Always Encrypted如何避免系统管理员访问数据？客户端程序和数据库在同一机器上

[liurui]

如题，客户端程序和数据库在同一台机器上，如果我的客户端程序要正常访问数据库，那么这台机器必须有证书，但是如果这台机器有证书的话，管理员就可以在SSMS连接时添加Column Encryption Setting = Enabled;这个参数来查看明文了，如果我的程序是CS客户端程序的化，是不是每台安装客户端程序的电脑都需要导入证书？如果是的话，那么这些导入证书的电脑如果安装上SSMS并加上连接参数是不是就也可以查看明文数据了？ 我想只能我的程序才可以正常访问操作数据库，有没有什么办法？或者说有没有什么办法把证书或者列主密钥存到我的软件里而不是存到当前用户或者计算机里？

[#2]

---

@liurui wrote:

How does Always Encrypted prevent system administrators from accessing data? 

---

You can not restrict the permission of a login with membership of SysAdmin role in any way, tht's not possible.

Olaf

[#3]

并不是要限制系统管理员的登录权限，而是想阻止系统管理员查看明文。有没有什么办法？比如打开SSMS时如果想要查看明文必须输入一个加密密钥，否则只能查看密文。把这个加密密钥存储以纯文本形式存储在应用软件中类似的方案。