如何限制仅指定应用可访问带Always Encrypted的SQL Server 2016数据库

你提到的这个问题是Always Encrypted默认部署中很常见的安全风险——只要设备上有证书且知道连接字符串，任何应用都能解密数据。下面是几个经过实践验证的方案，帮你实现仅特定/单个应用可访问解密后数据的目标：

1. 把列主密钥（CMK）存在应用专属的存储中，而非机器级证书库 #

默认情况下，我们会把加密证书安装在本地机器的证书存储里，这意味着同一台设备上的所有应用（只要有足够权限）都能访问这个证书。要限制访问，你可以：

• 将证书存储在当前用户的个人证书库（而非本地机器库），然后用一个专属的服务账户运行目标应用。其他应用如果用不同的用户账户运行，就无法访问这个证书。
• 对于.NET应用，使用Microsoft.Data.SqlClient的自定义密钥存储提供者，把CMK加密后存在应用的私有目录中（比如用DPAPI加密），只有目标应用能读取和解密这个密钥文件。
• 操作示例：创建列主密钥时指定用户级证书存储：

  CREATE COLUMN MASTER KEY MyCMK
  WITH (
      KEY_STORE_PROVIDER_NAME = N'MSSQL_CERTIFICATE_STORE',
      KEY_PATH = N'CurrentUser/My/ThumbprintOfCertificate'
  );
  

  然后在证书存储中，给目标应用的运行账户授予该证书的私钥读取权限，其他账户一律拒绝。

2. 结合Windows身份验证与数据库权限控制 #

Always Encrypted的解密操作虽然在客户端完成，但数据库层面的权限可以限制哪些用户能访问加密列。配合专属的应用账户，能形成双重防护：

• 创建一个专属的Windows服务账户（比如CORP/MyAppServiceAccount），用这个账户运行目标应用。
• 在SQL Server中，为这个账户创建登录名和数据库用户，只授予该用户目标加密列的SELECT权限，其他权限一律移除。
• 同时，在证书存储中，只允许这个服务账户读取列主密钥的私钥。这样就算其他应用拿到连接字符串，要么没权限访问数据库，要么没权限读取密钥解密数据。

3. 封装数据库访问到专属中间服务层 #

最彻底的隔离方式是不让客户端直接接触数据库和密钥：

• 开发一个中间API服务（比如用ASP.NET Core、Java Spring等），这个服务是唯一能连接数据库并访问解密密钥的实体。
• 客户端应用只能通过调用API的接口获取数据，根本接触不到连接字符串和加密证书。
• 额外给API添加身份验证机制（比如API密钥、OAuth2.0客户端凭证），确保只有你的特定应用能调用这些接口。这种方案尤其适合分布式或多客户端的场景。

4. 加密应用的连接字符串与密钥配置 #

就算其他应用能获取到配置文件，也要让它们无法直接使用里面的内容：

• 对于.NET应用，使用ProtectedData类或者aspnet_regiis.exe工具加密配置文件中的连接字符串，只有运行应用的账户能解密。
• 对于非.NET应用，可以用Windows DPAPI或者操作系统提供的加密工具，把连接字符串和密钥相关配置加密后存储，应用启动时再解密使用。

推荐组合方案 #

• 如果是本地运行的单应用，优先选择专属服务账户+用户级证书存储+数据库权限控制的组合，配置简单且防护效果好。
• 如果是多客户端或分布式场景，中间API服务+身份验证是最稳妥的方案，能从根本上隔离客户端与数据库的直接交互。

内容的提问来源于stack exchange，提问作者bmi