运行于Linux的应用中SQL Server Always Encrypted替代Azure Key Vault提供程序的方案

以下是经过生产验证的可行解决方案，可完全脱离Azure云、适配纯内网Linux部署场景：

1. 自定义列主密钥存储提供程序（CSPI）实现 #

这是目前适用性最广的落地方式：

• 基于SQL Server官方开放的列主密钥存储提供程序扩展接口，可自行实现适配任意本地密钥管理系统的逻辑，支持对接自建HashiCorp Vault、本地PKI密钥模块、企业内部统一密钥管理服务等所有内网部署的密钥系统
• 仅需实现3个核心方法即可完成适配：列主密钥解密、列主密钥加密、密钥签名验证，目前.NET、Java、ODBC等所有支持Always Encrypted的驱动均已开放对应的扩展入口，整体开发量很小
• 示例.NET端自定义提供程序注册代码：
  SqlConnection.RegisterColumnEncryptionKeyStoreProviders(customProviders: new Dictionary<string, SqlColumnEncryptionKeyStoreProvider>() { { "LOCAL_KMS_PROVIDER", new MyCustomKmsProvider() } });

2. 兼容AKV接口的自建密钥服务复用官方提供程序 #

如果原有业务已经适配了Azure Key Vault（AKV）提供程序，可零修改业务代码完成迁移：

• 在内网部署兼容AKV公开API的自建密钥服务，保证服务和Linux应用服务器内网连通
• 直接复用官方的Azure Key Vault提供程序，仅需将原有AKV的服务地址替换为自建服务的内网地址即可，不需要调整任何加密业务逻辑

3. 本地HSM硬件对接方案 #

如果有等保、合规相关的密钥硬件存储要求，可选择该方案：

• 采购支持PKCS#11接口的本地硬件安全模块（HSM）设备，主流商业HSM厂商均提供Linux环境下的官方驱动
• 基于官方CSPI扩展接口实现对接PKCS#11协议的密钥提供程序，所有密钥运算都在HSM硬件内部完成，不会泄露明文密钥，满足高安全等级要求

部署注意事项 #

• 所有自定义提供程序都需要在Linux应用侧配置严格的密钥访问权限控制，避免未授权服务调用密钥解密接口
• 列主密钥轮换逻辑可根据企业自身密钥管理规则在自定义提供程序中实现，和Always Encrypted原生加密流程完全兼容

内容的提问来源于stack exchange，提问作者PC.