借助 Tink 和 AEAD，我可以在 BigQuery 中执行信封加密。参考： https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#enveloping https://fuchsia.googlesource.com/third_party/tink/+/refs/tags/v1.4.0/docs/KEY-MANAGEMENT.md#envelope-encryption
在 CockroachDB 中，有 encrypt 和 encrypt_iv 函数，但我找不到使用存储在云 KMS 中的 KEK 来保护 DEK 的方法。这可能吗？
我已经阅读了 CockroachDB 文档，也查看了 CockroachDB 源代码，但找不到任何帮助。
客户管理的加密密钥 (CMEK) 可能是您正在寻找的功能：https://www.cockroachlabs.com/docs/cockroachcloud/cmek