Azure Key Vault を使用した SQL Server TDE 拡張キー管理を設定する

適用対象: SQL Server

この記事では、SQL Server Connector for Azure Key Vault をインストールして構成します。

Azure Key Vault (AKV) を使用した拡張キー管理は、SQL Server 2022 (16.x) 累積的な更新プログラム 12 以降の SQL Server on Linux 環境で使用できます。 同じステップに従いますが、ステップ 3 と 4 はスキップします。

前提条件

SQL Server インスタンスで Azure Key Vault の使用を開始する前に、次の前提条件を満たしていることを確認してください。

• Azure のサブスクリプションに登録している必要があります。

• Azure PowerShell バージョン 5.2.0 以降をインストールしておくこと。

• Microsoft Entra テストを作成する。

• 「Azure Key Vault を使用した拡張キー管理 (SQL Server)」を読んで、Azure Key Vault を使用した拡張キー管理 (EKM) の保存の原理について熟知していること。

• SQL Server コンピューター上のレジストリを変更できます。

• 実行中の SQL Server のバージョンに応じた Visual Studio C++ 再頒布可能パッケージのバージョンをインストールしておくこと。

  SQL Server のバージョン	Visual Studio C++ 再頒布可能パッケージのバージョン
  2008、2008 R2、2012、2014	Visual Studio 2013 の Visual C++ 再頒布可能パッケージ
  2016, 2017, 2019, 2022	Visual Studio 2015 の Visual C++ 再頒布可能パッケージ

• ファイアウォールの内側またはプロキシ サーバーで SQL Server Connector for Azure Key Vault を使用する予定の場合、ファイアウォールの背後にある Azure Key Vault へのアクセスを熟知してください。

手順 1: Microsoft Entra サービス プリンシパルを設定する

SQL Server インスタンスのアクセス許可を Azure Key Vault に付与するためには、Microsoft Entra ID にサービス プリンシパル アカウントが必要です。

1. Azure portal にサインインして、以下のいずれかを実行します。

   • [Microsoft Entra ID] ボタンを選択します。

     

   • [その他のサービス] を選択してから、[すべてのサービス] ウィンドウに [Microsoft Entra ID] と入力します。

2. 以下を実行して、Microsoft Entra ID でアプリケーションを登録します。 詳しい段階的な手順については、Azure Key Vault のブログ投稿である、「Azure Key Vault - 段階的な説明」の「アプリケーションの ID を取得する」セクションを参照してください。

   1. [Microsoft Entra ID] リソースの [管理] セクションで、[アプリの登録] を選択します。

      

   2. アプリの登録 ページで、新しい登録 を選択します。

      

   3. [アプリケーションの登録] ペインで、アプリのユーザー向け表示名を入力してから、[登録] を選択します。

      

   4. 左ペインで [証明書とシークレット] > [クライアント シークレット] > [新しいクライアント シークレット] を選択します。

      

   5. [クライアント シークレットの追加] で、説明と適切な有効期限を入力してから、[追加] を選択します。 24 か月を超える有効期限を選択することはできません。 詳細については、「クライアント シークレットの追加」を参照してください。

      

   6. [証明書とシークレット] ウィンドウの [値] で、SQL Server で非対称キーを作成するために使用するクライアント シークレットの値の横にある [コピー] ボタンを選択します。

      

   7. 左側のペインで [概要] を選択してから、[アプリケーション (クライアント) ID] ボックスで、SQL Server で非対称キーを作成するために使用する値をコピーします。

      

手順 2: キー コンテナーを作成する

キー コンテナーの作成方法を選択します。

$securepfxpwd = ConvertTo-SecureString -String '12987553' `
  -AsPlainText -Force

    Add-AzureKeyVaultKey -VaultName 'DocsSampleEKMKeyVault' `
      -Name 'DocsFirstKey' -KeyFilePath 'C:\softkey.pfx' `
      -KeyFilePassword $securepfxpwd $securepfxpwd  -Destination 'HSM'

Add-AzureKeyVaultKey -VaultName 'DocsSampleEKMKeyVault' `
  -Name 'ContosoRSAKey0' -Destination 'Software'

Attributes : Microsoft.Azure.Commands.KeyVault.Models.KeyAttributes
Key        :  {"kid":"https:DocsSampleEKMKeyVault.azure.net/keys/
                ContosoRSAKey0/<guid>","dty":"RSA:,"key_ops": ...
VaultName  : contosodevkeyvault
Name       : contosoRSAKey0
Version    : <guid>
Id         : https://DocsSampleEKMKeyVault.vault.azure.net:443/
              keys/ContosoRSAKey0/<guid>

オプション - Azure Key Vault マネージド HSM (ハードウェア セキュリティ モジュール) を構成する

Azure Key Vault マネージド HSM (ハードウェア セキュリティ モジュール) は、最新バージョンの SQL Server コネクタと Azure SQL を使用する場合、SQL Server と Azure Virtual Machines (VM) 上の SQL Server でサポートされます。 マネージド HSM は、フルマネージド、高可用性、シングルテナント HSM サービスです。 マネージド HSM は、暗号化操作とキー ストレージ用のセキュリティで保護された基盤を提供します。 マネージド HSM は、最も厳格なセキュリティとコンプライアンスの要件を満たすように設計されています。

手順 2 では、Azure Key Vault でキー コンテナーとキーを作成する方法について説明しました。 必要に応じて、Azure Key Vault マネージド HSM を使用して、SQL Server コネクタで使用するキーを格納または作成できます。 次に手順を示します。

1. Azure Key Vault マネージド HSM を作成します。 これは、Azure portal を使用して実行できます。具体的には、Azure Key Vault マネージド HSM サービスを検索して新しいリソースを作成するか、Azure CLI、PowerShell、または ARM テンプレートを使用して実行します。

2. マネージド HSM のアクティブ化。 HSM をアクティブにできるのは、マネージド HSM の作成時に割り当てられた指定された管理者だけです。 これを行うには、Azure portal でマネージド HSM リソースを選択し、リソースの [概要] メニューで [セキュリティ ドメインのダウンロード] を選択します。 次に、マネージド HSM をアクティブ化するためのクイックスタートのいずれかに従います。

3. Microsoft Entra サービス プリンシパルがマネージド HSM にアクセスするためのアクセス許可を付与します。 マネージド HSM 管理者ロールでは、キーを作成するためのアクセス許可は付与されません。 手順 2 と同様に、EKM アプリケーションでは、ラップ操作とラップ解除操作を実行するために、マネージド HSM 暗号化ユーザーまたはマネージド HSM 暗号化サービスの暗号化ユーザー ロールが必要です。 ロールの割り当てのプリンシパルを追加するときに、種類として [Enterprise アプリケーション] を選択します。 詳細については、「マネージド HSM のローカル RBAC 組み込みロール」を参照してください。

4. Azure Key Vault マネージド HSM サービス メニューの [設定] で、[キー] を選択します。 [キー] ウィンドウで、[バックアップの生成/インポート/復元] を選択してキーを作成するか、既存のキーをインポートします。

   Note

   マネージド HSM にアクセスするための資格証明を作成する場合、ID は <name of Managed HSM>.managedhsm.azure.net です。この ID は、Azure Key Vault マネージド HSM の [概要] で、Azure portal の [HSM URI] として確認できます。

   キーの自動ローテーションは、Azure Key Vault マネージド HSM でサポートされています。 詳細については、「Azure Managed HSM でキーの自動ローテーションを構成する」を参照してください。

   Azure Key Vault マネージド HSM をサポートするには、SQL Server コネクタ バージョン 15.0.2000.440 以降が必要です。

   マネージド HSM はプライベート エンドポイント接続をサポートします。 詳しくは、「マネージド HSM と Azure Private Link を統合する」をご覧ください。 この構成では、Azure Key Vault マネージド HSM [ネットワーク] 設定に対して、Microsoft の信頼されたサービス バイパス のオプションを有効にする必要があります。

手順 3: SQL Server コネクタのインストール

Microsoft ダウンロード センターから SQL Server コネクタをダウンロードします。 このダウンロードは、SQL Server コンピューターの管理者が行う必要があります。

デフォルトでコネクタは C:\Program Files\SQL Server Connector for Microsoft Azure Key Vault にインストールされています。 この場所は、セットアップ中に変更することができます。 変更する場合は、次のセクションでスクリプトを調整します。

コネクタ用のインターフェイスはありませんが、正常にインストールされた場合はコンピューターに Microsoft.AzureKeyVaultService.EKM.dll がインストールされます。 このアセンブリは、CREATE CRYPTOGRAPHIC PROVIDER ステートメントを使用して SQL Server に登録する必要がある暗号化 EKM プロバイダー DLL です。

SQL Server コネクタのインストールでは、必要に応じて、SQL Server の暗号化で使用するサンプル スクリプトをダウンロードすることもできます。

SQL Server コネクタのエラー コードの説明、構成設定、またはメンテナンス タスクを確認するには、以下を参照してください。

• A. SQL Server コネクタのメンテナンス手順
• C: SQL Server コネクタのエラー コードの説明

手順 4: EKM プロバイダーをサポートするレジストリ キーを追加する

1. SQL Server がインストールされ、実行されていることを確認します。

2. regeditを実行して、レジストリ エディターを開きます。

3. SQL Server Cryptographic Provider レジストリ キーを HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft に作成する。 完全なパスは HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider です。

4. SQL Server Cryptographic Provider レジストリ キーを右クリックし、[アクセス許可] を選択します。

5. SQL Server Cryptographic Provider レジストリ キーの [フル コントロール] アクセス許可を、SQL Server サービスを実行しているユーザー アカウントに提供します。

   

6. [Apply](適用) 、 [OK] の順に選択します。

7. レジストリ エディターを閉じて、SQL Server サービスを再起動します。

   Note

   フェールオーバー クラスター インスタンスで EKM または Azure Key Vault による TDE を使用する場合、レジストリがノード間で同期できるように、追加ステップを完了して HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider をクラスター レジストリ チェックポイント ルーチンに追加する必要があります。 同期により、フェールオーバーとキーのローテーション後のデータベースの復旧が容易になります。

   レジストリ キーをクラスター レジストリ チェックポイント ルーチンに追加するには、PowerShell で次のコマンドを実行します。

   Add-ClusterCheckpoint -RegistryCheckpoint "SOFTWARE\Microsoft\SQL Server Cryptographic Provider" -Resourcename "SQL Server"

手順 5: SQL Server を構成する

このセクションの各操作に最低限必要な権限レベルについては、「B. よく寄せられる質問」を参照してください。

master データベースを構成する

1. sqlcmd を実行するか、SQL Server Management Studio を開きます。

2. 次の Transact-SQL スクリプトを実行して、EKM を使用するように SQL Server を構成します。

   -- Enable advanced options.
   USE master;
   GO
   
   EXEC sp_configure 'show advanced options', 1;
   GO
   RECONFIGURE;
   GO
   
   -- Enable EKM provider
   EXEC sp_configure 'EKM provider enabled', 1;
   GO
   RECONFIGURE;
   

3. SQL Server に EKM プロバイダーとして SQL Server コネクタを登録します。

   Azure Key Vault の EKM プロバイダーである SQL Server コネクタを使用して暗号化サービス プロバイダーを作成します。 この例では、プロバイダー名は AzureKeyVault_EKM です。

   CREATE CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM
   FROM FILE = 'C:\Program Files\SQL Server Connector for Microsoft Azure Key Vault\Microsoft.AzureKeyVaultService.EKM.dll';
   GO
   

   Note

   ファイル パスは 256 文字以内で指定してください。

4. キー コンテナーを使用するために SQL Server ログイン用の SQL Server 資格情報を設定します。

   キー コンテナーのキーを使用して暗号化を実行する各ログインに対し、資格情報を追加する必要があります。 その例を次に示します。

   • SQL Server の暗号化シナリオをセットアップして管理するためにキー コンテナーを使用する 管理者のログイン。

   • その他、TDE をはじめとする SQL Server の暗号化機能を有効にする可能性がある SQL Server ログイン。

   資格情報とログインとの間には一対一の対応関係が存在します。 つまり、各ログインには一意の資格情報が必要です。

   この Transact-SQL スクリプトを以下のように変更します。

   • IDENTITY 引数 (DocsSampleEKMKeyVault) を編集し、Azure Key Vault を参照するようにします。

     • グローバル Azure を使用している場合は、IDENTITY 引数を「手順 2: キー コンテナーを作成する」のお使いの Azure Key Vault の名前に置き換えます。
     • プライベート Azure クラウド (Azure Government、Microsoft Azure operated by 21Vianet、Azure Germany など) を使用している場合は、IDENTITY 引数を「PowerShell を使用してキー コンテナーとキーを作成する」セクションの手順 3 で返された Vault URI に置き換えます。 キー コンテナー URI に https:// は含めないでください。

   • SECRET 引数の最初の部分を、「手順 1: Microsoft Entra サービス プリンシパルを設定する」の Microsoft Entra クライアント ID に置き換えます。 この例のクライアント ID は d956f6b9xxxxxxx です。

     重要

     アプリ (クライアント) ID のハイフンは必ず削除してください。

   • SECRET 引数の 2 番目の部分を、「手順 1: Microsoft Entra サービス プリンシパルを設定する」のクライアント シークレットに置き換えます。 この例のクライアント シークレットは yrA8X~PldtMCvUZPxxxxxxxx です。 SECRET 引数の最後の文字列は、ハイフンのない長い文字と数字のシーケンスになります (クライアント シークレットにハイフンが含まれている場合の [クライアント シークレット] セクション以外)。

     USE master;
     CREATE CREDENTIAL sysadmin_ekm_cred
         WITH IDENTITY = 'DocsSampleEKMKeyVault',                            -- for public Azure
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.usgovcloudapi.net', -- for Azure Government
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.azure.cn',          -- for Microsoft Azure operated by 21Vianet
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.microsoftazure.de', -- for Azure Germany
         -- WITH IDENTITY = '<name of Managed HSM>.managedhsm.azure.net',    -- for Managed HSM (HSM URI in the Azure portal resource)
                --<----Application (Client) ID ---><--Microsoft Entra app (Client) ID secret-->
         SECRET = 'd956f6b9xxxxxxxyrA8X~PldtMCvUZPxxxxxxxx'
     FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM;
     
     -- Add the credential to the SQL Server administrator's domain login
     ALTER LOGIN [<domain>\<login>]
     ADD CREDENTIAL sysadmin_ekm_cred;
     

   CREATE CREDENTIAL 引数に変数を使用し、プログラムでクライアント ID からハイフンを削除する方法の例については、「CREATE CREDENTIAL」をご覧ください。

5. SQL Server インスタンスで Azure Key Vault キーを開きます。

   新しいキーを作成したか、「手順 2: キー コンテナーを作成する」の説明に従って非対称キーをインポートしたかにかかわらず、キーを開く必要があります。 次の Transact-SQL スクリプトに実際のキー名を指定して、キーを開きます。

   重要

   この手順では、最初にレジストリの前提条件を完了してください。

   • EKMSampleASYKey を SQL Server でキーに割り当てる名前に置き換えます。
   • ContosoRSAKey0 の部分は、Azure Key Vault またはマネージド HSM 内のお使いのキー名に置き換えます。 バージョンレス キーの例を以下に示します。

   CREATE ASYMMETRIC KEY EKMSampleASYKey
   FROM PROVIDER [AzureKeyVault_EKM]
   WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0',
   CREATION_DISPOSITION = OPEN_EXISTING;
   

   更新済みのバージョン 1.0.5.0 の SQL Server コネクタ以降、Azure Key Vault 内の特定のキー バージョンを参照できます:

   CREATE ASYMMETRIC KEY EKMSampleASYKey
   FROM PROVIDER [AzureKeyVault_EKM]
   WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0/1a4d3b9b393c4678831ccc60def75379',
   CREATION_DISPOSITION = OPEN_EXISTING;
   

   前述のスクリプト例では、1a4d3b9b393c4678831ccc60def75379 は使用されるキーの特定のバージョンを表しています。 このスクリプトを使用する場合、キーを新しいバージョンで更新しても問題ありません。 キーのバージョン (たとえば) 1a4d3b9b393c4678831ccc60def75379 は、データベースの操作に常に使用されます。

6. 前の手順で作成した SQL Server の非対称キーを使用して、新しいログインを作成します。

   --Create a Login that will associate the asymmetric key to this login
   CREATE LOGIN TDE_Login
   FROM ASYMMETRIC KEY EKMSampleASYKey;
   

7. SQL Server の非対称キーから新しいログインを作成します。 「手順 5: SQL Server を構成する」で設定した資格情報のマッピングを削除して、資格情報を新しいログインにマッピングできるようにします。

   --Now drop the credential mapping from the original association
   ALTER LOGIN [<domain>\<login>]
   DROP CREDENTIAL sysadmin_ekm_cred;
   

8. 新しいログインを変更して、EKM 資格情報を新しいログインにマップします。

   --Now add the credential mapping to the new Login
   ALTER LOGIN TDE_Login
   ADD CREDENTIAL sysadmin_ekm_cred;
   

暗号化するユーザー データベースを構成する

1. Azure Key Vault キーを使用して暗号化されるテスト データベースを作成します。

   --Create a test database that will be encrypted with the Azure Key Vault key
   CREATE DATABASE TestTDE;
   

2. ASYMMETRIC KEY を使用してデータベース暗号化キーを作成します（EKMSampleASYKey）。

   USE <DB Name>;
   --Create an ENCRYPTION KEY using the ASYMMETRIC KEY (EKMSampleASYKey)
   CREATE DATABASE ENCRYPTION KEY
   WITH ALGORITHM = AES_256
   ENCRYPTION BY SERVER ASYMMETRIC KEY EKMSampleASYKey;
   

3. テスト データベースを暗号化します。 ENCRYPTION ON を設定して TDE を有効にします。

   --Enable TDE by setting ENCRYPTION ON
   ALTER DATABASE TestTDE
   SET ENCRYPTION ON;
   

レジストリ詳細

1. master データベースで次の Transact-SQL クエリを実行して、使用される非対称キーを表示します。

   SELECT name, algorithm_desc, thumbprint FROM sys.asymmetric_keys;
   

   このステートメントからは次の情報が返されます。

   name            algorithm_desc    thumbprint
   EKMSampleASYKey RSA_2048          <key thumbprint>
   

2. ユーザー データベース (TestTDE) で、次の Transact-SQL クエリを実行して、使用される暗号化キーを表示します。

   SELECT encryptor_type, encryption_state_desc, encryptor_thumbprint
   FROM sys.dm_database_encryption_keys
   WHERE database_id = DB_ID('TestTDE');
   

   このステートメントからは次の情報が返されます。

   encryptor_type encryption_state_desc encryptor_thumbprint
   ASYMMETRIC KEY ENCRYPTED             <key thumbprint>
   

クリーンアップ

1. テスト オブジェクトをクリーンアップします。 このテスト スクリプトで作成されたすべてのオブジェクトを削除します。

   -- CLEAN UP
   USE master;
   GO
   ALTER DATABASE [TestTDE] SET SINGLE_USER WITH ROLLBACK IMMEDIATE;
   DROP DATABASE [TestTDE];
   GO
   
   ALTER LOGIN [TDE_Login] DROP CREDENTIAL [sysadmin_ekm_cred];
   DROP LOGIN [TDE_Login];
   GO
   
   DROP CREDENTIAL [sysadmin_ekm_cred];
   GO
   
   USE master;
   GO
   DROP ASYMMETRIC KEY [EKMSampleASYKey];
   DROP CRYPTOGRAPHIC PROVIDER [AzureKeyVault_EKM];
   GO
   

   サンプル スクリプトについては、「SQL Server Transparent Data Encryption and Extensible Key Management with Azure Key Vault (Azure Key Vault を使用した SQL Server Transparent Data Encryption と拡張キー管理)」のブログをご覧ください。

2. キーまたはすべての EKM キーが削除された後、SQL Server Cryptographic Provider レジストリ キーは自動的にクリーンアップされません。 手動でクリーンアップする必要があります。 レジストリキーのクリーニングは、レジストリを途中でクリーニングすると EKM 機能が壊れる可能性があるため、細心の注意を払って行う必要があります。 レジストリ キーをクリーンアップするには、SQL Server Cryptographic Provider で HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft レジストリ キーを削除します。

トラブルシューティング

レジストリ キー HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider が作成されていない場合、または必要なアクセス許可が付与されていない場合、次の DDL ステートメントは失敗します。

CREATE ASYMMETRIC KEY EKMSampleASYKey
FROM PROVIDER [AzureKeyVault_EKM]
WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0',
CREATION_DISPOSITION = OPEN_EXISTING;

Msg 33049, Level 16, State 2, Line 65
Key with name 'ContosoRSAKey0' does not exist in the provider or access is denied. Provider error code: 2058.  (Provider Error - No explanation is available, consult EKM Provider for details)

有効期限が切れようとしているクライアント シークレット

資格情報に有効期限が迫っているクライアント シークレットがある場合は、その資格情報に新しいシークレットを割り当てることができます。

1. 「手順 1: Microsoft Entra サービス プリンシパルを設定する」で最初に作成したシークレットを更新します。

2. 次のコードを使用し、同じ ID と新しいシークレットを使用して資格情報を変更します。 <New Secret> を新しいシークレットに置き換えます。

   ALTER CREDENTIAL sysadmin_ekm_cred
   WITH IDENTITY = 'DocsSampleEKMKeyVault',
   SECRET = '<New Secret>';
   

3. SQL Server サービスを再起動します。

新しい AKV キーまたは新しい AKV キー バージョンで非対称キーをローテーションする

SQL Server には、TDE に使用される非対称キーを自動的にローテーションするメカニズムはありません。 非対称キーを手動でローテーションする手順は次のとおりです。

1. 初期セットアップ (sysadmin_ekm_cred) で使用される認証情報は、キーのローテーションにも再利用できます。 必要に応じて、新しい非対称キーの新しい認証情報を作成します。

   CREATE CREDENTIAL <new_credential_name>
       WITH IDENTITY = <key vault>,
       SECRET = 'existing/new secret'
       FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM;
   

2. プリンシパルに認証情報を追加します:

   ALTER LOGIN [domain\userName];
   ADD CREDENTIAL <new_credential_name>;
   

3. 新しいキーに基づいて新しい非対称キーを作成します (キーをローテーションした後)。 新しいキーは、バージョンレス キー (この例では ContosoRSAKey0) またはバージョン管理されたキー (1a4d3b9b393c4678831ccc60def75379 が AKV の更新されたキーのバージョンである場合は ContosoRSAKey0/1a4d3b9b393c4678831ccc60def75379) である可能性があります:

   CREATE ASYMMETRIC KEY <new_ekm_key_name>
    FROM PROVIDER [AzureKeyVault_EKM]
    WITH PROVIDER_KEY_NAME = <new_key_from_key_vault>,
    CREATION_DISPOSITION = OPEN_EXISTING;
   

4. 新しい非対称キーから新しいログインを作成します。

   CREATE LOGIN <new_login_name>
   FROM ASYMMETRIC KEY <new_ekm_key_name>;
   

5. プリンシパルから認証情報を削除します:

   ALTER LOGIN [domain\username]
   DROP CREDENTIAL <new_credential_name>;
   

6. AKV 資格情報を新しいログインにマッピングします。

   ALTER LOGIN <new_login_name>;
   ADD CREDENTIAL <new_credential_name>;
   

7. データベース暗号化キー (DEK) を変更して、新しい非対称キーで再暗号化します。

   USE [databaseName];
   GO
   ALTER DATABASE ENCRYPTION KEY ENCRYPTION BY SERVER ASYMMETRIC KEY <new_ekm_key_name>;
   

8. データベースで使用される新しい非対称キーと暗号化キーを確認できます:

   SELECT encryptor_type, encryption_state_desc, encryptor_thumbprint
   FROM sys.dm_database_encryption_keys
   WHERE database_id = DB_ID('databaseName');
   

   このサムプリントは、パス HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider\Azure Key Vault\<key_vault_url>\<thumbprint> の下のレジストリ キーと一致し、ローテーションされたキーを KeyUri に指定する必要があります。

関連するコンテンツ

• SQL 暗号化機能への SQL Server コネクタの使用
• Azure Key Vault を使用する拡張キー管理 (SQL Server)
• SQL Server コネクタのメンテナンスとトラブルシューティング