TDE 主密钥轮换

Question

更改 TDE 主密钥（DB 主密钥和/或 DB 加密密钥）是否总是需要解密和重新加密？如果没有，SQL Server 在哪个版本开始允许您更改主密钥而不必解密/重新加密？

我的背景是 Oracle，它处理 TDE 的方式略有不同。

Answer 1

更改 TDE 主密钥是否总是需要解密和重新加密？DB 主密钥和/或 DB 加密密钥。

TDE 中涉及的主要两个秘密是数据库加密密钥 (DEK) 和服务器证书。DEK 实际上是对数据库中的数据进行加密和解密，但服务器证书用于保护（在其他已经涉及的保护中）数据库加密密钥 (DEK)。

对于您的问题，如果您旋转 DEK，您必须解密和加密数据库中的所有数据，因为它是执行此操作的密钥。

但是，如果您轮换保护 DEK 的服务器证书，则不需要对物理数据库进行数据加密或解密。

软件的版本或类型无关紧要，如果您使用非对称密钥对加密数据并希望轮换到另一个非对称密钥对，则首先需要使用旧密钥集解密数据并使用新的。