使用Azure密钥保管库客户端密钥的SQL Server Always Encrypted能否在SSMS查看明文数据？

当然可行！下面是一步步的操作指南，帮你在本地SSMS里借助Azure AD服务主体的客户端密钥，访问AKV中的Always Encrypted密钥，最终查看解密后的敏感数据：

一、先准备好必要信息 #

你得提前收集这些关键内容：

• Azure AD服务主体（也就是注册的应用程序）的客户端ID（又称应用ID）
• 该服务主体对应的客户端密钥（即应用密码）
• 你的Azure密钥保管库名称（或者完整的Vault URI，格式类似 https://your-vault-name.vault.azure.net/）
• 务必确认这个服务主体已经在AKV的访问策略中被授予了对应列主密钥的Get、WrapKey和UnwrapKey权限——这一步需要在Azure门户完成：进入密钥保管库的「访问策略」页面，添加该服务主体，然后勾选密钥权限里的这几项操作。

二、配置SSMS的连接参数 #

1. 打开SSMS，在连接SQL Server实例的界面，点击选项 >> 展开更多属性
2. 切换到Always Encrypted标签页：
   • 勾选「启用Always Encrypted（列加密）」
   • 点击「列主密钥存储设置」按钮
3. 在弹出的配置窗口里，选择Azure Key Vault，然后点击「添加」
4. 接下来在Azure密钥保管库的配置弹窗中：
   • 认证方式选择使用Azure AD服务主体
   • 填入你之前准备的客户端ID和客户端密钥
   • 输入密钥保管库的名称或完整URI
   • 点击「测试连接」，确认能成功连接到你的AKV
   • 测试通过后点击「确定」保存配置

三、验证并查看解密数据 #

1. 完成上述配置后，正常连接到SQL Server实例
2. 打开包含加密列的表，右键选择「选择前1000行」，或者手动执行SELECT查询。这里要注意：
   • 如果直接执行查询没看到明文，检查查询窗口的设置：在工具栏点击「查询选项」，找到Always Encrypted板块，勾选「启用Always Encrypted」，然后重新执行查询
3. 现在你应该能看到解密后的明文数据了！

额外提醒 #

• 确保你的SSMS版本是17.4或更高，更早的版本不支持用服务主体（客户端密钥）访问AKV的Always Encrypted密钥
• 如果遇到权限报错，回到Azure门户检查AKV的访问策略是否配置正确，同时确认密钥保管库的网络防火墙允许你的本地IP地址访问
• 客户端密钥属于敏感信息，一定要妥善保管，避免泄露导致权限滥用

内容的提问来源于stack exchange，提问作者David Christopher Reynolds