能否在CockroachDB中结合云KMS实现信封加密？

目前CockroachDB原生并不支持直接集成云KMS来实现信封加密中KEK保护DEK的完整流程，具体原因和可行替代方案如下：

原生函数的局限 #

• CockroachDB提供的encrypt和encrypt_iv函数仅支持使用本地指定的密钥进行加密/解密操作，没有内置对接云KMS服务的能力，无法直接调用云KMS来加密或解密数据加密密钥（DEK）。
• 从官方文档及源码来看，当前版本的CockroachDB确实没有提供与云KMS对接的原生功能，无法在SQL层直接完成信封加密的全流程（生成DEK→用云KMS的KEK加密DEK→用DEK加密业务数据）。

可行的替代实现方式 #

1. 应用层封装完整逻辑 #

在应用代码中自行实现信封加密的全流程：

• 生成随机的DEK。
• 调用云KMS的API，用存储在KMS中的KEK加密DEK，得到加密后的DEK。
• 使用CockroachDB的encrypt/encrypt_iv函数，用明文DEK加密业务数据。
• 将加密后的业务数据和加密后的DEK一同存入CockroachDB。
• 解密时，先从数据库取出加密后的DEK，调用云KMS API解密得到明文DEK，再用encrypt_iv解密业务数据。

2. 自定义UDF扩展SQL层能力 #

如果希望在SQL层完成操作，可以创建用户定义函数（UDF）：

• 编写自定义函数，在函数内部通过HTTP请求调用云KMS的加密/解密接口。
• 需配置CockroachDB允许UDF发起外部请求，同时妥善处理API密钥、权限认证等安全问题。
• 这种方式能把信封加密逻辑封装在SQL层，但需要自行处理错误重试、请求签名等细节。

3. 关注官方后续更新 #

目前CockroachDB尚未明确将云KMS集成纳入 roadmap，你可以关注官方版本更新，或提交Feature Request推动原生支持该功能。

内容的提问来源于stack exchange，提问作者Dan Clift