Prinzipiell: gar nicht.
Die bessere Lösung ist
immer, dass ein Client sich mit einer HTTP-API verbindet, und diese API mit dem SQL Server kommuniziert. Ob das REST, GraphQL, gRPC oder sonst was ist, ist erst mal sekundär.
Jedenfalls muss durch diese Art a) der Client niemals mit Server Credentials umgehen und b) kann der SQL Server über das Netzwerk so gesichert werden, dass er nur von der HTTP API Anwendung erreichbar ist.
Jeder DB Hersteller sagt Dir nämlich, dass eine Datenbank über ein Netzwerk niemals exposed werden sollte, was bei einer direkten Client-Anwendung aber immer notwendig ist. Cloud-Anbieter haben deswegen bei all ihren Datenbank-Konfigurationen per default es so eingestellt, dass die Datenbank nicht aus dem Internet erreichbar ist - Du musst es bewusst aktivieren.
Des weiteren kann der Client ein völlig anderes Authentifizierungssystem verwenden (zB OpenID + OAuth) als die Verbindung von HTTP API zu SQL Server (Zertifikate, Active Directory..).
Je nachdem was Du für eine Plattform nutzt, kannst Du mit Datenbanken und Backend-Services vollständig ohne Credentials arbeiten.
Azure hat zum Beispiel das Feature von
Managed Identities, quasi Passwort-lose Authentifizierung von Azure Services untereinander auf Azure. Geht aber leider nur auf Azure, nicht On Prem und die anderen Cloud-Provider bieten das in diesem Umfang (noch) nicht an (AWS hat den Identity Service, aber der is eher rudimentär).
Authentifizierung bzw. Authorisierung von Benutzern ist niemals Aufgabe der Datenbank.
