sql - Azure SQL 在 KeyVault 上始终加密密钥轮换 - 它是如何工作的？

Question

在 SQL Azure 上，我始终使用 Azure KeyVault 密钥进行设置。然后我基于此加密了几列。一切正常。

我的问题：当我在 Azure KeyVault 密钥中生成新密钥时会发生什么？

• 它会根据旧密钥解密加密列吗？
• 根据新的键值重新加密列？
• 这一切都是自动发生的，需要多长时间？

标签： sqlencryptionazure-sql-databaseazure-keyvaultalways-encrypted

Answer 1

Key Vault 存储列主密钥，用于解密实际加密和解密数据的列加密密钥。如果你只是轮换列主密钥，那么这个过程非常快，因为你只需要使用旧的列主密钥来解密列加密密钥，然后用新的列主密钥重新加密它。请参阅旋转列主键

并且一般参见：Always Encrypted 的密钥管理概述