У меня есть база данных SQL Azure с зашифрованными столбцами (всегда зашифрованными с помощью Azure KeyVault). Я могу получить доступ к этой базе данных из SSMS и увидеть расшифрованные данные.

У меня также есть веб-приложение, созданное с помощью .Net Core 5.0, которое развернуто в службе приложений Azure. В службе приложений включена управляемая идентификация, а в Key Vault, имеющем ключи enc/dec для этой базы данных SQL, есть параметр политики доступа, позволяющий этой службе приложений расшифровывать данные.

Веб-приложение работает с управляемой идентификацией, поскольку я вижу, что незашифрованные данные извлекаются без каких-либо проблем.

Кроме того, строка подключения включает Column Encryption Setting=enabled;. Вот строка подключения:

Server=tcp:server.database.windows.net,1433;Database=somedb;Column Encryption Setting=enabled;

Проблема в том, что я не могу найти НИКАКИХ образцов с такой настройкой. Я нашел некоторые, и я понимаю, что мне нужно зарегистрироваться SqlColumnEncryptionAzureKeyVaultProvider. Вот мой код для получения SqlConnection:

    internal static class AzureSqlConnection
    {
        private static bool _isInitialized;

        private static void InitKeyVaultProvider(ILogger logger)
        {
            /*
             * from here - https://github.com/dotnet/SqlClient/blob/master/release-notes/add-ons/AzureKeyVaultProvider/1.2/1.2.0.md
             *      and  - https://github.com/dotnet/SqlClient/blob/master/doc/samples/AzureKeyVaultProviderExample.cs
             *
             */

            try
            {
                // Initialize AKV provider
                SqlColumnEncryptionAzureKeyVaultProvider sqlColumnEncryptionAzureKeyVaultProvider =
                    new SqlColumnEncryptionAzureKeyVaultProvider(AzureActiveDirectoryAuthenticationCallback);

                // Register AKV provider
                SqlConnection.RegisterColumnEncryptionKeyStoreProviders(
                    new Dictionary<string, SqlColumnEncryptionKeyStoreProvider>(1, StringComparer.OrdinalIgnoreCase)
                    {
                        {SqlColumnEncryptionAzureKeyVaultProvider.ProviderName, sqlColumnEncryptionAzureKeyVaultProvider}
                    });

                _isInitialized = true;
            }
            catch (Exception ex)
            {
                logger.LogError(ex, "Could not register SqlColumnEncryptionAzureKeyVaultProvider");
                throw;
            }
        }

        internal static async Task<SqlConnection> GetSqlConnection(string connectionString, ILogger logger)
        {
            if (!_isInitialized) InitKeyVaultProvider(logger);

            try
            {
                SqlConnection conn = new SqlConnection(connectionString);
                /*
                         * This is Managed Identity (not Always Encrypted)
                         *  https://learn.microsoft.com/en-us/azure/app-service/app-service-web-tutorial-connect-msi#modify-aspnet-core
                         *
                         */
#if !DEBUG
                conn.AccessToken = await new AzureServiceTokenProvider().GetAccessTokenAsync("https://database.windows.net/");
                logger.LogInformation($"token: {conn.AccessToken}");
#endif
                await conn.OpenAsync();
                return conn;
            }
            catch (Exception ex)
            {
                logger.LogError(ex, "Could not establish a connection to SQL Server");
                throw;
            }
        }

        private static async Task<string> AzureActiveDirectoryAuthenticationCallback(string authority, string resource, string scope)
        {
            return await new AzureServiceTokenProvider().GetAccessTokenAsync("https://database.windows.net/");

            //AuthenticationContext? authContext = new AuthenticationContext(authority);
            //ClientCredential clientCred = new ClientCredential(s_clientId, s_clientSecret);
            //AuthenticationResult result = await authContext.AcquireTokenAsync(resource, clientCred);
            //if (result == null)
            //{
            //    throw new InvalidOperationException($"Failed to retrieve an access token for {resource}");
            //}

            //return result.AccessToken;
        }
    }

Этот код не создает никаких исключений и работает для незашифрованных запросов. Но для зашифрованных запросов я получаю следующую ошибку:

Не удалось расшифровать ключ шифрования столбца. Недопустимое имя поставщика хранилища ключей: "AZURE_KEY_VAULT". Имя поставщика хранилища ключей должно обозначать либо поставщика системного хранилища ключей, либо зарегистрированного поставщика настраиваемого хранилища ключей. Допустимые имена поставщиков хранилища системных ключей: «MSSQL_CERTIFICATE_STORE», «MSSQL_CNG_STORE», «MSSQL_CSP_PROVIDER». Действительные (в настоящее время зарегистрированные) имена поставщиков пользовательских хранилищ ключей: . Проверьте информацию о поставщике хранилища ключей в определениях главного ключа столбца в базе данных и убедитесь, что все поставщики пользовательских хранилищ ключей, используемые в вашем приложении, правильно зарегистрированы. Не удалось расшифровать ключ шифрования столбца. Недопустимое имя поставщика хранилища ключей: "AZURE_KEY_VAULT". Имя поставщика хранилища ключей должно обозначать либо поставщика системного хранилища ключей, либо зарегистрированного поставщика настраиваемого хранилища ключей. Допустимые имена поставщиков хранилища системных ключей: «MSSQL_CERTIFICATE_STORE», «MSSQL_CNG_STORE», «MSSQL_CSP_PROVIDER». Действительные (в настоящее время зарегистрированные) имена поставщиков пользовательских хранилищ ключей: . Проверьте информацию о поставщике хранилища ключей в определениях главного ключа столбца в базе данных и убедитесь, что все поставщики пользовательских хранилищ ключей, используемые в вашем приложении, правильно зарегистрированы.

Похоже, поставщик хранилища ключей не зарегистрирован.

Что мне сделать, чтобы он работал для запроса зашифрованных данных?

используемые пакеты

    <PackageReference Include = "Microsoft.Azure.Services.AppAuthentication" Version = "1.6.0" />
    <PackageReference Include = "Microsoft.Data.SqlClient" Version = "2.1.0" />
    <PackageReference Include = "Microsoft.Data.SqlClient.AlwaysEncrypted.AzureKeyVaultProvider" Version = "1.2.0" />
    <PackageReference Include = "Microsoft.Extensions.Hosting" Version = "5.0.0" />