CORRECCIÓN: Problemas de accesibilidad a la base de datos con cargas de trabajo de clientes de gran volumen que utilizan EKM para el cifrado y la generación de claves

Síntomas

Las cargas de trabajo de clientes de gran volumen que usan Extensible Key Management (EKM) pueden experimentar problemas intermitentes de accesibilidad de la base de datos. Estos problemas de accesibilidad se deben a la creación o rotación frecuente del archivo de registro virtual (VLF) que requiere acceso a Azure Key Vault (AKV). Si AKV o los servicios auxiliares, como Microsoft Entra ID, no son accesibles durante esta creación o rotación, no podrá realizar la creación o rotación del VLF. Además, provoca problemas de accesibilidad de la base de datos.

Los VLF se pueden crear o rotar con frecuencia cuando los archivos de registro de transacciones son pequeños, o el incremento de crecimiento automático (crecimiento automático) del registro de transacciones es pequeño, en lugar de lo suficientemente grande como para adelantarse a las necesidades de las transacciones de carga de trabajo. Para obtener más información, vea Administrar el tamaño del archivo de registro de transacciones.

Puede controlar el tamaño y la frecuencia de creación de VLF mediante sys.dm_db_log_info.

Resolución

Este problema se corrige en las siguientes actualizaciones acumulativas para SQL Server:

Esta corrección introduce una marca de seguimiento de inicio (TF) 15025. Puede usar TF 15025 para deshabilitar el acceso AKV que se requiere para un VLF recién creado, lo que permite que las cargas de trabajo de clientes de gran volumen continúen sin interrupciones. Una vez habilitada esta marca de seguimiento, el SQL Server que usa EKM para el cifrado y la generación de claves no se pone en contacto con AKV durante la creación o rotación del VLF.

Para comprobar si la clave en AKV sigue en uso o debe deshabilitarse, debe realizar una de las siguientes operaciones en la base de datos:

  • Realice una copia de seguridad (cualquier tipo de copia de seguridad) de la base de datos o del registro de transacciones.
  • Ejecutar DBCC CHECKDB en la base de datos cifrada.
  • Establezca la base de datos cifrada en el OFFLINE estado y, a continuación, en el ONLINE estado.
  • Cree una instantánea de base de datos de la base de datos cifrada.

En cualquiera de las operaciones enumeradas, SQL Server se pondrá en contacto con AKV y comprobará el acceso a la clave durante esta operación si la clave existe en AKV.

Incluso si habilita TF 15025, estas operaciones seguirán alcanzando AKV.

Puede ejecutar la siguiente instrucción de Transact-SQL (T-SQL) para comprobar el estado de la clave en una base de datos:

SELECT * FROM sys.dm_database_encryption_keys

Acerca de las actualizaciones acumulativas para SQL Server

Cada nueva actualización acumulativa para SQL Server contiene todas las revisiones y correcciones de seguridad de la compilación anterior. Se recomienda instalar la compilación más reciente para su versión de SQL Server:

Estado

Microsoft ha confirmado que se trata de un problema de los productos de Microsoft que se enumeran en la sección "Aplicable a".

Referencias