SQL Server能否自動超時從Azure密鑰保管庫獲取的DEK？

Question

考慮Azure中的SQL Server，並啓用transparent data encryption，並使用Azure Key Vault進行密鑰管理。無論>國家如何，數據在Azure數據中心中都是靜態加密的，無論<是哪個國家，但Key Vault均位於客戶自己的數據中心內部。 應用程序（也在Azure中託管，因此實際位於<的任何>國家/地區）都可以從成功往返密鑰保管庫的往返時間訪問數據庫。

1. 什麼樣的實體是數據訪問綁定（哪個實體擁有對稱密鑰）？它是否擁有對稱密鑰的數據庫，以便所有傳入的連接都能夠看到未加密的數據？還是每個連接都存儲了密鑰，以便在建立每個新連接時數據庫重新連接到密鑰保管庫？
2. 我們希望能夠通過關閉內部密鑰保管庫來關閉數據庫訪問。即：無論數據中心發生什麼情況，雲中的數據訪問都可以始終從密鑰保管庫中停止。數據只能被解密，因爲密鑰被緩存在某處。我們可以強制緩存在X秒之後超時，從而迫使數據庫重新連接到密鑰保管庫並再次請求密鑰？這將允許我們關閉密鑰保管庫，在X秒後渲染數據無效。

Answer 1

SQL Server不支持外部DEK--它存儲在由DEK保護器加密的數據庫中，該保護器可以是密鑰庫中的證書或非對稱密鑰。在這種方案中，每個I/O上都不需要密鑰庫，但是在超時之後SQL Server需要密鑰庫再次解包DEK。