本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

静态数据加密 AWS IoT Core

默认情况下，所有静态AWS IoT Core数据都使用AWS自有密钥进行加密。 AWS IoT Core还支持 AWS Key Management Service (AWS KMS) 中的对称客户托管密钥。使用客户管理的密钥，您可以创建、拥有和管理AWS账户中的AWS KMS密钥。 AWS IoT Core将使用您的 KMS 密钥加密您的静态数据。您对这些 KMS 密钥拥有完全控制权，包括创建和维护其密钥策略。您还可以为访问这些密钥的角色配置 IAM 策略AWS KMS以控制这些密钥的权限。

AWS拥有的密钥

AWS拥有的密钥是AWS服务拥有和管理的 KMS 密钥的集合，可在多个AWS账户中使用。 AWS服务可以使用AWS自有密钥来保护您的数据。默认情况下，使用AWS自有AWS IoT Core密钥对静态数据进行加密。这些密钥由服务托管。您无法查看、管理或使用AWS自有密钥。但是，您无需采取任何操作来保护这些密钥。

有关AWS自有密钥的更多信息，请参阅《AWS Key Management Service开发者指南》中的AWS自有密钥。

客户自主管理型密钥

客户托管密钥是您在AWS账户中创建、拥有和管理的 KMS 密钥。您对这些 AWS KMS 密钥拥有完全控制权，包括创建和维护其密钥策略。您还可以为访问这些密钥的角色配置 IAM 策略AWS KMS以控制这些密钥的权限。您可以配置AWS IoT Core为使用客户托管的 KMS 密钥来加密您的数据。

有关客户托管密钥的更多信息，请参阅《AWS Key Management Service 开发人员指南》中的客户托管密钥。

要选择使用客户管理的密钥AWS IoT Core，请按照以下步骤操作：

步骤 1：创建客户托管式密钥

您可以使用AWS KMS控制台或 AWS KMS CLI 命令创建对称客户托管密钥。keySpec 必须是 SYMMETRIC_DEFAULT，keyUsage 必须是 ENCRYPT_DECRYPT。

以下是创建 KMS 密钥的示例AWS CLI命令，该密钥可与客户托管密钥一起AWS IoT Core使用。

aws kms create-key --key-spec SYMMETRIC_DEFAULT --key-usage ENCRYPT_DECRYPT --region us-west-2

以下是该命令的示例输出。

{
    "KeyMetadata": {
        "AWSAccountId": "111122223333",
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "CreationDate": "2024-09-19T11:45:23.982000-07:00",
        "Enabled": true,
        "Description": "",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "Origin": "AWS_KMS",
        "KeyManager": "CUSTOMER",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "KeySpec": "SYMMETRIC_DEFAULT",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
        "MultiRegion": false
    }
}

有关更多信息，请参阅《AWS Key Management Service 开发人员指南》中的创建对称客户托管密钥。

密钥策略

创建客户托管密钥时，可以指定密钥策略。密钥政策控制对客户托管密钥的访问。每个客户托管式密钥必须只有一个密钥策略，其中包含确定谁可以使用密钥以及如何使用密钥的声明。有关更多信息，请参阅《AWS Key Management Service 开发人员指南》中的密钥策略？

AWS IoT Core使用您账户中的 IAM 角色访问您的客户托管密钥。如果您使用自定义密钥策略，请确保在此密钥上创建的 IAM 角色具有以下权限：

步骤 2：创建 IAM 角色以授予使用 KMS 密钥的AWS IoT Core权限

AWS IoT Core要使用您创建的 KMS 密钥对静态数据进行加密，您还需要在账户中创建一个 IAM 角色，该角色AWS IoT Core可以假定可以访问 KMS 密钥。

该角色必须具有以下信任策略AWS IoT Core才能代入该角色。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": {
        "Effect": "Allow",
        "Principal": {
            "Service": "iot.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
            "StringEquals": {
                "aws:SourceAccount": "111122223333"
            },
            "ArnLike": {
                "aws:SourceArn": "arn:aws:iot:us-west-2:111122223333:*"
            }
        }
    }
}

确保附加到 IAM 角色的 IAM 策略对 KMS 密钥具有以下权限：

以下是一个具有客户托管密钥所需权限的示例 IAM 策略。

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Sid": "AllowIoTToAccessKMSResource",
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey",
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:ReEncryptTo",
                "kms:ReEncryptFrom",
                "kms:GenerateDataKeyWithoutPlaintext"
            ],
            "Resource": [
                "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
            ],
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws-crypto-ec:vendor": "iot.amazonaws.com"
                }
            }
        }
    ]
}

有关更多信息，请参阅《AWS Identity and Access Management 用户指南》中的创建向 IAM 用户委派权限的角色。

第 3 步：选择使用客户管理的密钥 AWS IoT Core

完成所有先前步骤后，运行 update-encryption-configuration CLI 命令以在 AWS IoT Core 中选择使用客户托管密钥。当您选择使用客户托管密钥时，您的AWS账户中的所有AWS IoT Core资源都将使用指定的AWS KMS密钥进行加密。

步骤 4：AWS IoT Core控制平面操作所需的额外权限

在您选择使用客户托管密钥后，属于您AWS账户的所有AWS IoT Core资源都将使用提供的 KMS 密钥进行加密。现在，除了对AWS IoT Core资源进行特定操作所需的kms:Decrypt权限外，所有控制平面操作都要求调用者拥有 KMS 密钥的权限。如果调用者没有 kms:Decrypt 权限，并且他们进行了需要加密或解密数据的 API 调用（例如，GetPolicy），他们将收到 UnauthorizedException。

例如，当您调用 GetPolicy 时，您需要对您的客户托管 KMS 密钥同时拥有 iot:GetPolicy 和 kms:Decrypt 权限，API 调用才能成功。

AWS KMS的权限 UpdateEncryptionConfiguration

UpdateEncryptionConfigurationAPI 调用需要对 KMS 密钥AWS KMS具有以下权限才能选择使用客户托管密钥或修改密钥配置：

AWS KMS所有其他控制平面的权限 APIs

启用客户托管密钥后，大多数控制平面都 APIs 需要kms:Decrypt权限。但是，某些 APIs 不需要以下额外权限：

步骤 5：管理密钥

AWS IoT Core定期检查您的客户托管密钥配置，以确保加密和解密操作不受影响。这些运行状况检查每分钟运行一次，用于验证AWS IoT Core访问和使用AWS KMS密钥和关联的 IAM 角色进行加密和解密操作的能力。

可能影响密钥运行状况的客户操作

以下几个客户操作可能导致密钥运行状况从 HEALTHY 变为 UNHEALTHY：

更新加密配置

更新您的加密配置，从一个客户管理的密钥更改AWS IoT Core为另一个客户管理的密钥，或者在AWS自有密钥和客户管理的密钥之间进行更改。

要将配置更改为其他客户托管密钥，请执行以下操作：

要将配置从客户管理的密钥更改回AWS自有密钥，请执行以下操作：

aws iot update-encryption-configuration --encryption-type "AWS_OWNED_KMS_KEY"

常见故障场景和影响

下表描述了密钥被删除或停用时的常见故障场景：

预防和最佳实践

为防止意外密钥删除或停用，并最大限度地降低服务故障风险，请执行以下操作：

步骤 6：监控密钥运行状况

作为定期检查的一部分，系统会发布 CloudWatch 指标和日志，以提供客户托管密钥配置的AWS IoT Core运行状况的可见性

AWS IoT Core将该CMK.Health指标 CloudWatch 至少每分钟发出一次。该指标提供有关AWS IoT Core用于加密和解密数据的客户托管密钥的运行状况的信息。

CMK.Health 指标可能具有以下值：

AWS IoT Core当加密密钥的运行状况发生变化时，还会发出 AWS IoT V2 日志。这些日志提供有关运行状况更新的附加详细信息。要查看这些日志，必须启用 AWS IoT V2 日志。HEALTHY 日志在 INFO 级别发出，UNHEALTHY 日志在 ERROR 级别发出。有关日志级别的更多信息，请参阅日志级别。

以下示例是发出的 CloudWatch 日志条目AWS IoT Core，用于指示客户托管密钥的运行状况更新。

为了有效监控和响应密钥运行状况变化，请执行以下操作：

从不健康到健康

当加密密钥的状态从更新UNHEALTHY为时HEALTHY，AWS IoT Core将发出以下格式的 AWS IoT V2 日志消息。

{
    "timestamp": "2017-08-10 15:37:23.476",
    "logLevel": "INFO",
    "traceId": "8421693b-f4f0-4e4a-9235-0cff8bab897d",
    "accountId": "111122223333",
    "status": "SUCCESS",
    "cmkStatus": "HEALTHY",
    "kmsKeyArn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "kmsAccessRoleArn": "arn:aws:iam::111122223333:role/myrole",
    "eventType": "CmkHealthCheck"
}

从健康到不健康

当加密密钥的状态从更新HEALTHY为时UNHEALTHY，AWS IoT Core将发出以下格式的 AWS IoT V2 日志消息。

{
    "timestamp": "2017-08-10 15:37:23.476",
    "logLevel": "ERROR",
    "traceId": "8421693b-f4f0-4e4a-9235-0cff8bab897d",
    "accountId": "111122223333",
    "status": "FAILURE",
    "cmkStatus": "UNHEALTHY",
    "errorCode": "KMS_KEY_VALIDATION_ERROR / ROLE_VALIDATION_ERROR",
    "errorMessage": "Error message on why there was a failure",
    "kmsKeyArn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "kmsAccessRoleArn": "arn:aws:iam::111122223333:role/myrole",
    "eventType": "CmkHealthCheck"
}

AWS CloudTrail事件

您还可以监控 KMS 密钥AWS IoT Core的使用情况，以进行加密解密操作。 AWS IoT Core将对您的 KMS 密钥进行DescribeKeyDecryptReEncrypt、、和GenerateDataKeyWithoutPlaintext操作，以加密/解密属于您的AWS账户的静态数据。

有针 CloudTrail 对DescribeKey、DecryptReEncrypt、和的事件GenerateDataKeyWithoutPlaintext。这些事件会监控AWS IoT Core为访问由您的客户托管密钥加密的数据而调用的AWS KMS操作。

Decrypt 示例

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "*********************",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "*****"
            },
            "attributes": {
                "creationDate": "2024-09-16T20:23:39Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "iot.amazonaws.com"
    },
    "eventTime": "2024-09-16T20:32:48Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "iot.amazonaws.com",
    "userAgent": "iot.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "kms-arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
            "aws-crypto-ec:vendor": "iot.amazonaws.com",
            "branch-key-id": "111122223333",
            "type": "branch:ACTIVE"
        },
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "responseElements": null,
    "requestID": "1afb6d98-8388-455d-8b48-e62c9e0cf7f4",
    "eventID": "b59a5f16-0d98-46d8-a590-0e040a48b39b",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}