目标服务器的WinRM远程权限配置

WinRM默认不会自动允许所有本地管理员远程执行PowerShell命令，你需要在目标服务器上以管理员身份执行以下操作：

方式一：图形化配置权限

# 先确保WinRM已启用
Enable-PSRemoting -Force

# 打开WinRM权限配置窗口
Set-PSSessionConfiguration -Name Microsoft.PowerShell -ShowSecurityDescriptorUI

在弹出的安全设置窗口中，找到你的SSIS执行账户（目标服务器本地管理员），确保它拥有Execute(Invoke)权限，保存配置即可。

方式二：命令行快速配置

如果不想用图形界面，直接执行这段脚本：

$adminAccount = "目标服务器名\你的SSIS执行账户名"
$config = Get-PSSessionConfiguration Microsoft.PowerShell
$acl = $config.SecurityDescriptorSddl | ConvertFrom-SddlString

# 移除旧权限（如果存在），添加新的完全控制权限
$acl.Access | Where-Object { $_.IdentityReference.Value -eq $adminAccount } | ForEach-Object { $acl.RemoveAccessRule($_) }
$newRule = New-Object System.Security.AccessControl.FileSystemAccessRule($adminAccount, "FullControl", "Allow")
$acl.AddAccessRule($newRule)

# 应用配置
Set-PSSessionConfiguration -Name Microsoft.PowerShell -SecurityDescriptorSddl ($acl | ConvertTo-SddlString) -Force

2. 调整SSIS Execute Process任务的运行身份

如果你用SQL Server代理运行SSIS包：

打开SQL Server代理，找到对应的作业，进入「作业步骤」配置
在「运行身份」下拉框中，选择已关联目标服务器管理员凭据的代理账户（如果没有代理账户，先创建一个，绑定正确的管理员凭据）
在Execute Process任务的「参数」里，给PowerShell加上-ExecutionPolicy Bypass，避免执行策略限制脚本运行

如果你在Visual Studio中调试SSIS包：

直接以管理员身份启动Visual Studio，这样Execute Process任务会继承管理员权限执行，避免本地权限不足的问题。

3. 优化你的PowerShell脚本

你的原脚本有冗余逻辑（重复定义参数、遍历所有防火墙规则判断），容易导致错误，这里给你修正后的版本：

$computername = hostname
$script = {
    # 检查并创建1434端口的DAC防火墙规则
    $dacRule = Get-NetFirewallRule -DisplayName "DAC" -ErrorAction SilentlyContinue
    if (-not $dacRule) {
        New-NetFirewallRule -DisplayName "DAC" -LocalPort 1434 -Direction Inbound -Protocol TCP -Action Allow -Enabled True
    }

    # 检查并创建1433端口的MSSQLSERVER防火墙规则
    $sqlRule = Get-NetFirewallRule -DisplayName "MSSQLSERVER" -ErrorAction SilentlyContinue
    if (-not $sqlRule) {
        New-NetFirewallRule -DisplayName "MSSQLSERVER" -LocalPort 1433 -Direction Inbound -Protocol TCP -Action Allow -Enabled True
    }
}

# 如果需要明确指定管理员账户执行，可添加-Credential参数
Invoke-Command -ScriptBlock $script -ComputerName $computername

脚本优化说明：

用-ErrorAction SilentlyContinue避免规则不存在时抛出无关错误
直接按DisplayName查询规则，比遍历所有规则效率更高，逻辑更清晰
新增-Enabled True参数，确保创建的规则直接生效

额外排查点

确认目标服务器防火墙没有阻止WinRM默认端口（5985 HTTP / 5986 HTTPS）
给SSIS执行账户添加「登录作为批处理作业」的权限（在目标服务器的「本地安全策略」→「用户权限分配」中配置）
如果是跨域环境，在Invoke-Command中添加-Authentication NTLM参数，避免Kerberos认证问题

内容的提问来源于stack exchange，提问作者Aikman

如何在SSIS包中以管理员身份运行PowerShell远程配置防火墙？

1. 先搞定目标服务器的WinRM远程权限配置 #

方式一：图形化配置权限 #

方式二：命令行快速配置 #

2. 调整SSIS Execute Process任务的运行身份 #

如果你用SQL Server代理运行SSIS包： #

如果你在Visual Studio中调试SSIS包： #

3. 优化你的PowerShell脚本 #

脚本优化说明： #

额外排查点 #