EKM是否支持CNG密钥存储提供商？

Question

https://docs.microsoft.com/en-us/sql/relational-databases/security/encryption/extensible-key-management-ekm说：

SQL Server提供数据加密功能和可扩展密钥管理(EKM)，并使用Microsoft Cryptographic API (MSCAPI)提供程序进行加密和密钥生成。

这是否意味着EKM将只与MSCAPI(旧CSP)一起工作，而不与新的CNG密钥存储提供商一起工作？

Answer 1

是的，目前EKM (Extensible Key Management)只能与MSCAPI一起工作。EKM没有任何与CNG通信的API (目前还没有操作系统级别)。

它是钥匙的“持有者”。CNG是为MS Windows提供服务的密钥存储，从Windows Server2008和Windows Vista开始是默认的。

CNG与EKM

CNG (DPAPI [CNG DPAPI][1]仅用于保护数据库主密钥(OS)。EKM不使用它。

​

​

从CNG的角度来看

如果你检查CNG架构，你会发现它特别说明它正在使用Microsoft software KSP来存储(私有)密钥。

引述如下：

CNG目前通过使用微软软件KSP支持非对称私钥的存储，该软件包含在Windows Server2008和Windows Vista中，并默认安装。

即使是CNG架构映像也没有提到SQL Server作为可能性：

​

​

有关更多信息，请参阅Key Storage and Retrieval

注意：所有的插图都是由微软创建的。