SQL Server 代理帳戶完整指南：從 SQL 2000 到 2008 的演進與實作

前言：為什麼需要代理帳戶？

當應用程式僅需存取 SQL Server 實例內部物件時，安全性相對單純。但現實中，應用程式常需呼叫外部資源：檔案系統、網路共享、環境變數、登錄，甚至透過 xp_cmdshell 執行 Windows Shell 命令、或由 SQL Server Agent 作業執行 Active Scripting / Web Service 任務。預設情況下，只有 sysadmin 固定伺服器角色成員才能執行這些高權限操作，且執行時會繼承 SQL Server 或 Agent 服務帳戶的安全上下文——這在企業環境中違反最小權限原則，因為 DBA 與開發人員角色通常分離，開發人員不應擁有 sysadmin 權限。

SQL Server 提供「代理帳戶」機制，讓非 sysadmin 登入也能在受控的 Windows 帳戶安全上下文中執行外部操作，兼顧功能性與安全性。

SQL Server 2000：單一代理帳戶時代

SQL Server 2000 使用擴充預存程序 xp_sqlagent_proxy_account 設定唯一的全域代理帳戶，供 xp_cmdshell 與 Active Scripting 作業步驟共用。範例腳本：

USE master;
GO
-- 建立測試登入
EXEC sp_addlogin 'testuser', 'testuser';
-- 設定代理帳戶為網域帳戶 PowerDomain\PowerUser
EXECUTE xp_sqlagent_proxy_account N'SET', N'PowerDomain', N'PowerUser', N'P@ssw0rd';
-- 允許非 sysadmin 登入執行 Active Scripting 與 xp_cmdshell
EXECUTE msdb..sp_set_sqlagent_properties @sysadmin_only = 0;
-- 授與資料庫存取權
EXEC sp_grantdbaccess 'testuser';
-- 授與 xp_cmdshell 執行權限
GRANT EXEC ON xp_cmdshell TO [testuser];
GO

限制：全 instance 僅能存在一組代理帳戶，無法針對不同作業或使用者區分權限。

SQL Server 2005 / 2008：憑證為基礎的細緻化模型

自 SQL Server 2005 起，xp_cmdshell 代理改為透過系統憑證 ##xp_cmdshell_proxy_account## 實現，由 sp_xp_cmdshell_proxy_account 建立。同時，SQL Server Agent 引入「Proxy 帳戶」與「認證」體系，可為不同子系統（CmdExec、PowerShell、SSIS、Replication 等）建立獨立 Proxy，實現更精細的權限控管。

USE master;
GO
CREATE LOGIN testuser WITH PASSWORD = 'P3h4jek@x';
-- 建立 xp_cmdshell 專用 Proxy 憑證
EXEC sp_xp_cmdshell_proxy_account 'PowerDomain\PowerUser', 'P@ssw0rd';
EXEC sp_grantdbaccess 'testuser';
GRANT EXEC ON sys.xp_cmdshell TO [testuser];
GO

驗證憑證是否建立：

SELECT * FROM sys.credentials WHERE name = '##xp_cmdshell_proxy_account##';

最佳實務建議

• 遵循最小權限：代理帳戶僅授予完成特定外部任務所需的 Windows 權限。
• 分離職責：為不同子系統（CmdExec、SSIS、Replication）建立專屬 Proxy 與 Credential。
• 稽核與輪換：定期審查代理帳戶使用情況，並依安全性政策輪換密碼。
• 監控 xp_cmdshell：啟用稽核或 Extended Events 追蹤所有呼叫。

總結

從 SQL 2000 的單一全域代理，到 2005/2008 基於憑證與 Proxy 的多層次授權模型，SQL Server 代理帳戶機制不斷演進，讓資料庫專業人員能在不授予過高權限的前提下，安全地整合外部資源。正確規劃與管理代理帳戶，是企業級 SQL Server 部署的關鍵環節。