BigQuery通过ALTER TABLE更新KMS密钥时是否重加密静态数据？

核心结论 #

• 使用ALTER TABLE ... SET OPTIONS(kms_key=...)切换KMS密钥时，不会自动重加密现有静态数据，仅后续新写入的数据会使用新密钥加密。
• 读取数据时，BigQuery会自动识别对应数据块关联的密钥（旧密钥或新密钥），切换密钥后读取历史数据，系统会用旧密钥解密；读取新写入的数据则用新密钥，整个过程无需手动干预。

详细解释 #

1. 静态数据重加密逻辑
   BigQuery的ALTER TABLE更新KMS密钥操作仅修改表的加密配置元数据，属于轻量级配置变更，不会触发全表的解密-重加密流程。如果需要将所有现有数据统一切换到新密钥，必须通过导出再重新导入数据的方式（比如bq cp工具），该过程会用新密钥对数据重新加密。

2. 读取时的密钥适配机制
   BigQuery内部会跟踪每个数据块对应的加密密钥信息，切换表的KMS密钥后，历史数据块仍保留与旧密钥的关联，读取时系统会自动匹配对应密钥解密；新写入的数据则直接使用新密钥加密，这一逻辑对用户完全透明。

3. 文档说明补充
   目前BigQuery官方文档中未针对该场景给出明确细节描述，但结合产品设计逻辑与实际测试结果，上述行为符合BigQuery加密体系的设计原则：元数据配置变更不触发大规模数据操作，同时通过内部密钥-数据块关联机制保证数据可访问性。

内容的提问来源于stack exchange，提问作者Dominik Sternad