"When xp_cmdshell is invoked by a user who is a member of the sysadmin fixed server role, xp_cmdshell will be executed under the security context in which the SQL Server service is running. When the user is not a member of the sysadmin group, xp_cmdshell will impersonate the SQL Server Agent proxy account, which is specified using xp_sqlagent_proxy_account. If the proxy account is not available, xp_cmdshell will fail . This is true only for Microsoft® Windows NT® 4.0 and Windows 2000. On Windows 9.x, there is no impersonation and xp_cmdshell is always executed under the security context of the Windows 9.x user who started SQL Server."

Т.е. выбираете учетную запись с правами которой будет стартовать xp_cmdshell для пользователей не sysadmin-ов и делаете так

exec master..xp_sqlagent_proxy_account N'SET', N'agent_domain_name', N'agent_username', N'agent_password'

NB! agent_password - case sensitive

exec master..xp_sqlagent_proxy_account N'GET' - для проверки

"Оказывается, процедура-обертка, вызывающая xp_cmdshell, должна находиться в той же базе, что и xp_cmdshell, то есть в базе master."

Скорее всего владелец "процедуры-обертки" должен быть пользователем и базы master. По крайней мере у меня для владельца dbo (для master и userdb это один и тот же login) все прекрасно работает и в том случае, если "процедура-обертка" и xp_cmdshell находятся в разных базах

так я и говорю, что когда вы перенесли "процедуру-обертку" в базу master вы сделали владельца этой процедуры пользователем базы master. А можно просто сделать его пользователем базы master без переноса процедуры