从Azure SQL导出始终加密的数据

Question

以下是环境细节：

我有一个Azure SQL数据库V12和另一个本地数据库SQL Server 2016.我已经在第一个DB-DB1中的表上启用了Always Encrypted。还创建了相同的表结构，我需要将加密数据从第一个DB迁移到第二个DB。

当我尝试将数据从DB1导出到DB2时，我收到错误

  

＆＃34;不支持为加密来源创建目的地＆＃34;。

错误是因为用于加密DB 1的CMK和CEK位于Azure-Key-vault中。 导出工具从未提供访问密钥库的选项。

如何将数据从DB1迁移到DB2？

Answer 1

@G_Tania：您尝试使用哪种导入/导出工具？我知道，您希望在目标数据库中使用本地证书（而不是存储在Azure Key Vault中的列主密钥），对吗？您是否还想要替换列加密密钥（CEK），还是要保留原始CEK？

通常，有两种开箱即用的工具支持使用Always Encrypted迁移数据库，每种工具都支持不同的方案：

• 基于Bacpac的工具 - 请参阅https://docs.microsoft.com/en-us/azure/sql-database/sql-database-export。这些工具生成包含加密数据和原始密钥元数据的bacpac文件。数据在整个迁移过程中保持加密状态，当您将文件导入目标服务器时，密钥元数据将指向原始密钥（在您的情况下，Azure Key Vault中的主密钥）。如果要在目标数据库中使用不同的键，仍然可以使用基于bacpac的工具，但在导入数据库后，您需要旋转键。请参阅https://docs.microsoft.com/en-us/sql/relational-databases/security/encryption/overview-of-key-management-for-always-encrypted。
• 基于SSIS的工具，例如SSMS附带的导入/导出向导：https://docs.microsoft.com/en-us/sql/integration-services/import-export-data/start-the-sql-server-import-and-export-wizard。如果要一步迁移数据并替换密钥，这些工具非常有用。此处描述了使用I / E向导迁移和加密数据的过程：https://blogs.msdn.microsoft.com/sqlsecurity/2015/07/28/encrypting-existing-data-with-always-encrypted/。重新加密数据的过程类似 - 您需要确保为源和目标连接启用了始终加密。此外，由于您的主密钥存储在Azure Key Vault中，因此您需要使用ODBC 13.1驱动程序（至少对于您的源数据库连接）。与ADO.NET不同，ODBC允许您在连接字符串中指定密钥保管库凭据。请参阅https://docs.microsoft.com/en-us/sql/connect/odbc/using-always-encrypted-with-the-odbc-driver中的“使用Azure密钥保管库提供程序”。