HornetBlack,

что вы понимаете под "линковкой"?

у вас ХП которая не работает использует процедуры sp_*linkedserver* ?

Владислав Колосов,

возможно у них файликов много нужно читать и имена файлов каждый раз разные. согласен что лучше использовать что нибудь типа ssis.

но вопрос автора в другом, вообще должно работать.

HornetBlack,
а какую ошибку выдает при запуске ХП?

HornetBlack,

вы писали: "Доменный пользователь, состоящий в этой группе, нормально работает с базой за исключением ХП, линкующей внешний сервер"

но вы как то же поняли что без отдельной учетки ХП не работает. как это проявляется?
сервер же вам не пишет на выходе: "не работаю. заведи учетку отдельно"

HornetBlack,

Вам нужно начать с локализации проблемы:
если вы считаете что у пользователя валится процедурка которая создает линкованный сервер на определенный excel файл, попробуйте съэмулировать ситуацию.

зайдите в ssms используя windows-аутентификацию данного пользователя. и попробуйте в явном виде запустить эту процедуру.
сервер если ему чего либо не хватает выдаст вам исключение и уже на основе этих данных можно говорить о том что что-то не работает.

ситуация когда у вас заведен логин для доменной группы, группе выдано разрешение на alter any linked server, есть право execute на ХП в которой используется sp_addlinkedserver для его создания и пользователи из этой доменной группы авторизуются на сервере вполне возможна, какой либо ошибки по сути быть не должно.

HornetBlack,

это не "недоработка", это вы не совсем верно понимаете механизм аутентификации NTLM.
вам токен безопасности windows-логина святой дух чтоли должен нарисовать?

в сиквел аутентифицируется именно логин.
если вы сделаете execute as login = '<wingroup>' какой логин из этой группы он должен использовать что бы вас предоставлять? в группе же может быть много пользователей.

выполнять execute as login = '<windows_login>' вы в праве даже если виндовый пользователь не отмаплен как логин

HornetBlack,

sp_addlinkedsrvlogin вам ругается потому что для ее использования у логина под которым она запускается должно быть право ALTER ANY LOGIN это во первых.


во вторых вот видите что надо было и начинать с описания того что у вас в процедуре, я же первым делом спросил что вы понимаете под линковкой.
вы помимо создания линкованного сервера пытаетесь еще обратится к его данным в режиме олицетворения контекста.


такую штуку провернуть не просто, поскольку просто создать линкованный сервер и указать аутентификацию текущего контекста нельзя.
у вас обязательно должны быть заведенны логины для удаленного сервера. (точно на вскидку не помню есть вариант вроде аутентификации в режиме олицетворения текущего контекста, но там домен должен позволять делигирование kerberos, если домен правильно не сконфигурирован то как говорится - фигвам)

HornetBlack,

Я думал, что и без пояснения понятно, что присоединенный сервер создается не для красоты, а для работы с его данными )


вы изначально свой первый пост прочтите, при этом абстрагировавшись от того что это вы его писали. исходя из вопроса изначально возникает ощущение что у вас проблема только с процедурой создания линк-сервера. поэтому то на форуме и есть faq где достаточно подробно изложен тезис - "чем четче сможешь сформулировать вопрос, тем быстрее получишь ответ".



Во-первых, это же не реальный сервер, а виртуальный, через драйвер OLEDB, которому логины и аутентификация вообще не нужны. Они нужны механизму связывания SQL, но как указать этот маппинг непонятно. Похоже, через смену контекста протестировать создание и работу с подобным сервером невозможно. И гранты для этой пары я не могу выдать, если не завести их отдельно от группы


да по факту для excel файла никакой аутентификации не требуется, она анонимна. но это требование не самого провайдера данных, а механизма аутентификации sql server.
как я уже сказал, вы можете покопаться с настройками kerberos если не хотите в явном виде создавать логины для линк-сервера.
можете погуглить по поисковой фразе что то типа: "sql server kerberos authentication linked server" в первых 5 ссылках точно что-нибудь найдется по этой теме.


Самое смешное, что из акцесс-клиента все это выполняется без заморочек для десятков пользователей в группе, но вот для пары конкретных - не хочет

не претендую на истину первой инстанции, но вы уверены что пользователи которые могут осуществлять вызов вашей ХП не заведены как логины на сервере?