Azure SQL始终对KeyVault上的密钥旋转进行加密-它如何工作？

Question

在SQL Azure上，我始终使用Azure KeyVault密钥对设置进行加密。然后，我基于此加密了几列。一切正常。

我的问题：当我在Azure KeyVault密钥中生成新密钥时会发生什么？

• 它将基于旧密钥解密加密的列吗？
• 根据新的键值重新加密列？
• 这一切会自动发生吗，需要花费多少时间？

Answer 1

密钥库存储列主密钥，该密钥用于解密实际上对数据进行加密和解密的列加密密钥。如果仅旋转列主密钥，则该过程非常快，因为您只需要使用旧的列主密钥来解密列加密密钥，然后使用新的列主密钥对其进行重新加密。参见Rotating Column Master Keys

通常参见：Overview of Key Management for Always Encrypted