已有运行数据的Azure Service Bus使用客户管理密钥加密方案咨询

核心采用蓝绿双命名空间滚动迁移方案，全程无业务中断，不需要删除原有存量资源即可满足合规要求，具体实施步骤如下：

• 准备加密备用命名空间：新建与原有实例同区域、同性能规格的Service Bus Premium命名空间，创建完成后立即完成客户管理密钥配置（关联对应Key Vault、为Service Bus服务主体分配密钥访问权限），确认加密状态已生效，同时确保新命名空间的网络规则（防火墙、专用端点、VNet集成）、授权策略与原实例完全一致。
• 同步资源元数据：通过ARM模板导出原命名空间下所有队列、主题、订阅、过滤规则、死信策略、消息保留周期配置，批量导入到新加密命名空间，确保两边资源配置100%匹配。如果不需要保留历史消息，也可以使用Azure CLI命令az servicebus queue create、az servicebus topic create快速批量创建对应资源。
• 流量平滑过渡：
  如果你不想修改生产者代码，可以直接在原命名空间的所有队列、主题上配置自动转发规则，将所有新写入的消息自动转发到新命名空间对应的队列/主题中，规则配置完成后等待至少一个完整的消息保留周期，确保新命名空间已包含所有在有效期内的业务消息。
  如果可以修改生产者配置，也可以开启双写逻辑，让生产者同时向两个命名空间发消息，运行至少24小时确认双写无异常后进入下一步。
• 消费者切流：先将小比例消费者实例的接入点切换到新的加密命名空间，验证消息消费、处理逻辑完全正常后，逐步全量切换所有消费者到新命名空间。
• 下线旧实例：确认旧命名空间无任何生产、消费流量，且所有存量消息都已处理完成后，即可删除旧的未加密命名空间，完成整个改造。

特殊场景适配说明：
如果业务对消息顺序有强一致性要求，可在旧命名空间存量消息全部处理完成后再切走消费者，避免顺序错乱；如果有死信队列的存量数据需要保留，可以手动将死信消息迁移到新命名空间的对应死信队列后再切流。

内容的提问来源于stack exchange，提问作者Arun Prakash Nagendran