azure - 我可以备份存储在 Azure 托管实例中的服务主密钥吗？

Question

我需要在托管实例中备份我的服务主密钥，然后将其还原到辅助托管实例。

Answer 1

我找不到任何人提供在 Azure SQL 托管实例中备份服务主密钥的示例，所以我认为这是不可能的。

但是，我假设您想这样做，因为您在辅助实例上解密 CLE（单元/列级加密）时遇到问题。我在故障转移组的辅助实例上遇到了同样的问题Azure SQL 托管实例 CLE 的解密问题，最好的解决方案是在辅助实例的主数据库上创建数据库主密钥密码，例如

EXEC sp_control_dbmasterkey_password @db_name = N'MyDatabaseWithCLE',   
    @password = N'XX MY MASTER KEY PASSWORD XX’, @action = N'add';  
GO

SQL Server 有另一种解密 DMK 的方法。如果 DMK 无法使用 SMK 解密，它会在凭证存储中搜索与相同系列 GUID 匹配的密码。如果它找到与您的数据库匹配的家庭 GUID，它将尝试使用存储的密码解密 DMK。如果成功，那么它将使用 DMK 加密或解密数据库中的凭据或密钥。

Answer 2

你不能这样做，但我建议在 KeyVault 中创建一个密钥，然后使用它来加密主要和辅助托管实例。只需确保两个实例都在同一个订阅中。