Criptografando seus dados do Amazon Quick com chaves gerenciadas pelo AWS Key Management Service cliente

Na página inicial do Amazon Quick, escolha Gerenciar Amazon Quick e, em seguida, escolha Chaves KMS.

Na página Chaves do KMS, escolha Gerenciar. O painel Chaves do KMS é aberto.

No painel Chaves do KMS, escolha Selecionar chave.

Na caixa pop-up Selecionar chave, escolha Chave para abrir a lista. Em seguida, selecione a chave que deseja adicionar.

Se sua chave não estiver na lista, você poderá inserir manualmente o ARN da chave.

(Opcional) Selecione Usar como chave de criptografia padrão para todos os novos dados na região atual desta conta Amazon Quick para definir a chave selecionada como sua chave padrão. Um selo aparece ao lado da chave padrão para indicar seu status.

Quando você escolhe uma chave padrão, todos os novos dados criados na região que hospeda sua conta Amazon Quick são criptografados com a chave padrão.

(Opcional) Adicione mais chaves repetindo as etapas anteriores neste procedimento. Embora possa adicionar quantas chaves quiser, você só pode ter uma chave padrão por vez.

Navegue até seu CloudTrail registro. Para obter mais informações, consulte Registrar informações do Amazon Quick com CloudTrail.

Localize os eventos de concessão mais recentes do conjunto de dados do SPICE usando os seguintes argumentos de pesquisa:

{
"eventVersion": "1.08",
"userIdentity": {
"type": "AWSService",
"invokedBy": "quicksight.amazonaws.com"
},
"eventTime": "2022-10-26T00:11:08Z",
"eventSource": "kms.amazonaws.com",
"eventName": "CreateGrant",
"awsRegion": "us-west-2",
"sourceIPAddress": "quicksight.amazonaws.com",
"userAgent": "quicksight.amazonaws.com",
"requestParameters": {
"constraints": {
    "encryptionContextSubset": {
        "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:dataset/12345678-1234-1234-1234-123456789012"
    }
},
"retiringPrincipal": "quicksight.amazonaws.com",
"keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
"granteePrincipal": "quicksight.amazonaws.com",
"operations": [
    "Encrypt",
    "Decrypt",
    "DescribeKey",
    "GenerateDataKey"
]
},
....
}

Dependendo do tipo de evento, uma das seguintes opções se aplica:

CreateGrant: você pode encontrar a CMK usada mais recentemente no ID da chave (keyID) do último evento CreateGrant do conjunto de dados do SPICE.

RetireGrant— Se o CloudTrail evento mais recente dos SPICE conjuntos de dados forRetireGrant, não haverá ID de chave e o recurso não será mais criptografado por CMK.

Navegue até seu CloudTrail registro. Para obter mais informações, consulte Registrando informações do Amazon Quick Sight com AWS CloudTrail.

Localize os eventos de GenerateDataKey mais recentes de execução de relatórios usando os seguintes argumentos de pesquisa:

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "quicksight.amazonaws.com"
    },
    "eventTime": "2025-07-23T23:33:46Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "quicksight.amazonaws.com",
    "userAgent": "quicksight.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
        "keySpec": "AES_256",
        "encryptionContext": {
            "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:dashboard/1ca456fe-eb34-4250-805c-b1b9350bd164",
            "aws:s3:arn": "arn:aws:s3:::sn-imagegen.prod.us-west-2"
        }
    },
    ...
}

aws:s3:arné o bucket S3 de propriedade da Amazon Quick onde os artefatos do seu relatório são armazenados.

Se você não vir mais GenerateDataKey, as novas execuções de relatórios não serão mais criptografadas pela CMK. Os artefatos de relatórios existentes permanecerão criptografados.

Na página inicial do Amazon Quick, escolha Gerenciar Amazon Quick e, em seguida, escolha Chaves KMS.

Escolha GERENCIAR para abrir o painel de chaves do KMS.

Navegue até a chave que você deseja definir como seu novo padrão. Escolha Ações (três pontos) na linha da chave em que você deseja abrir o menu da chave.

Escolha Definir como padrão e, em seguida, escolha Definir.

Na página inicial do Amazon Quick, escolha Gerenciar Amazon Quick e, em seguida, escolha Chaves KMS.

Na página Chaves do KMS, escolha Gerenciar para abrir o painel Chaves do KMS.

Escolha Ações (três pontos) na linha da chave padrão e selecione Excluir.

Na caixa pop-up exibida, selecione Remover.

Faça login na sua AWS conta AWS KMS, abra e escolha Chaves gerenciadas pelo cliente.

Selecione a chave que você deseja desativar.

Abra o menu Ações da chave e selecione Desabilitar.

Restaure o acesso à CMK. Normalmente, isso é suficiente para recuperar os dados do Amazon Quick.

Teste os dados do Amazon Quick para verificar se você pode vê-los.

(Opcional) Se os dados não forem totalmente recuperados, mesmo depois de restaurar o acesso à CMK, execute uma atualização completa nos dados.