SQLNCLI10でTLS 1.2接続が失敗する原因とMSOLEDBSQL 19への移行

-- 対象: SQL Server 2008 以降 / Amazon RDS for SQL Server
-- 権限: 対象インスタンスへの接続権限
-- 変更作業: なし（参照のみ）
-- Production 実行: 可能
SELECT
    @@VERSION                             AS version_string,
    SERVERPROPERTY('ProductVersion')      AS product_version,
    SERVERPROPERTY('ProductLevel')        AS product_level,
    SERVERPROPERTY('ProductUpdateLevel')  AS product_update_level,  -- 版によっては NULL
    SERVERPROPERTY('Edition')             AS edition,
    SERVERPROPERTY('MachineName')         AS machine_name;

-- 対象: SQL Server 2008 以降 / Amazon RDS for SQL Server
-- 権限: VIEW SERVER STATE
-- 変更作業: なし（参照のみ）
-- Production 実行: 可能
SELECT
    c.session_id,
    s.login_name,
    s.host_name,
    s.program_name,
    s.client_interface_name,   -- 使用中のクライアントライブラリ
    s.client_version,
    c.net_transport,
    c.protocol_type,
    c.protocol_version,
    c.encrypt_option,          -- TRUE なら接続が暗号化されている
    c.auth_scheme,
    c.client_net_address,
    c.connect_time
FROM sys.dm_exec_connections AS c
INNER JOIN sys.dm_exec_sessions AS s
        ON c.session_id = s.session_id
WHERE s.is_user_process = 1
ORDER BY c.connect_time DESC;

-- 対象: Windows クライアント（OLE DB 接続）
-- 権限: アプリケーション構成の変更権限
-- 変更作業: あり（暗号化と証明書検証の挙動が変わる）
-- Production 実行: 検証環境での確認と変更管理の手順が前提

-- 1) 移行前（SQL Server Native Client 10.0 / 非推奨）
Provider=SQLNCLI10;Data Source=192.0.2.10,1433;Initial Catalog=SampleDB;User ID=sample_user;Password=********;

-- 2) 移行後（Microsoft OLE DB Driver 19 / 既定で Encrypt=yes）
Provider=MSOLEDBSQL19;Data Source=192.0.2.10,1433;Initial Catalog=SampleDB;User ID=sample_user;Password=********;Encrypt=yes;TrustServerCertificate=no;

-- 3) サーバー証明書を信頼できない場合の暫定回避（検証を弱めるため恒久運用には使わない）
Provider=MSOLEDBSQL19;Data Source=192.0.2.10,1433;Initial Catalog=SampleDB;User ID=sample_user;Password=********;Encrypt=yes;TrustServerCertificate=yes;

-- 4) 18 系以前の MSOLEDBSQL（既定は Encrypt=no のため従来の接続文字列がそのまま動く）
Provider=MSOLEDBSQL;Data Source=192.0.2.10,1433;Initial Catalog=SampleDB;User ID=sample_user;Password=********;

# 対象: Windows クライアント
# 権限: レジストリの参照権限（環境により管理者権限）
# 変更作業: なし（参照のみ）
# Production 実行: 可能

# インストール済みの SQL Server クライアントドライバーを一覧する
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*' |
    Where-Object {
        $_.DisplayName -like '*SQL Server*Native Client*' -or
        $_.DisplayName -like '*OLE DB Driver*for SQL Server*'
    } |
    Select-Object DisplayName, DisplayVersion |
    Sort-Object DisplayName

# OS の SCHANNEL プロトコル設定を参照する（変更はしない）
Get-ChildItem 'HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols' -Recurse |
    ForEach-Object {
        [PSCustomObject]@{
            Path     = $_.Name
            Settings = (Get-ItemProperty -Path $_.PSPath | Select-Object Enabled, DisabledByDefault)
        }
    }

-- 対象: Windows クライアント（OLE DB 接続）
-- 権限: テスト用の接続情報
-- 変更作業: なし（接続テストのみ）
-- Production 実行: 可能（テスト接続のみ）

-- .udl ファイルや接続テストツールで、以下の3パターンを順に試して切り分ける
-- A) 暗号化なし        : Encrypt=no
-- B) 暗号化あり・検証あり: Encrypt=yes;TrustServerCertificate=no
-- C) 暗号化あり・検証なし: Encrypt=yes;TrustServerCertificate=yes

-- A が成功し B が失敗 → 証明書の問題（サーバー証明書またはクライアントの信頼ストア）
-- A も B も失敗       → TLS バージョンまたはドライバー側の問題
-- B が失敗し C が成功 → サーバー証明書が信頼されていない（恒久対策は証明書の是正）