SQL Server能否自动超时从Azure密钥保管库获取的DEK？

Question

考虑Azure中的SQL Server，并启用transparent data encryption，并使用Azure Key Vault进行密钥管理。无论>国家如何，数据在Azure数据中心中都是静态加密的，无论<是哪个国家，但Key Vault均位于客户自己的数据中心内部。 应用程序（也在Azure中托管，因此实际位于<的任何>国家/地区）都可以从成功往返密钥保管库的往返时间访问数据库。

1. 什么样的实体是数据访问绑定（哪个实体拥有对称密钥）？它是否拥有对称密钥的数据库，以便所有传入的连接都能够看到未加密的数据？还是每个连接都存储了密钥，以便在建立每个新连接时数据库重新连接到密钥保管库？
2. 我们希望能够通过关闭内部密钥保管库来关闭数据库访问。即：无论数据中心发生什么情况，云中的数据访问都可以始终从密钥保管库中停止。数据只能被解密，因为密钥被缓存在某处。我们可以强制缓存在X秒之后超时，从而迫使数据库重新连接到密钥保管库并再次请求密钥？这将允许我们关闭密钥保管库，在X秒后渲染数据无效。

Answer 1

SQL Server不支持外部DEK--它存储在由DEK保护器加密的数据库中，该保护器可以是密钥库中的证书或非对称密钥。在这种方案中，每个I/O上都不需要密钥库，但是在超时之后SQL Server需要密钥库再次解包DEK。