从 Azure SQL 导出始终加密的数据

Question

这里是环境细节：

我有一个 Azure SQL 数据库 V12 和另一个本地数据库 SQL Server 2016。我在第一个数据库 - DB1 中的一个表上启用了始终加密。也创建了相同的表结构，我需要将加密数据从第一个 DB 迁移到第二个 DB。

当我尝试将数据从 DB1 导出到 DB2 时出现错误

“不支持为加密源创建目标”。

错误是因为用于加密 DB 1 的 CMK 和 CEK 位于 Azure-Key-vault 中。 导出工具从未提供访问密钥库的选项。

如何将数据从 DB1 迁移到 DB2？

Answer 1

@G_Tania：你想使用哪个导入/导出工具？我了解，您想在目标数据库中使用本地证书（而不是存储在 Azure Key Vault 中的列主密钥），对吗？您还想替换列加密密钥 (CEK)，还是保留原来的 CEK？

一般来说，有两种开箱即用的工具支持使用 Always Encrypted 迁移数据库，每种工具都支持不同的场景：

• 基于 Bacpac 的工具 – 请参阅 https://docs.microsoft.com/en-us/azure/sql-database/sql-database-export。此类工具会生成包含加密数据和原始密钥元数据的 bacpac 文件。数据在整个迁移过程中保持加密，当您将文件导入目标服务器时，密钥元数据将指向原始密钥（在您的情况下为 Azure Key Vault 中的主密钥）。如果您想在目标数据库中使用不同的密钥，您仍然可以使用基于 bacpac 的工具，但是在导入数据库后，您需要轮换您的密钥。请参阅https://docs.microsoft.com/en-us/sql/relational-databases/security/encryption/overview-of-key-management-for-always-encrypted。
• 基于 SSIS 的工具，例如 SSMS 附带的导入/导出向导：https://docs.microsoft.com/en-us/sql/integration-services/import-export-data/start-the-sql-server-import-and-export-wizard。如果您想一步迁移数据并替换密钥，这些工具非常有用。此处描述了使用 I/E 向导迁移和加密数据的过程：https://blogs.msdn.microsoft.com/sqlsecurity/2015/07/28/encrypting-existing-data-with-always-encrypted/。重新加密数据的过程类似——您需要确保为源连接和目标连接启用了 Always Encrypted。此外，由于您的主密钥存储在 Azure Key Vault 中，因此您需要使用 ODBC 13.1 驱动程序（至少对于您的源数据库连接）。与 ADO.NET 不同，ODBC 允许您在连接字符串中指定 Key Vault 凭据。请参阅https://docs.microsoft.com/en-us/sql/connect/odbc/using-always-encrypted-with-the-odbc-driver 中的“使用 Azure Key Vault 提供程序”。