Настройка расширенного управления ключами SQL Server TDE с помощью Azure Key Vault

Область применения: SQL Server

В этой статье описана установка и настройка соединителя SQL Server для Azure Key Vault.

Расширяемое управление ключами с помощью Azure Key Vault (AKV) доступно для SQL Server на Linux сред, начиная с накопительного обновления 12 SQL Server 2022 (16.x). Выполните те же инструкции, но пропустите шаги 3 и 4.

Необходимые компоненты

Прежде чем приступить к использованию Azure Key Vault с экземпляром SQL Server, убедитесь, что выполнены следующие предварительные требования.

• У вас должна быть подписка Azure.

• Установите Azure PowerShell версии 5.2.0 или более поздней.

• Создайте клиент Microsoft Entra.

• Ознакомьтесь с принципами расширяемого хранилища управления ключами (EKM) в Azure Key Vault, просмотрев расширяемое управление ключами с помощью Azure Key Vault (SQL Server).

• Вы можете изменить реестр на компьютере SQL Server.

• Установите версию распространяемого пакета Visual Studio C++, соответствующую используемой версии SQL Server:

  Версия SQL Server	Распространяемый пакет Visual C++
  2008, 2008 R2, 2012, 2014	Распространяемые пакеты Visual C++ для Visual Studio 2013
  2016, 2017, 2019, 2022	Распространяемый пакет Visual C++ для Visual Studio 2015

• Ознакомьтесь с доступом к Azure Key Vault за брандмауэром , если вы планируете использовать соединитель SQL Server для Azure Key Vault за брандмауэром или прокси-сервером.

Шаг 1. Настройка субъекта-службы Microsoft Entra

Чтобы предоставить экземпляру SQL Server разрешения на доступ к хранилищу ключей Azure, требуется учетная запись субъекта-службы в идентификаторе Microsoft Entra.

1. Войдите на портал Azure и выполните одно из следующих действий.

   • Нажмите кнопку идентификатора Microsoft Entra ID .

     

   • Выберите "Дополнительные службы", а затем в области "Все службы" введите идентификатор Microsoft Entra.

2. Зарегистрируйте приложение с помощью идентификатора Microsoft Entra, выполнив указанные ниже действия. Подробные пошаговые инструкции см . в разделе "Получение удостоверения" для раздела приложения записи блога Azure Key Vault, Azure Key Vault — пошаговые инструкции.

   1. В разделе "Управление" ресурса идентификатора Microsoft Entra выберите Регистрация приложений.

      

   2. На странице Регистрация приложений выберите Новая регистрация.

      

   3. На панели Зарегистрировать приложение введите имя приложения, доступное для пользователя, а затем выберите Зарегистрировать.

      

   4. В левой области выберите "Сертификаты и секреты" секретов > > клиента "Новый секрет клиента".

      

   5. В разделе Добавить секрет клиента введите описание и соответствующий срок действия, а затем выберите Добавить. Вы не можете выбрать срок действия, превышающий 24 месяца. Дополнительные сведения см. в разделе Добавление секрета клиента.

      

   6. В области "Сертификаты и секреты" в разделе "Значение" нажмите кнопку "Копировать" рядом со значением секрета клиента, который будет использоваться для создания асимметричного ключа в SQL Server.

      

   7. В левой области выберите Обзор, а затем, в поле Идентификатор приложения (клиента), скопируйте значение, которое будет использоваться для создания асимметричного ключа в SQL Server.

      

Шаг 2. Создание хранилища ключей

Выберите метод, который следует использовать для создания хранилища ключей.

$securepfxpwd = ConvertTo-SecureString -String '12987553' `
  -AsPlainText -Force

    Add-AzureKeyVaultKey -VaultName 'DocsSampleEKMKeyVault' `
      -Name 'DocsFirstKey' -KeyFilePath 'C:\softkey.pfx' `
      -KeyFilePassword $securepfxpwd $securepfxpwd  -Destination 'HSM'

Add-AzureKeyVaultKey -VaultName 'DocsSampleEKMKeyVault' `
  -Name 'ContosoRSAKey0' -Destination 'Software'

Attributes : Microsoft.Azure.Commands.KeyVault.Models.KeyAttributes
Key        :  {"kid":"https:DocsSampleEKMKeyVault.azure.net/keys/
                ContosoRSAKey0/<guid>","dty":"RSA:,"key_ops": ...
VaultName  : contosodevkeyvault
Name       : contosoRSAKey0
Version    : <guid>
Id         : https://DocsSampleEKMKeyVault.vault.azure.net:443/
              keys/ContosoRSAKey0/<guid>

Необязательно. Настройка управляемого HSM в Azure Key Vault (аппаратный модуль безопасности)

Управляемый модуль HSM в Azure Key Vault (аппаратный модуль безопасности) поддерживается для SQL Server и SQL Server в Azure Виртуальные машины (виртуальных машинах) при использовании последней версии соединителя SQL Server, а также SQL Azure. Управляемый HSM — это полностью управляемая, высокодоступная, однотенантная служба HSM. Управляемый модуль HSM обеспечивает безопасную основу для криптографических операций и хранилища ключей. Управляемый модуль HSM предназначен для удовлетворения самых строгих требований к безопасности и соответствию требованиям.

На шаге 2 мы узнали, как создать хранилище ключей и ключ в Azure Key Vault. При необходимости можно использовать управляемый HSM в Azure Key Vault для хранения или создания ключа, который будет использоваться с соединителем SQL Server. Ниже приведены шаги.

1. Создайте управляемый HSM в Azure Key Vault. Это можно сделать с помощью портал Azure, выполнив поиск службы управляемого HSM в Azure Key Vault и создав новый ресурс, или с помощью Azure CLI, PowerShell или шаблона ARM.

2. Активация управляемого модуля HSM. Только назначенные администраторы, назначенные во время создания управляемого устройства HSM, могут активировать HSM. Это можно сделать, выбрав управляемый ресурс HSM в портал Azure, выбрав "Скачать домен безопасности" в меню "Обзор" ресурса. Затем выполните одно из кратких руководств, чтобы активировать управляемый HSM.

3. Предоставьте разрешения субъекту-службе Microsoft Entra доступ к управляемому HSM. Роль администратора управляемого устройства HSM не предоставляет разрешения на создание ключа. Аналогично шагу 2, приложению EKM требуется роль управляемого пользователя шифрования HSM или управляемого шифрования криптослужбы HSM для выполнения операций упаковки и распаковки. Выберите тип приложения Enterprise при добавлении субъекта для назначения роли. Дополнительные сведения см. в статье о встроенных ролях локального RBAC для управляемого устройства HSM.

4. В меню службы управляемого HSM в Azure Key Vault в разделе "Параметры" выберите "Ключи". В окне "Ключи" выберите "Создать/импортировать и восстановить резервную копию", чтобы создать ключ или импортировать существующий ключ.

   Примечание.

   При создании учетных данных для доступа к управляемому HSM удостоверение — это удостоверение<name of Managed HSM>.managedhsm.azure.net, которое можно найти в обзоре управляемого HSM HSM в Azure Key Vault в качестве URI HSM в портал Azure.

   Автоматическая смена ключей поддерживается в управляемом HSM в Azure Key Vault. Дополнительные сведения см. в разделе "Настройка автоматического поворота ключей" в управляемом HSM Azure.

   Соединитель SQL Server версии 15.0.2000.440 или более поздней требуется для поддержки управляемого HSM в Azure Key Vault.

   Управляемый HSM поддерживает подключения к частной конечной точке. Дополнительные сведения см. в статье Интеграция управляемого модуля HSM с Приватный канал Azure. В этой конфигурации параметр обхода доверенной службы Майкрософт должен быть включен для параметра сети управляемого HSM в Azure Key Vault.

Шаг 3. Установка соединителя SQL Server

Скачайте Соединитель SQL Server из Центра загрузки Майкрософт. Скачивание должно выполняться администратором компьютера SQL Server.

По умолчанию соединитель устанавливается в C:\Program Files\SQL Server Connector for Microsoft Azure Key Vault. Эту папку можно изменить во время установки. Если вы измените ее, измените сценарии в следующем разделе.

Интерфейс соединителя отсутствует, но если он установлен успешно, Microsoft.AzureKeyVaultService.EKM.dll он установлен на компьютере. Эта сборка представляет собой библиотеку DLL поставщика криптографических EKM, которая должна быть зарегистрирована в SQL Server с помощью инструкции CREATE CRYPTOGRAPHIC PROVIDER .

Установка Соединителя SQL Server также позволяет при необходимости скачать примеры скриптов для шифрования SQL Server.

Просмотреть описания кодов ошибок, параметры конфигурации и задачи обслуживания для соединителя SQL Server можно в следующих разделах.

• А. Инструкции по обслуживанию для соединителя SQL Server
• C. Описания кодов ошибок для соединителя SQL Server

Шаг 4. Добавление раздела реестра для поддержки поставщика EKM

1. Убедитесь, что SQL Server установлен и запущен.

2. Запустите regedit , чтобы открыть редактор реестра.

3. SQL Server Cryptographic Provider Создайте раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoftреестра в . Полный путь выглядит так: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider.

4. Щелкните правой кнопкой SQL Server Cryptographic Provider мыши раздел реестра и выберите "Разрешения".

5. Предоставьте разрешения на полный доступ к SQL Server Cryptographic Provider разделу реестра учетной записи пользователя, работающей в службе SQL Server.

   

6. Нажмите кнопку Apply (Применить), а затем — ОК.

7. Закройте редактор реестра и перезапустите службу SQL Server.

   Примечание.

   Если вы используете TDE с EKM или Azure Key Vault в экземпляре отказоустойчивого кластера, необходимо выполнить дополнительный шаг, чтобы добавить HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider в подпрограмму контрольной точки реестра кластера, чтобы реестр может синхронизироваться с узлами. Синхронизация упрощает восстановление базы данных после отработки отказа и смены ключа.

   Чтобы добавить раздел реестра в подпрограмму контрольной точки реестра кластера, выполните следующую команду в PowerShell:

   Add-ClusterCheckpoint -RegistryCheckpoint "SOFTWARE\Microsoft\SQL Server Cryptographic Provider" -Resourcename "SQL Server"

Шаг 5. Настройка SQL Server

Сведения о минимальном уровне разрешений для выполнения каждого из описанных здесь действий см. в разделе Б. Часто задаваемые вопросы.

master Настройка базы данных

1. Запустите sqlcmd или откройте СРЕДУ SQL Server Management Studio.

2. Настройте SQL Server для использования EKM, выполнив следующий скрипт Transact-SQL:

   -- Enable advanced options.
   USE master;
   GO
   
   EXEC sp_configure 'show advanced options', 1;
   GO
   RECONFIGURE;
   GO
   
   -- Enable EKM provider
   EXEC sp_configure 'EKM provider enabled', 1;
   GO
   RECONFIGURE;
   

3. Зарегистрируйте соединитель SQL Server в качестве поставщика EKM в SQL Server.

   Создайте поставщик шифрования с помощью соединителя SQL Server, который является поставщиком EKM для Azure Key Vault. В этом примере имя поставщика — AzureKeyVault_EKM.

   CREATE CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM
   FROM FILE = 'C:\Program Files\SQL Server Connector for Microsoft Azure Key Vault\Microsoft.AzureKeyVaultService.EKM.dll';
   GO
   

   Примечание.

   Длина пути файла не может превышать 256 символов.

4. Настройте учетные данные SQL Server для входа в SQL Server, чтобы использовать хранилище ключей.

   Учетные данные необходимо добавить к каждому имени входа, которое будет выполнять шифрование с использованием ключа из хранилища ключей. В частности, это могут быть следующие задачи:

   • Имя входа администратора SQL Server, использующее хранилище ключей для настройки сценариев шифрования SQL Server и управления ими.

   • Другие имена входа SQL Server, которые могут включать TDE или другие функции шифрования SQL Server.

   Между учетными данными и именами входа существует сопоставление "один к одному". То есть каждое имя входа должно иметь уникальные учетные данные.

   Измените этот скрипт Transact-SQL следующим образом:

   • Измените аргумент IDENTITY (DocsSampleEKMKeyVault), чтобы он указывал на хранилище ключей Azure.

     • Если вы используете глобальную службу Azure, замените аргумент именем Azure Key Vault из шага 2. Создайте IDENTITY хранилище ключей.
     • Если вы используете частное облако Azure (например, Azure для государственных организаций, Microsoft Azure под управлением 21Vianet или Azure в Германии), замените IDENTITY аргумент URI хранилища, возвращаемый на шаге 3 из раздела "Создание хранилища ключей и ключа" с помощью раздела PowerShell. Не включайте https:// в универсальный код ресурса (URI) хранилища ключей.

   • Замените первую часть SECRET аргумента идентификатором клиента Microsoft Entra из шага 1. Настройка субъекта-службы Microsoft Entra. В этом примере идентификатором клиента является d956f6b9xxxxxxx.

     Внимание

     Необходимо удалить дефисы из идентификатора приложения (клиента).

   • Выполните вторую часть аргумента SECRET с помощью секрета клиента из шага 1. Настройка субъекта-службы Microsoft Entra. В этом примере секретом клиента является yrA8X~PldtMCvUZPxxxxxxxx. Последняя строка аргумента SECRET будет длинной последовательностью букв и чисел без дефисов (за исключением раздела секрета клиента, если секрет клиента содержит все дефисы).

     USE master;
     CREATE CREDENTIAL sysadmin_ekm_cred
         WITH IDENTITY = 'DocsSampleEKMKeyVault',                            -- for public Azure
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.usgovcloudapi.net', -- for Azure Government
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.azure.cn',          -- for Microsoft Azure operated by 21Vianet
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.microsoftazure.de', -- for Azure Germany
         -- WITH IDENTITY = '<name of Managed HSM>.managedhsm.azure.net',    -- for Managed HSM (HSM URI in the Azure portal resource)
                --<----Application (Client) ID ---><--Microsoft Entra app (Client) ID secret-->
         SECRET = 'd956f6b9xxxxxxxyrA8X~PldtMCvUZPxxxxxxxx'
     FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM;
     
     -- Add the credential to the SQL Server administrator's domain login
     ALTER LOGIN [<domain>\<login>]
     ADD CREDENTIAL sysadmin_ekm_cred;
     

   Пример использования переменных для CREATE CREDENTIAL аргумента и программного удаления дефисов из идентификатора клиента см. в разделе CREATE CREDENTIAL.

5. Откройте ключ Azure Key Vault в экземпляре SQL Server.

   Независимо от того, создали ли вы новый ключ или импортировали асимметричный ключ, как описано на шаге 2. Создайте хранилище ключей, необходимо открыть ключ. Откройте его, указав имя ключа в следующем скрипте Transact-SQL.

   Внимание

   Сначала выполните предварительные требования реестра для этого шага.

   • Замените EKMSampleASYKey именем, которым вы хотите, чтобы ключ был в SQL Server.
   • Замените ContosoRSAKey0 именем ключа в Azure Key Vault или управляемом HSM. Ниже приведен пример ключа без версии.

   CREATE ASYMMETRIC KEY EKMSampleASYKey
   FROM PROVIDER [AzureKeyVault_EKM]
   WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0',
   CREATION_DISPOSITION = OPEN_EXISTING;
   

   Начиная с обновленной версии 1.0.5.0 соединителя SQL Server, можно обратиться к определенной версии ключа в Azure Key Vault:

   CREATE ASYMMETRIC KEY EKMSampleASYKey
   FROM PROVIDER [AzureKeyVault_EKM]
   WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0/1a4d3b9b393c4678831ccc60def75379',
   CREATION_DISPOSITION = OPEN_EXISTING;
   

   В предыдущем примере скрипта 1a4d3b9b393c4678831ccc60def75379 представляет конкретную версию ключа, который будет использоваться. При использовании этого скрипта не имеет значения, будет ли ключ обновлен новой версией. Версия ключа (например, 1a4d3b9b393c4678831ccc60def75379) всегда будет использоваться для операций в базе данных.

6. Создайте новое имя входа с помощью асимметричного ключа в SQL Server, созданном на предыдущем шаге.

   --Create a Login that will associate the asymmetric key to this login
   CREATE LOGIN TDE_Login
   FROM ASYMMETRIC KEY EKMSampleASYKey;
   

7. Создайте новое имя входа из асимметричного ключа в SQL Server. Удалите сопоставление учетных данных на шаге 5. Настройте SQL Server , чтобы учетные данные могли быть сопоставлены с новым именем входа.

   --Now drop the credential mapping from the original association
   ALTER LOGIN [<domain>\<login>]
   DROP CREDENTIAL sysadmin_ekm_cred;
   

8. Измените новое имя входа и сопоставьте учетные данные расширенного управления ключами с новым именем входа.

   --Now add the credential mapping to the new Login
   ALTER LOGIN TDE_Login
   ADD CREDENTIAL sysadmin_ekm_cred;
   

Настройка шифрования пользовательской базы данных

1. Создайте тестовую базу данных, которая будет зашифрована с помощью ключа Azure Key Vault.

   --Create a test database that will be encrypted with the Azure Key Vault key
   CREATE DATABASE TestTDE;
   

2. Создайте ключ шифрования базы данных с помощью ASYMMETRIC KEY (EKMSampleASYKey).

   USE <DB Name>;
   --Create an ENCRYPTION KEY using the ASYMMETRIC KEY (EKMSampleASYKey)
   CREATE DATABASE ENCRYPTION KEY
   WITH ALGORITHM = AES_256
   ENCRYPTION BY SERVER ASYMMETRIC KEY EKMSampleASYKey;
   

3. Зашифруйте тестовую базу данных. Включите TDE, задав параметр ENCRYPTION ON.

   --Enable TDE by setting ENCRYPTION ON
   ALTER DATABASE TestTDE
   SET ENCRYPTION ON;
   

Сведения о реестре

1. Выполните следующий запрос Transact-SQL в master базе данных, чтобы отобразить асимметричный ключ, используемый.

   SELECT name, algorithm_desc, thumbprint FROM sys.asymmetric_keys;
   

   Инструкция возвращает следующие данные:

   name            algorithm_desc    thumbprint
   EKMSampleASYKey RSA_2048          <key thumbprint>
   

2. В пользовательской базе данных (TestTDE) выполните следующий запрос Transact-SQL, чтобы отобразить используемый ключ шифрования.

   SELECT encryptor_type, encryption_state_desc, encryptor_thumbprint
   FROM sys.dm_database_encryption_keys
   WHERE database_id = DB_ID('TestTDE');
   

   Инструкция возвращает следующие данные:

   encryptor_type encryption_state_desc encryptor_thumbprint
   ASYMMETRIC KEY ENCRYPTED             <key thumbprint>
   

Очистка

1. Очистите тестовые объекты. Удалите все объекты, созданные в этом тестовом сценарии.

   -- CLEAN UP
   USE master;
   GO
   ALTER DATABASE [TestTDE] SET SINGLE_USER WITH ROLLBACK IMMEDIATE;
   DROP DATABASE [TestTDE];
   GO
   
   ALTER LOGIN [TDE_Login] DROP CREDENTIAL [sysadmin_ekm_cred];
   DROP LOGIN [TDE_Login];
   GO
   
   DROP CREDENTIAL [sysadmin_ekm_cred];
   GO
   
   USE master;
   GO
   DROP ASYMMETRIC KEY [EKMSampleASYKey];
   DROP CRYPTOGRAPHIC PROVIDER [AzureKeyVault_EKM];
   GO
   

   Примеры сценариев см. в блоге Прозрачное шифрование данных и расширенное управление ключами SQL Server с помощью Azure Key Vault.

2. Раздел SQL Server Cryptographic Provider реестра не очищается автоматически после удаления ключа или всех ключей EKM. Его необходимо очистить вручную. Очистка раздела реестра должна выполняться с крайней осторожностью, так как очистка реестра преждевременно может нарушить функциональные возможности EKM. Чтобы очистить раздел реестра, удалите SQL Server Cryptographic Provider раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoftреестра.

Устранение неполадок

Если раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider реестра не создан или необходимые разрешения не предоставлены, следующая инструкция DDL завершится ошибкой:

CREATE ASYMMETRIC KEY EKMSampleASYKey
FROM PROVIDER [AzureKeyVault_EKM]
WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0',
CREATION_DISPOSITION = OPEN_EXISTING;

Msg 33049, Level 16, State 2, Line 65
Key with name 'ContosoRSAKey0' does not exist in the provider or access is denied. Provider error code: 2058.  (Provider Error - No explanation is available, consult EKM Provider for details)

Срок действия секретов клиента, срок действия которых истекает

Если учетные данные имеют секрет клиента, срок действия которого скоро истечет, учетным данным можно назначить новый секрет.

1. Обновите секрет, созданный на шаге 1. Настройка субъекта-службы Microsoft Entra.

2. Измените учетные данные с помощью того же удостоверения и нового секрета с помощью следующего кода. Замените <New Secret> новым секретом:

   ALTER CREDENTIAL sysadmin_ekm_cred
   WITH IDENTITY = 'DocsSampleEKMKeyVault',
   SECRET = '<New Secret>';
   

3. Перезапустите службу SQL Server.

Смена асимметричного ключа с новым ключом AKV или новой версией ключа AKV

SQL Server не имеет механизма автоматического поворота асимметричного ключа, используемого для TDE. Ниже приведены шаги по повороту асимметричного ключа вручную.

1. Учетные данные, используемые в начальной настройке (sysadmin_ekm_cred), также можно повторно использовать для смены ключей. При необходимости создайте новые учетные данные для нового асимметричного ключа.

   CREATE CREDENTIAL <new_credential_name>
       WITH IDENTITY = <key vault>,
       SECRET = 'existing/new secret'
       FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM;
   

2. Добавьте учетные данные в субъект:

   ALTER LOGIN [domain\userName];
   ADD CREDENTIAL <new_credential_name>;
   

3. Создайте асимметричный ключ на основе нового ключа (после поворота ключа). Новый ключ может быть ключом без версии (ContosoRSAKey0 в нашем примере) или ключом с версиями (ContosoRSAKey0/1a4d3b9b393c4678831ccc60def75379 где 1a4d3b9b393c4678831ccc60def75379 версия обновленного ключа в AKV):

   CREATE ASYMMETRIC KEY <new_ekm_key_name>
    FROM PROVIDER [AzureKeyVault_EKM]
    WITH PROVIDER_KEY_NAME = <new_key_from_key_vault>,
    CREATION_DISPOSITION = OPEN_EXISTING;
   

4. Создайте новое имя входа из нового асимметричного ключа:

   CREATE LOGIN <new_login_name>
   FROM ASYMMETRIC KEY <new_ekm_key_name>;
   

5. Удалите учетные данные из субъекта:

   ALTER LOGIN [domain\username]
   DROP CREDENTIAL <new_credential_name>;
   

6. Сопоставление учетных данных AKV с новым именем входа:

   ALTER LOGIN <new_login_name>;
   ADD CREDENTIAL <new_credential_name>;
   

7. Измените ключ шифрования базы данных (DEK) для повторного шифрования с помощью нового асимметричного ключа:

   USE [databaseName];
   GO
   ALTER DATABASE ENCRYPTION KEY ENCRYPTION BY SERVER ASYMMETRIC KEY <new_ekm_key_name>;
   

8. Вы можете проверить новый асимметричный ключ и ключ шифрования, используемый в базе данных:

   SELECT encryptor_type, encryption_state_desc, encryptor_thumbprint
   FROM sys.dm_database_encryption_keys
   WHERE database_id = DB_ID('databaseName');
   

   Этот отпечаток должен соответствовать разделу реестра по пути HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider\Azure Key Vault\<key_vault_url>\<thumbprint> и дать вам повернутый KeyUri ключ.

Связанный контент

• Использование соединителя SQL Server с компонентами шифрования SQL
• Расширенное управление ключами с помощью Azure Key Vault (SQL Server)
• Соединитель SQL Server, приложение