Я пытаюсь понять безопасность TDE для MSSQL. В документации говорится, что он полагается на Windows DPAPI. DPAPI генерирует главный ключ, используя учетные данные пользователя. Это хорошо работает для пользователей-людей, когда пароль никогда не сохраняется на машине.
Я не понимаю, как работает DPAPI при создании главных ключей для учетных записей служб (либо учетных записей MSA, либо встроенных учетных записей служб), если я понимаю, что пароль хранится в реестре.
Как TDE защищает данные, если он полагается на главный ключ, который полагается на пароль учетной записи службы, который хранится на том же устройстве, что и данные?