SSIS: сбой входа для пользователя 'NT AUTHORITY \ ANONYMOUS LOGON'

Question

Предисловие: пакеты служб SSIS развертываются на сервере SQL, скажем, serv1, и в этих пакетах с использованием аутентификации windows выполняется соединение с другим SQL сервером, serv2. И

1. Я использую windows аутентификацию, учетную запись домена, чтобы войти на serv1
2. Эта учетная запись также имеет логин на serv2, хотя через другую windows группу
3. SPN зарегистрированы для обеих SQL учетных записей служб сервера, и делегирование включено.
4. auth_scheme - kerberos. Хотя для учетных записей служб NTLM используется, поскольку протокол сетевого уровня Shared memory. А для других учетных записей домена используется kerberos, TCP.

При выполнении этих пакетов они завершаются с ошибкой Login failed for user 'NT AUTHORITY\ ANONYMOUS LOGON'. Все решения этого сценария указывают на проблему двойного прыжка . Везде решение включает в себя шаги, упомянутые выше. Есть ли здесь что-то, чего мне не хватает.

Answer 1

Хотя вы, вероятно, могли бы выяснить проблему с Kerberos, я, как правило, вообще избегаю этой проблемы. Вот несколько способов решить эту проблему:

1. Выполните пакет с SQL агентом под учетной записью службы агента sql, если учетная запись службы является учетной записью управляемой группы (GMSA). или фактическая учетная запись домена. Логин может быть создан для учетной записи на целевом сервере. Учетные записи GMSA обеспечивают дополнительный уровень безопасности - подробнее об этом здесь: https://docs.microsoft.com/en-us/windows-server/security/group-managed-service-accounts/group-managed-service-accounts-overview.
2. Выполните пакет с SQL Агентом под учетной записью прокси. Это сохраняет учетные данные на сервере SQL, и это проще сделать, если у вас нет прав на изменение учетной записи для службы агента sql. Подробнее о настройке прокси здесь: https://docs.microsoft.com/en-us/sql/ssms/agent/create-a-sql-server-agent-proxy?view=sql-server-ver15. После создания учетной записи-посредника вы сможете выбрать опцию в sql агентском задании
3. . Можно изменить соединения, чтобы использовать SQL аутентификацию, хотя описанные выше параметры предпочтительнее в терминах безопасности. Это будет вариант, если у вас по какой-то причине нет агента sql.