Azure DB删除主密钥凭据失败 弹性跨库查询配置问题咨询

不需要删除现有数据库主密钥，Azure SQL数据库主密钥的设计用途就是统一加密同库下所有数据库范围凭据、证书等安全对象，直接复用现有主密钥是官方推荐的标准操作，删除重建主密钥反而可能导致现有依赖该密钥的安全对象失效。 #

一、释放审计凭据占用、删除目标凭据的操作流程 #

你无法删除审计关联凭据的核心原因是该凭据正被启用的审计策略绑定占用，按以下顺序操作即可完成删除：

• 先查询当前启用的审计对象名称

  -- 查询库级审计规范
  SELECT name FROM sys.database_audit_specifications WHERE is_state_enabled = 1;
  -- 查询绑定到该库的服务器级审计
  SELECT name FROM sys.server_audits WHERE is_state_enabled = 1;
  

• 关闭所有关联的启用中审计策略

  -- 替换括号内为上一步查询到的库级审计规范名
  ALTER DATABASE AUDIT SPECIFICATION [替换为实际审计规范名] WITH (STATE = OFF);
  -- 替换括号内为上一步查询到的服务器级审计名
  ALTER SERVER AUDIT [替换为实际审计名] WITH (STATE = OFF);
  GO
  

• 等待审计状态同步完成后，执行凭据删除语句即可成功

  DROP DATABASE SCOPED CREDENTIAL [https://****.windows.net/sqldbauditlogs];
  GO
  

注意：删除凭据后如果要删除主密钥，需要确认没有其他安全对象依赖该主密钥加密，否则会导致对应对象失效，非必要不建议删除现有主密钥。

二、复用现有主密钥配置弹性查询的方法 #

配置弹性查询所需的数据库范围凭据时，不需要掌握现有主密钥的密码：只要主密钥存在且处于可用状态，创建新凭据时系统会自动调用现有主密钥完成新加凭据的加密，全程不需要输入主密钥密码。
如果需要查询现有主密钥的基础元数据，可执行以下语句：

SELECT name, create_date, modify_date, key_length, key_algorithm
FROM sys.symmetric_keys
WHERE name = '##MS_DatabaseMasterKey##';

出于安全机制设计，Azure SQL不会存储也不支持查询主密钥的明文密码。如果遗忘主密钥密码，可执行ALTER MASTER KEY REGENERATE WITH ENCRYPTION BY PASSWORD = '新的强密码';重新生成主密钥，该操作会自动用新主密钥重新加密所有受其保护的凭据、证书，不会影响现有安全对象的正常运行。
确认主密钥可用后，直接按弹性查询标准流程创建凭据即可，无需重建主密钥：

CREATE DATABASE SCOPED CREDENTIAL ElasticDBCredential 
WITH IDENTITY = '对端数据库授权用户名', SECRET = '对端数据库对应用户的登录密码';
GO

后续正常创建外部数据源、外部表即可完成跨库弹性查询配置。 #

内容的提问来源于stack exchange，提问作者BlakeB9