SQL Server作业调用GnuPG解密失败：无密钥问题求助

问题场景 #

存在一个包含Windows批处理脚本（.bat）步骤的SQL Server作业，脚本内调用GnuPG命令行解密文件：

• 手动双击运行脚本（Windows GUI）或通过Windows任务计划程序执行时，所有命令（含解密指令）均正常运行；
• 通过SQL Server Agent执行该作业时，解密步骤抛出错误，日志输出如下：

Searching for host...
Connecting to host...
Authenticating...
Using username "[myusername]".
Authenticating with public key "[configured public key]".
Authenticated.
Starting the session...
Session started.
Active session: [1] [myusername]f@[sftpServerIP]
extract_CES_SAE_v3_[myusername]_[datestring].txt.pgp |           1 KB |    0.0 KB/s | binary | 100%
gpg: encrypted with RSA key, ID [RSAKeyIDNumber]
gpg: public key decryption failed: No secret key
gpg: decryption failed: No secret key

部分敏感字段已脱敏

批处理脚本执行步骤：

• 扫描本地目录，保存最新文件名称到变量；
• 通过WinSCP连接SFTP服务器，下载大小超过1KB的最新加密文件；
• 重新扫描目录，保存新的最新文件名称到变量；
• 对比两个变量，若相同则退出脚本，否则继续；
• 解密最新下载的文件为可读.txt文件，存入指定文件夹；
• 复制解密后的.txt文件，重命名并添加日期时间后缀；
• 复制原始解密文件到指定目录，供SQL作业后续步骤处理。

核心解密命令：

gpg --batch --yes --output C:\[AppDirectory]\automation\decrypted\extract_CES_SAE_v3_[myusername].txt --decrypt %LAST%

其中%LAST%为待解密文件名变量。单独执行该命令、通过GUI或任务计划运行脚本均正常，但SQL Agent执行时出现“无密钥”错误。

补充说明：SQL作业已使用AD用户运行。

解决方案 #

1. 显式指定GnuPG密钥存储目录 #

GnuPG默认从当前用户的%APPDATA%\GnuPG目录读取密钥，但SQL Server Agent运行作业时的环境可能未正确加载该路径。修改解密命令，添加--homedir参数指定AD用户的GnuPG配置目录：

gpg --homedir "C:\Users\你的AD用户名\AppData\Roaming\GnuPG" --batch --yes --output C:\[AppDirectory]\automation\decrypted\extract_CES_SAE_v3_[myusername].txt --decrypt %LAST%

替换上述命令中的你的AD用户名为实际运行作业的AD用户名称。

2. 验证作业运行用户的环境变量 #

在批处理脚本开头添加以下命令，输出关键环境变量：

echo APPDATA: %APPDATA%
echo USERPROFILE: %USERPROFILE%

对比手动运行脚本时的输出，确认SQL Agent运行作业时是否指向正确的AD用户目录。若路径不符，说明作业的运行上下文未正确切换到目标AD用户。

3. 确保AD用户拥有GnuPG目录权限 #

检查C:\Users\你的AD用户名\AppData\Roaming\GnuPG目录的权限设置，确保运行作业的AD用户拥有读取和执行权限，必要时添加完全控制权限。

4. 模拟作业运行环境测试密钥可用性 #

使用runas命令模拟SQL Agent的运行上下文，测试GnuPG是否能读取密钥：

runas /user:你的域名\你的AD用户名 "cmd /c gpg --list-secret-keys"

如果该命令也提示“无密钥”，说明目标AD用户的密钥环未导入对应私钥，需重新将解密所需的私钥导入该用户的GnuPG密钥环。

内容的提问来源于stack exchange，提问作者Omar De La Torre