MSSQL 2022带隔离区始终加密（随机加密）执行Group By/Distinct报错

首先明确：启用安全飞地（Enclaves）后，随机化（randomized）加密列确实支持GROUP BY和DISTINCT操作，但需要满足特定前提条件，你遇到的报错大概率是因为未满足这些条件，而非文档描述矛盾。

核心前提条件（缺一不可） #

• 加密算法必须为AEAD_AES_256_CBC_HMAC_SHA_256：只有这种支持飞地计算的算法，才能让飞地内部解密数据并执行分组/去重逻辑。如果你的列用的是普通AES_256算法，即使开了飞地，随机化加密列也无法支持这类操作。
• 数据库已启用飞地支持：执行以下查询确认目标数据库的飞地配置：

  SELECT name, is_column_encryption_enclave_enabled 
  FROM sys.databases 
  WHERE name = '你的数据库名';
  

  确保is_column_encryption_enclave_enabled返回值为1。
• 连接字符串配置正确：客户端连接时必须指定：
  • Column Encryption Setting=Enabled
  • 飞地认证协议参数（比如本地SQL Server用HGS的话，需加Enclave Attestation Protocol=HGS；Azure SQL则对应Azure Attestation的参数）
    若缺少这些配置，查询会在客户端执行，而客户端无法解密随机化加密列，自然会要求改用确定性加密。
• 客户端支持飞地计算：使用支持Always Encrypted with Enclaves的客户端驱动（比如.NET Framework 4.7.2+、.NET Core 3.0+、ODBC 17.4+等）。

为什么切换确定性加密就正常？ #

确定性加密的特性是相同明文生成相同密文，因此不需要飞地参与，数据库可以直接对密文进行分组/去重操作——这是传统Always Encrypted的基础支持，和飞地无关。

验证排查步骤 #

1. 检查加密列的算法：

   SELECT 
       c.name AS column_name,
       ce.encryption_type_desc,
       cek.name AS column_encryption_key_name,
       cmk.name AS column_master_key_name,
       ce.algorithm_name
   FROM sys.columns c
   JOIN sys.column_encryption_keys_values cev ON c.column_encryption_key_id = cev.column_encryption_key_id
   JOIN sys.column_encryption_keys cek ON cev.column_encryption_key_id = cek.column_encryption_key_id
   JOIN sys.column_master_keys cmk ON cek.column_master_key_id = cmk.column_master_key_id
   JOIN sys.column_encryption ce ON c.column_id = ce.column_id AND c.object_id = ce.object_id
   WHERE c.name = '你的加密列名' AND OBJECT_NAME(c.object_id) = '你的表名';
   

   确认algorithm_name是AEAD_AES_256_CBC_HMAC_SHA_256。
2. 检查连接字符串：确保包含上述必填参数，比如.NET连接字符串示例：

   Server=你的服务器名;Database=你的数据库名;Integrated Security=True;Column Encryption Setting=Enabled;Enclave Attestation Protocol=HGS;
   

3. 查看执行计划：执行GROUP BY查询时，查看实际执行计划，如果存在Enclave Computation操作符，说明飞地已参与计算；如果没有，说明查询未走飞地逻辑。

内容的提问来源于stack exchange，提问作者Hung Ching Shih