为何sp_addpullsubscription_agent需数据库主密钥，而新建订阅向导无需？

使用T-SQL脚本设置拉取订阅时，出现错误15581：

请在执行此操作前在数据库中创建主密钥或在会话中打开主密钥。已将数据库上下文更改为'testDB'。Microsoft SQL Server，错误: 15581

服务器环境 #

服务器A #

• 发布服务器
• sourceDB（写入数据库）

服务器B #

• 分发服务器与订阅服务器在同一台服务器
• Distribution（分发数据库）
• TestDB（读取数据库/订阅服务器）
• 拉取订阅
• 分发代理在此运行

报错的T-SQL脚本 #

USE [testDB];
GO

EXEC sp_addpullsubscription_agent
    @publisher                 = N'SERVER-A\SQLINSTANCE01',
    @publisher_db              = N'sourceDB',
    @publication               = N'sourceDB-publication',
    @distributor               = N'SERVER-B\SQLINSTANCE02',
    @distribution_db           = N'distribution',
    @distributor_security_mode = 1,  -- Windows Authentication
    @distributor_login         = N'',
    @distributor_password      = N'',
    @job_login                 = N'LAPTOP-XXXX\Admin',
    @job_password              = N'********'
GO

SSMS向导的成功情况 #

使用SSMS新建订阅向导，配置与脚本完全一致：

Agent process account: LAPTOP-XXXX\Admin (Windows)
Distributor connection: Impersonate agent process account (Windows Authentication)

向导无需创建任何数据库主密钥（DMK）即可成功完成。

事后验证所有数据库中均不存在DMK：

SELECT name 
FROM distribution.sys.symmetric_keys
WHERE name = '##MS_DatabaseMasterKey##'
-- 结果为空

SELECT name 
FROM testDB.sys.symmetric_keys
WHERE name = '##MS_DatabaseMasterKey##'
-- 结果为空

请问出现这种差异的原因是什么？

差异的核心在于SSMS订阅向导与直接调用系统存储过程sp_addpullsubscription_agent的执行逻辑包装不同：

1. SSMS向导的隐式处理
   SSMS的订阅向导在执行拉取订阅创建流程时，会自动添加一套临时逻辑：

• 在订阅数据库（testDB）中临时创建数据库主密钥（DMK），满足存储过程内部对加密操作的依赖；
• 完成订阅配置的所有操作后，立即删除这个临时创建的DMK。
  这就是事后查询不到任何DMK，但向导能成功执行的原因——向导自动完成了“临时创建-使用-清理”的全流程，无需手动干预。

2. 直接调用存储过程的显式要求
   sp_addpullsubscription_agent的内部逻辑会检查当前会话是否有可用的数据库主密钥，用于处理元数据加密相关操作（即使使用Windows身份验证无需存储密码，存储过程的内部校验逻辑依然存在）。
   由于直接执行存储过程时没有向导的临时DMK处理逻辑，就会触发15581错误，要求显式创建或打开主密钥。

如果要继续使用T-SQL脚本创建拉取订阅，可以在执行sp_addpullsubscription_agent前临时创建数据库主密钥，执行完成后再删除：

USE [testDB];
GO

-- 临时创建数据库主密钥（密码可任意设置，仅用于当前会话流程）
CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'TempPass123!';
GO

EXEC sp_addpullsubscription_agent
    @publisher                 = N'SERVER-A\SQLINSTANCE01',
    @publisher_db              = N'sourceDB',
    @publication               = N'sourceDB-publication',
    @distributor               = N'SERVER-B\SQLINSTANCE02',
    @distribution_db           = N'distribution',
    @distributor_security_mode = 1,
    @distributor_login         = N'',
    @distributor_password      = N'',
    @job_login                 = N'LAPTOP-XXXX\Admin',
    @job_password              = N'********'
GO

-- 删除临时创建的数据库主密钥
DROP MASTER KEY;
GO

内容的提问来源于stack exchange，提问作者chuackt