Cifrar los datos de Amazon Quick Suite con claves gestionadas por el AWS Key Management Service cliente

En la página de inicio de Amazon Quick Suite, selecciona Administrar Amazon Quick Suite y, a continuación, selecciona Claves KMS.

En la página Claves de KMS, seleccione Administrar. Se abre el panel de Claves de KMS.

En el panel de Claves de KMS, elija Seleccionar clave.

En el cuadro emergente Seleccionar clave, elija Clave para abrir la lista. A continuación, elija el elemento que desee agregar.

Si su clave no está en la lista, puede introducir manualmente el ARN de la clave.

(Opcional) Seleccione Usar como clave de cifrado predeterminada para todos los datos nuevos de la región actual de esta cuenta de Amazon Quick Suite para establecer la clave seleccionada como clave predeterminada. Aparece una insignia junto a la clave predeterminada para indicar su estado.

Al elegir una clave predeterminada, todos los datos nuevos que se creen en la región que aloja su cuenta de Amazon Quick Suite se cifran con la clave predeterminada.

(Opcional) Agregue más claves repitiendo los pasos anteriores de este procedimiento. Si bien puede agregar tantas claves como desee, solo puede tener una clave predeterminada a la vez.

Navegue hasta su CloudTrail registro. Para obtener más información, consulte Registrar información de Amazon Quick Suite con CloudTrail.

Localice los eventos de concesión más recientes del conjunto de datos de SPICE mediante los siguientes argumentos de búsqueda:

{
"eventVersion": "1.08",
"userIdentity": {
"type": "AWSService",
"invokedBy": "quicksight.amazonaws.com"
},
"eventTime": "2022-10-26T00:11:08Z",
"eventSource": "kms.amazonaws.com",
"eventName": "CreateGrant",
"awsRegion": "us-west-2",
"sourceIPAddress": "quicksight.amazonaws.com",
"userAgent": "quicksight.amazonaws.com",
"requestParameters": {
"constraints": {
    "encryptionContextSubset": {
        "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:dataset/12345678-1234-1234-1234-123456789012"
    }
},
"retiringPrincipal": "quicksight.amazonaws.com",
"keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
"granteePrincipal": "quicksight.amazonaws.com",
"operations": [
    "Encrypt",
    "Decrypt",
    "DescribeKey",
    "GenerateDataKey"
]
},
....
}

Según el tipo de evento, se aplica una de las siguientes condiciones:

CreateGrant: puede encontrar la CMK utilizada más recientemente en el ID de la clave (keyID) del último evento CreateGrant del conjunto de datos de SPICE.

RetireGrant— Si es el último CloudTrail evento de los SPICE conjuntos de datosRetireGrant, no hay ningún identificador clave y el recurso ya no está cifrado con CMK.

Navegue hasta su CloudTrail registro. Para obtener más información, consulte Registrar la información de Amazon Quick Sight con AWS CloudTrail.

Localice los eventos GenerateDataKey más recientes de la ejecución del informe mediante los siguientes argumentos de búsqueda:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "quicksight.amazonaws.com"
    },
    "eventTime": "2025-07-23T23:33:46Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "quicksight.amazonaws.com",
    "userAgent": "quicksight.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
        "keySpec": "AES_256",
        "encryptionContext": {
            "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:dashboard/1ca456fe-eb34-4250-805c-b1b9350bd164",
            "aws:s3:arn": "arn:aws:s3:::sn-imagegen.prod.us-west-2"
        }
    },
    ...
}

aws:s3:arnes el depósito S3 propiedad de Amazon Quick Suite en el que se almacenan los artefactos de sus informes.

Si ya no ve GenerateDataKey, significa que las nuevas ejecuciones de informes ya no están cifradas con CMK. Los artefactos de los informes existentes permanecerán cifrados.

En la página de inicio de Amazon Quick Suite, selecciona Administrar Amazon Quick Suite y, a continuación, selecciona Claves KMS.

Seleccione ADMINISTRAR para abrir el panel de claves de KMS.

Vaya hasta la clave que desee establecer como nueva predeterminada. Seleccione Acciones (tres puntos) en la fila de la clave en la que quiera abrir el menú de la clave.

Elija Establecer como predeterminado y, a continuación, elija Establecer.

En la página de inicio de Amazon Quick Suite, selecciona Administrar Amazon Quick Suite y, a continuación, selecciona Claves KMS.

En la página Claves de KMS, seleccione Administrar para abrir el panel de Claves de KMS.

Elija Acciones (tres puntos) en la fila de la clave predeterminada y, a continuación, elija Eliminar.

En el cuadro emergente que aparece, elija Eliminar.

Inicie sesión en su AWS cuenta AWS KMS, abra y elija Claves administradas por el cliente.

Seleccione la clave que quiera desactivar.

Abra el menú Acciones de clave y seleccione Desactivar.

Restaure el acceso a la CMK. Por lo general, esto es suficiente para recuperar los datos de Amazon Quick Suite.

Prueba los datos de Amazon Quick Suite para comprobar si los puedes ver.

(Opcional) Si los datos no se recuperan por completo, incluso después de haber restaurado su acceso a la CMK, lleve a cabo una actualización completa de los datos.