配置EKM对接AKV时DLL加密提供程序版本与系统目录GUID不符如何解决

为SQL Server配置基于Azure Key Vault（AKV）的可扩展密钥管理（EKM）功能，按官方教程完成全部前置操作后，执行到教程第5部分步骤时触发报错：

Cryptographic provider version '01.00.0004.00' in dll is different from the guid recorded in system catalog for provider with id 65536.
对应含义：DLL文件中的加密提供程序版本为'01.00.0004.00'，与系统目录中记录的ID为65536的提供程序GUID不匹配。

该报错本质是SQL Server系统目录中存储的ID 65536对应EKM提供程序元数据，和当前尝试加载的AKV EKM提供程序DLL的版本、唯一标识信息不匹配，常见触发场景包括：

• 该SQL实例此前安装过旧版本/其他来源的AKV EKM提供程序，删除时未清理干净，残留元数据留在系统表中
• 使用的EKM提供程序DLL版本和当前SQL Server大版本、系统架构（64位）不匹配
• 注册提供程序时填写的DLL路径错误，加载了非目标版本的DLL文件
• 此前安装/更新EKM提供程序后未重启SQL Server服务，内存中缓存的旧提供程序信息未清空
• DLL文件存放在临时目录/网络共享路径，或SQL Server服务账号对DLL文件无读取、执行权限，导致元数据读取异常

按以下顺序操作即可解决问题：

1. 清理系统目录中残留的旧EKM提供程序记录
   首先执行以下查询确认现有提供程序状态：

   SELECT provider_id, name, version, dll_path 
   FROM sys.cryptographic_providers 
   WHERE provider_id = 65536;
   

   若查询返回残留记录，需按依赖层级从外到内删除所有关联对象后，再删除提供程序本身，参考语句如下（请根据实例实际创建的对象名替换占位符）：

   -- 1. 删除基于EKM非对称密钥创建的SQL登录名（若存在）
   DROP LOGIN [EKM密钥对应登录名];
   -- 2. 删除映射到EKM提供程序的凭据（若存在）
   DROP CREDENTIAL [EKM关联凭据名];
   -- 3. 删除基于EKM提供程序创建的非对称密钥（若存在）
   DROP ASYMMETRIC KEY [EKM非对称密钥名];
   -- 4. 删除残留的加密提供程序记录
   DROP CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM;
   

2. 校验EKM提供程序DLL文件
   • 确认使用的DLL和当前SQL Server大版本、64位系统架构完全匹配，不要混用跨版本、32位的安装文件，不同SQL Server大版本对应的EKM DLL文件名存在差异，以对应版本的官方安装包内文件为准
   • 将DLL放到本地磁盘固定路径，不要放在网络共享、临时下载目录，建议放在SQL Server安装目录下手动新建的EKM子文件夹中
   • 右键DLL文件打开「属性-详细信息」页，确认文件版本和部署目标版本一致；如果属性页底部有「解除锁定」按钮，点击确认解除系统对下载文件的锁定
   • 给SQL Server数据库引擎服务的启动账号授予DLL所在文件夹的读取、执行权限
3. 清空缓存
   完成旧记录清理、DLL校验后，重启SQL Server数据库引擎服务，确保内存中缓存的旧提供程序信息被完全清空
4. 重新注册EKM提供程序
   服务重启后，重新执行提供程序注册语句，注意填写DLL的本地绝对路径：

   CREATE CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM 
   FROM FILE = 'C:\Program Files\Microsoft SQL Server\MSSQL16.MSSQLSERVER\EKM\对应版本EKM.dll';
   

   注册完成后再次查询sys.cryptographic_providers系统视图，确认返回的version字段和DLL文件版本一致，即可继续后续凭据创建、密钥配置步骤。

• 生产环境操作前先备份master等系统数据库，优先在测试环境验证步骤后再操作生产实例
• Azure VM上的SQL Server实例优先通过SQL IaaS Agent扩展安装匹配版本的EKM组件，不要手动随意下载来源不明的DLL文件
• 若多次操作仍报错，可检查SQL Server错误日志，确认DLL加载阶段是否有权限拒绝、文件损坏的相关记录

内容的提问来源于stack exchange，提问作者Dominic Naimool