如何在PBI/SSRS报表服务中解密BigQuery的Google KMS加密列

你这个场景可以和PBI、SSRS这类报表服务集成，但没有原生开箱支持，需要做定制适配，且更推荐在数据源侧提前完成解密而非在报表层实时解密。
首先明确你的加密场景特性：你用Cloud KMS生成的带服务内部元数据的AES-256-GCM密文，无法脱离Cloud KMS服务独立解密——原始加密密钥永远不会流出KMS服务边界，密文自带的密钥版本标识、完整性校验信息都需要和KMS服务交互完成校验，不能靠本地硬写AES解密逻辑绕开KMS。

Power BI（PBI） #

• 方案1：报表层实时解密
  你可以通过Power Query编写M语言自定义函数，调用Cloud KMS的解密REST接口完成列解密：提前在PBI凭据管理器中配置好拥有解密权限的GCP服务账号密钥，不要在代码里硬编码凭据；调用时尽量攒批提交解密请求，不要逐行调用触发KMS配额限制，同时要提前过滤数据集，仅拉取当前报表需要的最小数据量，避免不必要的解密开销。
• 方案2（推荐）：数据源侧预处理
  如果报表数据量较大，直接在BigQuery侧用内置的AEAD解密函数，按报表的访问权限粒度生成专门的报表视图/数据集，仅给PBI开放该视图的只读权限。PBI连接时直接读取预处理好的明文数据，完全不需要在报表层处理解密逻辑，性能、稳定性和安全性都更好。

SSRS #

• 方案1：报表层实时解密
  SSRS支持嵌入VB.NET自定义代码，也支持引用外部.NET程序集，你可以在自定义代码中集成Google Cloud KMS的官方.NET SDK，封装解密函数后对数据集加载后的加密列做解密处理。服务账号凭据统一存在SSRS的凭据存储中，禁止硬编码在报表逻辑里。
• 方案2（推荐）：数据源侧预处理
  不管你是直接连BigQuery，还是通过SSAS、SQL Server做中间层，都提前在数据源层完成解密，输出专门面向报表的明文数据集给SSRS读取。避免报表渲染阶段实时调用KMS接口导致的超时、配额耗尽、加载慢等问题。

• 不要尝试提取密文内的元数据做本地离线解密，你无法从Cloud KMS中导出对称加密密钥的明文，所有解密操作必须走KMS官方接口
• 权限遵循最小化原则：给报表用的服务账号仅授予对应密钥的解密权限即可，不要分配KMS密钥管理、修改类的高风险权限
• 如果一定要在报表层做实时解密，提前做压测，用KMS的批量解密接口降低请求次数，避免接口延迟拖垮报表加载速度

内容的提问来源于stack exchange，提问作者Han Chris