在分区表非分区列实现Always Encrypted（确定性类型）报错求助

我来帮你解决这个问题，之前在处理分区表的Always Encrypted时也碰到过一模一样的错误，核心原因其实是确定性加密的机制和分区表的索引规则冲突了，下面给你拆解原因和具体解决步骤：

为什么会报错？ #

当你给非分区列启用确定性Always Encrypted时，SQL Server会自动为这个加密列创建一个唯一索引——这是因为确定性加密的特性是相同明文会生成相同密文，唯一索引用来优化等值查询的性能。但问题在于：

• 你的表是按SubsidiaryId分区的
• 自动创建的唯一索引只包含了加密列，没有把分区列SubsidiaryId加入索引键
• 根据SQL Server的规则：唯一索引的分区列必须是索引键的子集，否则无法保证分区对齐的唯一性，所以就抛出了这个错误。

具体解决步骤 #

你需要手动创建符合分区规则的唯一索引，再启用Always Encrypted，步骤如下：

1. 先处理现有的冲突索引
   如果索引XYZ是导致冲突的根源（比如它是唯一索引但没包含分区列），先删除它：

   DROP INDEX XYZ ON YourTableName;
   

2. 手动创建包含分区列的唯一索引
   创建一个同时包含要加密的非分区列和分区列SubsidiaryId的唯一索引，确保索引和表的分区对齐：

   CREATE UNIQUE NONCLUSTERED INDEX IX_YourTableName_EncryptedCol_SubsidiaryId
   ON YourTableName(YourEncryptedColumnName, SubsidiaryId) -- 把加密列和分区列都作为索引键
   ON YourPartitionSchemeName(SubsidiaryId); -- 指定和表一致的分区方案
   

   👉 注意：如果你的表是聚簇索引分区，那聚簇索引已经包含了分区列，此时只需要确保非聚集唯一索引的键包含分区列即可。

3. 启用Always Encrypted确定性加密
   现在再对目标列启用确定性加密（可以通过SSMS图形界面或者T-SQL），比如T-SQL命令：

   ALTER TABLE YourTableName
   ALTER COLUMN YourEncryptedColumnName VARCHAR(50) -- 替换成你的列类型
   ENCRYPTED WITH (
       COLUMN_ENCRYPTION_KEY = YourCEKName,
       ENCRYPTION_TYPE = DETERMINISTIC,
       ALGORITHM = 'AEAD_AES_256_CBC_HMAC_SHA_256'
   )
   WITH (ONLINE = ON); -- 可选，在线操作不锁表
   

额外注意事项 #

• 确定性加密只支持等值查询，如果你不需要严格的等值匹配，可以考虑用随机化加密，这种方式不会自动创建唯一索引，也就不会触发这个错误，但代价是无法对加密列做等值、JOIN、GROUP BY等操作。
• 操作前务必备份表数据，避免索引变更或加密过程中出现意外。
• 确保你拥有足够的权限：ALTER ANY COLUMN MASTER KEY、ALTER ANY COLUMN ENCRYPTION KEY以及表的ALTER权限。

内容的提问来源于stack exchange，提问作者ZEBA TABASSUM