azure - 始终使用 Keyvault 加密 SQL Azure - 导出 CMK 证书

Question

我正在使用“始终使用 KeyVault 加密”来加密我的 SQL azure 数据库。我在 Keyvault 中看到的是，CMK 是在 Keys 部分中创建的。是否可以由此构建证书？或者哪里可以找到这个CMK证书？

Answer 1

在 Azure Key Vault 中，您可以创建不同类型的对象: key 、 secret 和证书。始终加密要求存储在 Azure Key Vault 中的列主 key 是 Key Vault key 。当您选择将新的列主 key 存储在 Key Vault 中时，SSMS 会创建 Key Vault key 。顺便说一句，SSMS 在创建 key 时所做的操作相当于调用 Add-AzureKeyVaultKey。

话虽如此，当创建 Key Vault 证书时(例如通过 Add-AzureKeyVaultCertificate)，还会创建具有相同名称的可寻址 key 和 secret - 请参阅 https://learn.microsoft.com/en-us/rest/api/keyvault/about-keys--secrets-and-certificates#key-vault-certificates 。而且，如果需要，您可以使用与证书关联的 key 作为列主 key 。但是，我不知道这样做的实际好处:启用 Always Encrypted 的客户端驱动程序(例如 ADO.NET)甚至不会知道 key 与证书关联。

如果您可以描述您的业务需求并解释为什么您认为需要列主 key 作为证书，这可能会很有用。

请记住，即使列主 key 是存储在 Windows 证书存储(而不是 Key Vault)中的真实证书，启用始终加密的驱动程序也仅使用证书中包含的公钥和私钥，他们忽略了其他一切。特别是，驱动程序从不验证证书过期日期、CA 链或证书是否已被吊销。这是设计使然 - 主 key 保护长期存在的数据，这种方法可确保您始终能够访问数据，只要您拥有主 key (例如，如果您创建包含加密数据的数据库备份文件并恢复)几年后，您应该能够访问您的数据)。