SSIS:在 Azure key 存储中使用 CMK 插入 Always Encrypted 表时，来自 ODBC 提供程序的错误

Question

我正在尝试使用 SSIS (Visual Studio 2017) 将数据插入到 Azure SQL 表中，其中包含通过 Always Encrypted 加密的列和存储在 Azure Key Vault 中的列主 key ，但我不断收到错误消息。

根据我在其他帖子中找到的建议，我将 ADO.NET 目标与 ODBC 数据提供程序一起使用。该用户是在 Azure SQL 数据库中预配的 Azure Active Directory 用户，因此它能够登录。它具有在 key 保管库的访问策略中授予它的所有 key 权限。

我的 ODBC 连接字符串如下所示:

DRIVER=ODBC Driver 17 for SQL Server;SERVER=[dbs].database.windows.net;UID=[uid@example.com];PWD=[password];Authentication=ActiveDirectoryPassword;DATABASE=[database];ColumnEncryption=Enabled;KeyStoreAuthentication=KeyVaultPassword;KeyStorePrincipalId=[uid@example.com];KeyStoreSecret=[password]

我希望将其插入表中，但会导致此错误:

[ADO NET Destination [2]] Error: An exception has occurred during data insertion, the message returned from the provider is: ERROR [CE269] [Microsoft][ODBC Driver 17 for SQL Server][SQL Server]Error 12038 sending request to https://[keyvault].vault.azure.net:443 ERROR [CE263] [Microsoft][ODBC Driver 17 for SQL Server][SQL Server]Error verifying signature of ECEK. ERROR [CE202] [Microsoft][ODBC Driver 17 for SQL Server][SQL Server]The keystore provider AZURE_KEY_VAULT failed to decrypt the ECEK https://[keyvault].vault.azure.net:443/keys/[cmk]/[version] with RSA_OAEP.

我能够通过 SSMS 和自定义控制台应用程序成功插入到表中，并验证加密是否按预期工作。该错误仅发生在 SSIS。

Answer 1

我最近花了很多时间来使这件事起作用。如果 ECEK 出现错误 12038，则需要更新 Azure SQL 数据库中的主 key ，而无需 :443。当 ODBC 连接尝试将 url 与 AKV 中的 url 匹配时，就会产生错误。这是简短的回答。我计划一有时间就提供整个解决方案。