Configurar o Gerenciamento Extensível de Chave de TDE do SQL Server usando o Azure Key Vault

Aplica-se: SQL Server

Neste artigo, você instala e configura o Conector do SQL Server para o Azure Key Vault.

O Gerenciamento Extensível de Chaves usando o Azure Key Vault (AKV) está disponível para o SQL Server em ambientes Linux, a partir do SQL Server 2022 (16.x) Atualização Cumulativa 12. Siga as mesmas instruções, mas ignore as etapas 3 e 4.

Pré-requisitos

Antes de começar a usar o Azure Key Vault com sua instância do SQL Server, verifique se você atende aos seguintes pré-requisitos:

• Você deve ter uma assinatura do Azure.

• Instale o Azure PowerShell, versão 5.2.0 ou posterior.

• Criar um locatário do Microsoft Entra.

• Familiarize-se com os princípios de armazenamento do EKM (Gerenciamento Extensível de Chave) com o Azure Key Vault examinando Gerenciamento Extensível de Chave usando o Azure Key Vault (SQL Server).

• Ser capaz de modificar o registro no computador SQL Server.

• Instale a versão do Pacote Redistribuível do C++ para Visual Studio baseada na versão do SQL Server que está sendo executada:

  Versão do SQL Server	Versão do Pacote Redistribuível do Visual Studio C++
  2008, 2008 R2, 2012, 2014	Pacotes Redistribuíveis do Visual C++ para o Visual Studio 2013
  2016, 2017, 2019, 2022	Pacotes Redistribuíveis do Visual C++ para Visual Studio 2015

• Familiarize-se com o Acesso Azure Key Vault atrás de um firewall se você planeja usar o Conector do SQL Server para o Azure Key Vault atrás de um firewall ou com um servidor proxy.

Etapa 1: configurar uma entidade de serviço do Microsoft Entra

Para conceder à sua instância do SQL Server permissões de acesso ao Azure Key Vault, você precisará de uma conta de entidade de serviço no Microsoft Entra ID.

1. Entre no portal do Azure e siga uma destas etapas:

   • Selecione o botão Microsoft Entra ID.

     

   • Selecione Mais serviços e, no painel Todos os serviços, digite Microsoft Entra ID.

2. Registre um aplicativo no Microsoft Entra ID fazendo o que se segue. Para obter instruções passo a passo detalhadas, consulte a seção Obter uma identidade para o aplicativo da postagem no blog do Azure Key Vault, Azure Key Vault – Passo a passo.

   1. Na seção Gerenciar do recurso Microsoft Entra ID, selecione Registros de aplicativo.

      

   2. Na página Registros de aplicativo, selecione Novo registro.

      

   3. No painel Registrar um aplicativo, insira o nome do aplicativo voltado para o usuário e selecione Registrar.

      

   4. No painel esquerdo, selecione Certificados e segredos > Segredos do cliente > Novo segredo do cliente.

      

   5. Em Adicionar um segredo do cliente, insira uma descrição e uma validade apropriada e selecione Adicionar. Não é possível escolher um período de expiração superior a 24 meses. Para saber mais, confira Adicionar um segredo do cliente.

      

   6. No painel Certificados e segredos, em Valor, selecione o botão Copiar ao lado do valor do segredo do cliente a ser usado para criar uma chave assimétrica no SQL Server.

      

   7. No painel esquerdo, selecione Visão geral e, na caixa ID do aplicativo (cliente), copie o valor a ser usado para criar uma chave assimétrica no SQL Server.

      

Etapa 2: Crie um Key Vault

Selecione o método que deseja usar para criar um cofre de chaves.

$securepfxpwd = ConvertTo-SecureString -String '12987553' `
  -AsPlainText -Force

    Add-AzureKeyVaultKey -VaultName 'DocsSampleEKMKeyVault' `
      -Name 'DocsFirstKey' -KeyFilePath 'C:\softkey.pfx' `
      -KeyFilePassword $securepfxpwd $securepfxpwd  -Destination 'HSM'

Add-AzureKeyVaultKey -VaultName 'DocsSampleEKMKeyVault' `
  -Name 'ContosoRSAKey0' -Destination 'Software'

Attributes : Microsoft.Azure.Commands.KeyVault.Models.KeyAttributes
Key        :  {"kid":"https:DocsSampleEKMKeyVault.azure.net/keys/
                ContosoRSAKey0/<guid>","dty":"RSA:,"key_ops": ...
VaultName  : contosodevkeyvault
Name       : contosoRSAKey0
Version    : <guid>
Id         : https://DocsSampleEKMKeyVault.vault.azure.net:443/
              keys/ContosoRSAKey0/<guid>

Opcional - Configure um HSM (Módulo de Segurança de Hardware) gerenciado do Azure Key Vault

O HSM (Módulo de Segurança de Hardware) Gerenciado do Azure Key Vault tem suporte para SQL Server e SQL Server em VMs (Máquinas Virtuais) do Azure ao usar a versão mais recente do SQL Server Connector, assim como o SQL do Azure. O HSM gerenciado é um serviço de HSM totalmente gerenciado, altamente disponível e de locatário único. O HSM gerenciado fornece uma base segura para operações criptográficas e armazenamento de chaves. O HSM gerenciado é projetado para atender aos mais rigorosos requisitos de segurança e conformidade.

Na etapa 2, aprendemos a criar um cofre de chaves e uma chave no Azure Key Vault. Opcionalmente, você pode usar um HSM Gerenciado do Azure Key Vault para armazenar ou criar uma chave a ser usada com o Conector do SQL Server. Aqui estão as etapas para fazer isso:

1. Criar um HSM gerenciado do Azure Key Vault. Isso pode ser feito usando o portal do Azure pesquisando o serviço HSM Gerenciado do Azure Key Vault e criando o novo recurso ou usando a CLI do Azure, o PowerShell ou um modelo do ARM.

2. Ative o HSM Gerenciado. Somente os administradores designados que foram atribuídos durante a criação do HSM gerenciado podem ativar o HSM. Isso pode ser feito selecionando o recurso HSM Gerenciado no portal do Azure, selecionando Baixar Domínio de Segurança no menu Visão Geral do recurso. Em seguida, siga um dos guias de início rápido para ativar o HSM Gerenciado.

3. Conceda permissões para a entidade de serviço do Microsoft Entra para acessar o HSM gerenciado. A Administrador do HSM Gerenciado não concede permissões para criar uma chave. Semelhante à etapa 2, o aplicativo EKM precisa da função Usuário de Criptografia do HSM Gerenciado ou Usuário de Criptografia do Serviço de Criptografia do HSM Gerenciado para executar operações de encapsulamento e desencapsulamento. Escolha o tipo Aplicativo empresarial ao adicionar a entidade de segurança para a atribuição de função. Para obter mais informações, consulte Funções internas do RBAC local para HSM gerenciado.

4. No menu do serviço HSM Gerenciado do Azure Key Vault, em Configuração, selecione Chaves. Na janela Chaves, selecione Gerar/Importar/Restaurar Backup para criar uma chave ou importar uma chave existente.

   Observação

   Ao criar uma credencial para acessar o HSM Gerenciado, a identidade é <name of Managed HSM>.managedhsm.azure.net, que pode ser encontrado na Visão geral do HSM Gerenciado do Azure Key Vault como o URI do HDM no portal do Azure.

   A troca automática de chave é suportada no HSM gerenciado do Azure Key Vault. Para saber mais, confira Configurar rotação automática de chave no HSM gerenciado do Azure.

   O SQL Server Connector versão 15.0.2000.440 ou posterior é necessário para dar suporte ao HSM Gerenciado do Azure Key Vault.

   O HSM gerenciado permite conexões de pontos de extremidade privados. Para obter mais informações, consulte Integrar o HSM gerenciado com o Link Privado do Azure. Nessa configuração, a opção de bypass de serviço confiável da Microsoft deve ser habilitada para a configuração de Redes de HSM gerenciado do Azure Key Vault.

Etapa 3: Instalação do Conector do SQL Server

Baixe o Conector do SQL Server no Centro de Download da Microsoft. O download deve ser feito pelo administrador do computador SQL Server.

Por padrão, o conector é instalado em C:\Program Files\SQL Server Connector for Microsoft Azure Key Vault. Esse local pode ser alterado durante a instalação. Se alterá-lo, ajuste os scripts na próxima seção.

Não há interface para o Conector, mas se ele for instalado com êxito, o Microsoft.AzureKeyVaultService.EKM.dll será instalado no computador. Esse assembly é o DLL do provedor EKM criptográfico que precisa ser registrado com o SQL Server usando a instrução CREATE CRYPTOGRAPHIC PROVIDER.

A instalação do Conector do SQL Server também permite que você baixe opcionalmente os scripts de exemplo para criptografia do SQL Server.

Para ver explicações de códigos de erro, definições de configuração ou tarefas de manutenção do SQL Server Connector, confira:

• R. Instruções de manutenção do Conector do SQL Server
• C. Explicações de código de erro do Conector do SQL Server

Etapa 4: adicionar chave do registro para oferecer suporte ao provedor EKM

1. Certifique-se de que o SQL Server esteja instalado e em execução.

2. Execute regedit para abrir o Editor do Registro.

3. Criar uma chave do Registro SQL Server Cryptographic Provider no HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft. O caminho completo é HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider.

4. Clique com o botão direito do mouse na chave SQL Server Cryptographic Provider do Registro e selecione Permissões.

5. Conceda permissões de Controle total na chave SQL Server Cryptographic Provider do registro para a conta de usuário que executa o serviço SQL Server.

   

6. Selecione Aplicar e, em seguida, OK.

7. Feche o Editor do Registro e reinicie o serviço SQL Server.

   Observação

   Se você usar TDE com EKM ou Azure Key Vault em uma instância de cluster de failover, deverá concluir uma etapa adicional para adicionar HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider à rotina de ponto de verificação do registro de cluster, para que o registro possa ser sincronizado entre os nós. A sincronização facilita a recuperação do banco de dados após o failover e a rotação de chaves.

   Para adicionar a chave do registro à rotina de ponto de verificação do registro de cluster, no PowerShell, execute o seguinte comando:

   Add-ClusterCheckpoint -RegistryCheckpoint "SOFTWARE\Microsoft\SQL Server Cryptographic Provider" -Resourcename "SQL Server"

Etapa 5: configurar o SQL Server

Confira B. Perguntas frequentes para ver uma observação sobre os níveis de permissão mínimos necessários para cada ação nesta seção.

Configurar o banco de dados master

1. Execute sqlcmd ou abra o SQL Server Management Studio.

2. Configure o SQL Server para usar o EKM executando o seguinte script do Transact-SQL:

   -- Enable advanced options.
   USE master;
   GO
   
   EXEC sp_configure 'show advanced options', 1;
   GO
   RECONFIGURE;
   GO
   
   -- Enable EKM provider
   EXEC sp_configure 'EKM provider enabled', 1;
   GO
   RECONFIGURE;
   

3. Registre o Conector do SQL Server como um provedor EKM com o SQL Server.

   Crie um provedor criptográfico usando o Conector do SQL Server, que é um provedor EKM do Azure Key Vault. Neste exemplo, o nome do provedor é AzureKeyVault_EKM.

   CREATE CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM
   FROM FILE = 'C:\Program Files\SQL Server Connector for Microsoft Azure Key Vault\Microsoft.AzureKeyVaultService.EKM.dll';
   GO
   

   Observação

   O tamanho do caminho do arquivo não pode ultrapassar 256 caracteres.

4. Configure uma credencial do SQL Server para um logon do SQL Server para usar o cofre de chaves.

   Uma credencial deve ser adicionada a cada logon que executará a criptografia usando uma chave do cofre de chaves. Isso pode incluir:

   • Um logon do administrador SQL Server que usa o cofre de chaves para instalar e gerenciar cenários de criptografia do SQL Server.

   • Outros logons do SQL Server que podem habilitar o TDE ou outros recursos de criptografia do SQL Server.

   Há um mapeamento individualizado entre as credenciais e logons. Ou seja, cada logon deve ter uma credencial exclusiva.

   Modifique o script Transact-SQL abaixo das seguintes maneiras:

   • Edite o argumento IDENTITY (DocsSampleEKMKeyVault) para apontar para o Cofre de Chaves do Azure.

     • Se estiver usando o Azure global, substitua o argumento IDENTITY pelo nome do seu Azure Key Vault da Etapa 2: Criar um cofre de chaves.
     • Se estiver usando uma nuvem do Azure privada, (por exemplo, a Governança do Azure, o Microsoft Azure operado pela 21Vianet ou o Azure Alemanha), substitua o argumento IDENTITY pelo URI do Cofre que é retornado na etapa 3 da seção Criar um cofre de chaves e uma chave usando o PowerShell. Não inclua https:// no URI do cofre de chaves.

   • Substitua a primeira parte do argumento SECRET pela ID do Cliente do Microsoft Entra da Etapa 1: configurar uma entidade de serviço do Microsoft Entra. Nesse exemplo, a ID do Cliente é d956f6b9xxxxxxx.

     Importante

     Remova os hifens da ID do Aplicativo (Cliente).

   • Conclua a segunda parte do argumento SECRET com o Segredo do Cliente da Etapa 1: configurar uma entidade de serviço do Microsoft Entra. Neste exemplo, o Segredo do Cliente é yrA8X~PldtMCvUZPxxxxxxxx. A sequência final para o argumento SECRET será uma sequência longa de letras e números, sem hifens (exceto para a seção Segredo do cliente, caso o Segredo do cliente contenha hifens).

     USE master;
     CREATE CREDENTIAL sysadmin_ekm_cred
         WITH IDENTITY = 'DocsSampleEKMKeyVault',                            -- for public Azure
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.usgovcloudapi.net', -- for Azure Government
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.azure.cn',          -- for Microsoft Azure operated by 21Vianet
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.microsoftazure.de', -- for Azure Germany
         -- WITH IDENTITY = '<name of Managed HSM>.managedhsm.azure.net',    -- for Managed HSM (HSM URI in the Azure portal resource)
                --<----Application (Client) ID ---><--Microsoft Entra app (Client) ID secret-->
         SECRET = 'd956f6b9xxxxxxxyrA8X~PldtMCvUZPxxxxxxxx'
     FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM;
     
     -- Add the credential to the SQL Server administrator's domain login
     ALTER LOGIN [<domain>\<login>]
     ADD CREDENTIAL sysadmin_ekm_cred;
     

   Para obter um exemplo do uso de variáveis para o argumento CREATE CREDENTIAL e remover programaticamente os hifens da ID do Cliente, confira CREATE CREDENTIAL.

5. Abra sua chave do Azure Key Vault em sua instância do SQL Server.

   Se você criou uma nova chave ou importou uma chave assimétrica conforme descrito na Etapa 2: Criar um cofre de chaves, precisará abrir a chave. Abra a chave fornecendo o nome dela no script Transact-SQL a seguir.

   Importante

   Certifique-se de primeiro concluir os pré-requisitos do Registro para esta etapa.

   • Substitua EKMSampleASYKey com o nome que deseja que a chave tenha no SQL Server.
   • Substitua ContosoRSAKey0 pelo nome da chave no Azure Key Vault ou no HSM gerenciado. Abaixo está um exemplo de uma chave sem versão.

   CREATE ASYMMETRIC KEY EKMSampleASYKey
   FROM PROVIDER [AzureKeyVault_EKM]
   WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0',
   CREATION_DISPOSITION = OPEN_EXISTING;
   

   Começando na versão atualizada 1.0.5.0 do Conector do SQL Server, você pode se referir a uma versão de chave específica no Azure Key Vault:

   CREATE ASYMMETRIC KEY EKMSampleASYKey
   FROM PROVIDER [AzureKeyVault_EKM]
   WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0/1a4d3b9b393c4678831ccc60def75379',
   CREATION_DISPOSITION = OPEN_EXISTING;
   

   No script de exemplo anterior, 1a4d3b9b393c4678831ccc60def75379 representa a versão específica da chave que vai ser usada. Se você usar esse script, não importa se você atualizar a chave para uma nova versão. A versão da chave (por exemplo) 1a4d3b9b393c4678831ccc60def75379 sempre vai ser usada para as operações de banco de dados.

6. Crie um novo logon usando a chave assimétrica no SQL Server que você criou na etapa anterior.

   --Create a Login that will associate the asymmetric key to this login
   CREATE LOGIN TDE_Login
   FROM ASYMMETRIC KEY EKMSampleASYKey;
   

7. Crie um logon da chave assimétrica no SQL Server. Libere o mapeamento de credencial da Etapa 5: configurar o SQL Server para que as credenciais possam ser mapeadas para o novo logon.

   --Now drop the credential mapping from the original association
   ALTER LOGIN [<domain>\<login>]
   DROP CREDENTIAL sysadmin_ekm_cred;
   

8. Altere o novo logon e mapeie as credenciais do EKM para o novo logon.

   --Now add the credential mapping to the new Login
   ALTER LOGIN TDE_Login
   ADD CREDENTIAL sysadmin_ekm_cred;
   

Configure o banco de dados de usuário para ser criptografado

1. Crie um banco de dados de teste que será criptografado com a chave do Azure Key Vault.

   --Create a test database that will be encrypted with the Azure Key Vault key
   CREATE DATABASE TestTDE;
   

2. Crie uma chave de criptografia de banco de dados usando o ASYMMETRIC KEY (EKMSampleASYKey).

   USE <DB Name>;
   --Create an ENCRYPTION KEY using the ASYMMETRIC KEY (EKMSampleASYKey)
   CREATE DATABASE ENCRYPTION KEY
   WITH ALGORITHM = AES_256
   ENCRYPTION BY SERVER ASYMMETRIC KEY EKMSampleASYKey;
   

3. Criptografe o banco de dados de teste. Habilite o TDE definindo ENCRYPTION ON.

   --Enable TDE by setting ENCRYPTION ON
   ALTER DATABASE TestTDE
   SET ENCRYPTION ON;
   

Detalhes do registro

1. Execute a seguinte consulta Transact-SQL no banco de dados master para mostrar a chave assimétrica usada.

   SELECT name, algorithm_desc, thumbprint FROM sys.asymmetric_keys;
   

   A instrução retorna:

   name            algorithm_desc    thumbprint
   EKMSampleASYKey RSA_2048          <key thumbprint>
   

2. No banco de dados de usuário (TestTDE), execute a seguinte consulta Transact-SQL para mostrar a chave de criptografia usada.

   SELECT encryptor_type, encryption_state_desc, encryptor_thumbprint
   FROM sys.dm_database_encryption_keys
   WHERE database_id = DB_ID('TestTDE');
   

   A instrução retorna:

   encryptor_type encryption_state_desc encryptor_thumbprint
   ASYMMETRIC KEY ENCRYPTED             <key thumbprint>
   

Limpar

1. Limpe os objetos de teste. Exclua todos os objetos criados neste script de teste.

   -- CLEAN UP
   USE master;
   GO
   ALTER DATABASE [TestTDE] SET SINGLE_USER WITH ROLLBACK IMMEDIATE;
   DROP DATABASE [TestTDE];
   GO
   
   ALTER LOGIN [TDE_Login] DROP CREDENTIAL [sysadmin_ekm_cred];
   DROP LOGIN [TDE_Login];
   GO
   
   DROP CREDENTIAL [sysadmin_ekm_cred];
   GO
   
   USE master;
   GO
   DROP ASYMMETRIC KEY [EKMSampleASYKey];
   DROP CRYPTOGRAPHIC PROVIDER [AzureKeyVault_EKM];
   GO
   

   Para ver scripts de exemplo, confira o blog em Transparent Data Encryption e Gerenciamento Extensível de Chaves do SQL Server com o Azure Key Vault.

2. A chave do Registro SQL Server Cryptographic Provider não é limpa automaticamente depois que uma chave ou todas as chaves EKM são excluídas. É necessário limpá-la manualmente. A limpeza da chave do Registro deve ser feita com extremo cuidado, uma vez que a limpeza prematura do registro pode quebrar a funcionalidade do EKM. Para limpar a chave do Registro, exclua a chave SQL Server Cryptographic Provider do Registro em HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft.

Solução de problemas

Se a chave HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider do Registro não for criada ou as permissões necessárias não forem concedidas, a seguinte instrução DDL falhará:

CREATE ASYMMETRIC KEY EKMSampleASYKey
FROM PROVIDER [AzureKeyVault_EKM]
WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0',
CREATION_DISPOSITION = OPEN_EXISTING;

Msg 33049, Level 16, State 2, Line 65
Key with name 'ContosoRSAKey0' does not exist in the provider or access is denied. Provider error code: 2058.  (Provider Error - No explanation is available, consult EKM Provider for details)

Segredos do cliente que estão prestes a expirar

Se a credencial tiver um segredo de cliente prestes a expirar, um novo segredo poderá ser atribuído ao valor expirado.

1. Atualize o segredo originalmente criado na Etapa 1: configurar uma entidade de serviço do Microsoft Entra.

2. Altere a credencial usando a mesma identidade e o novo segredo usando o seguinte código. Substitua <New Secret> pelo seu novo segredo:

   ALTER CREDENTIAL sysadmin_ekm_cred
   WITH IDENTITY = 'DocsSampleEKMKeyVault',
   SECRET = '<New Secret>';
   

3. Reinicie o serviço SQL Server.

Substitua a chave assimétrica por uma nova chave AKV ou uma nova versão da chave AKV

O SQL Server não tem um mecanismo para girar automaticamente a chave assimétrica usada para TDE. As etapas para substituir uma chave assimétrica manualmente são as seguintes.

1. A credencial usada em nossa configuração inicial (sysadmin_ekm_cred) também pode ser reutilizada para a rotação de chaves. Opcionalmente, crie uma nova credencial para a nova chave assimétrica.

   CREATE CREDENTIAL <new_credential_name>
       WITH IDENTITY = <key vault>,
       SECRET = 'existing/new secret'
       FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM;
   

2. Adicione a credencial à entidade de segurança:

   ALTER LOGIN [domain\userName];
   ADD CREDENTIAL <new_credential_name>;
   

3. Crie a nova chave assimétrica com base na nova chave (depois de girar a chave). A nova chave pode ser uma chave sem versão (ContosoRSAKey0 em nosso exemplo) ou uma chave versionada (ContosoRSAKey0/1a4d3b9b393c4678831ccc60def75379, 1a4d3b9b393c4678831ccc60def75379onde é a versão da chave atualizada no AKV):

   CREATE ASYMMETRIC KEY <new_ekm_key_name>
    FROM PROVIDER [AzureKeyVault_EKM]
    WITH PROVIDER_KEY_NAME = <new_key_from_key_vault>,
    CREATION_DISPOSITION = OPEN_EXISTING;
   

4. Crie um novo logon da nova chave assimétrica:

   CREATE LOGIN <new_login_name>
   FROM ASYMMETRIC KEY <new_ekm_key_name>;
   

5. Descarte a credencial da entidade de segurança:

   ALTER LOGIN [domain\username]
   DROP CREDENTIAL <new_credential_name>;
   

6. Mapeie a credencial AKV para o novo logon:

   ALTER LOGIN <new_login_name>;
   ADD CREDENTIAL <new_credential_name>;
   

7. Altere a chave de criptografia de banco de dados (DEK) para criptografar novamente com a nova chave assimétrica:

   USE [databaseName];
   GO
   ALTER DATABASE ENCRYPTION KEY ENCRYPTION BY SERVER ASYMMETRIC KEY <new_ekm_key_name>;
   

8. Você pode verificar a nova chave assimétrica e a chave de criptografia usada no banco de dados:

   SELECT encryptor_type, encryption_state_desc, encryptor_thumbprint
   FROM sys.dm_database_encryption_keys
   WHERE database_id = DB_ID('databaseName');
   

   Essa impressão digital deve corresponder à chave do Registro sob o caminho HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider\Azure Key Vault\<key_vault_url>\<thumbprint> e fornecer a você KeyUri para sua chave girada.

Conteúdo relacionado

• Usar o Conector do SQL Server com recursos de criptografia do SQL
• Gerenciamento extensível de chaves Usando o Azure Key Vault (SQL Server)
• Manutenção e solução de problemas do conector do SQL Server