如何识别执行数据库解密操作的会话？方案可行性验证

需求可行性 #

可以实现识别正在执行数据库解密操作的会话，但不能仅依赖检查DROP DATABASE ENCRYPTION KEY语句的方式。

正确的识别方法 #

数据库解密（对应encryption_state = 5）是SQL Server后台发起的系统异步任务，并非由用户显式执行DROP DATABASE ENCRYPTION KEY触发——该语句仅用于解密完成后移除加密密钥，与解密过程本身无关。

要精准定位解密会话，需结合多个动态管理视图关联查询：

1. 先用你提供的查询确认处于5 = Decryption in progress状态的数据库
2. 执行以下查询追踪后台解密会话：

SELECT 
    des.session_id,
    des.login_name,
    des.status,
    der.command,
    der.percent_complete,
    DB_NAME(dek.database_id) AS DbName,
    CASE dek.encryption_state  
        WHEN 5 THEN '5 = Decryption in progress'
        ELSE CAST(dek.encryption_state AS VARCHAR(10))
    END AS EncryptState
FROM 
    sys.dm_database_encryption_keys dek
JOIN 
    sys.dm_exec_requests der ON dek.database_id = der.database_id
JOIN 
    sys.dm_exec_sessions des ON der.session_id = des.session_id
WHERE 
    dek.encryption_state = 5;

解密过程中，sys.dm_exec_requests的command字段会显示DBCC DBDECRYPT这类系统命令，可直接对应到正在执行解密的会话。

关于检查DROP DATABASE ENCRYPTION KEY的方案可行性 #

该方案不可行，核心原因：

• 触发解密的指令是ALTER DATABASE [数据库名] SET ENCRYPTION OFF，解密过程由SQL Server后台异步完成，DROP DATABASE ENCRYPTION KEY只能在解密完成后执行，本身不参与解密过程，也不会在解密进行中出现在会话请求文本里。
• 即使执行DROP DATABASE ENCRYPTION KEY，它只是一个短暂的元数据操作，无法对应长时间的解密过程，不能用来识别正在进行的解密任务。

内容的提问来源于stack exchange，提问作者Marcello Miorelli