SQL Server服务无法启动，提示“拒绝访问”

Question

SQL Server服务无法启动并提示“拒绝访问”，常见原因之一是服务账户权限不足。当SQL Server服务运行账户（如NT SERVICE\MSSQLSERVER）缺少对数据库文件、日志目录或注册表项的必要访问权限时，系统将拒绝服务启动。尤其在更改系统账户或手动迁移数据文件后，文件系统权限未同步更新，极易触发此问题。需检查服务账户在数据文件夹（如MSSQL\DATA）、错误日志路径及注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSSQLSERVER上的读写权限，确保其具备完全控制权。此外，本地安全策略中的“作为服务登录”权限也必须包含该服务账户，否则即使密码正确也会因身份验证失败而被拒绝访问。

Answer 1

1. 问题现象与初步诊断

当SQL Server服务尝试启动时，系统事件日志中频繁出现“拒绝访问”错误（Error 5: Access is denied），服务状态停留在“正在启动”或直接失败。该问题在Windows系统上尤为常见，尤其是在执行了账户变更、系统迁移、补丁更新或手动移动数据库文件后触发。

• 典型错误信息包括：The service did not start due to a logon failure.
• 或在SQL Server错误日志中提示：Could not open error log file '...\ERRORLOG' due to OS error '5'.
• 使用net start MSSQLSERVER命令时返回“发生系统错误 5：拒绝访问”。

此类问题的根源通常指向服务运行账户权限配置不当，尤其是NT SERVICE\MSSQLSERVER这类虚拟账户或自定义域账户缺乏必要的资源访问权限。

2. 权限问题的核心组成要素

SQL Server服务依赖多个层面的权限协同工作，任何一个环节缺失都会导致“拒绝访问”：

1. 文件系统权限：数据库文件（.mdf, .ldf）、备份目录、日志路径（如Log\ERRORLOG）需赋予服务账户“完全控制”权限。
2. 注册表权限：关键路径HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSSQLSERVER必须允许服务账户读写。
3. 本地安全策略：“作为服务登录”（SeServiceLogonRight）权限必须显式包含当前服务账户。
4. 服务账户类型：支持Local System、Network Service、Virtual Accounts（如NT SERVICE\MSSQLSERVER）及域用户账户。

权限类型	作用对象	所需权限
文件系统	MSSQL\DATA, Log, Backup	完全控制
注册表	Services\MSSQLSERVER	读取/写入
本地策略	SeServiceLogonRight	允许登录为服务
AD策略（若适用）	域账户GPO	无密码过期限制等

3. 深度排查流程图

以Mermaid格式展示完整诊断逻辑：
```mermaid
graph TD
    A[SQL Server服务无法启动] --> B{查看事件查看器}
    B --> C[是否存在Access Denied或Logon Failure]
    C --> D[确认服务运行账户]
    D --> E[检查本地安全策略]
    E --> F["secpol.msc → 本地策略 → 用户权限分配 → 作为服务登录"]
    F --> G[账户是否在列表中?]
    G -->|否| H[添加账户并刷新组策略gpupdate /force]
    G -->|是| I[检查文件系统权限]
    I --> J[对MSSQL\DATA和Log目录右键属性→安全]
    J --> K[服务账户是否有完全控制?]
    K -->|否| L[添加权限并继承到子对象]
    K -->|是| M[检查注册表权限]
    M --> N[regedit → 找到Services\MSSQLSERVER]
    N --> O[赋予服务账户读写权限]
    O --> P[重启服务验证]

4. 实操解决方案步骤

以下是针对不同权限层级的具体修复操作：

4.1 验证并设置“作为服务登录”权限

1. 打开secpol.msc（本地安全策略）。
2. 导航至【本地策略】→【用户权限分配】。
3. 双击“作为服务登录”策略。
4. 添加服务账户（如NT SERVICE\MSSQLSERVER或DOMAIN\sqlsvc）。
5. 执行gpupdate /force刷新策略缓存。

4.2 文件系统权限修复脚本（PowerShell）

$path = "C:\Program Files\Microsoft SQL Server\MSSQL15.MSSQLSERVER\MSSQL\DATA"
$account = "NT SERVICE\MSSQLSERVER"
$acl = Get-Acl $path
$rule = New-Object System.Security.AccessControl.FileSystemAccessRule($account,"FullControl","ContainerInherit,ObjectInherit","None","Allow")
$acl.SetAccessRule($rule)
Set-Acl $path $acl
Write-Host "权限已更新：$account 对 $path 具备完全控制"

4.3 注册表权限检查与修改

1. 运行regedit，定位到HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\MSSQLSERVER。
2. 右键→权限→高级→添加服务账户。
3. 设置“读取”和“写入”权限，确保“应用到”选择“此密钥及其所有子密钥”。