使用 AWS Key Management Service 客户管理的密钥加密您的 Amazon Quick Suite 数据

在 Amazon Quick Suite 起始页上，选择 “管理亚马逊 Quick Suite”，然后选择 KMS 密钥。

在 KMS 密钥页面上，选择管理。KMS 密钥控制面板打开。

在 KMS 密钥控制面板上，选择选择密钥。

在选择密钥弹出框中，选择密钥以打开列表。然后，选择要添加的密钥。

如果您的密钥不在列表中，则可以手动输入密钥的 ARN。

（可选）选择 “用作此 Amazon Quick Suite 账户当前区域中所有新数据的默认加密密钥”，将所选密钥设置为默认密钥。默认密钥旁边会出现一个徽章，以指示其状态。

当您选择默认密钥时，在托管您的 Amazon Quick Suite 账户的地区创建的所有新数据都将使用默认密钥进行加密。

（可选）通过重复此过程中前面的步骤来添加更多密钥。虽然您可以根据需要添加任意数量的密钥，但一次只能有一个默认密钥。

导航到您的 CloudTrail 日志。有关更多信息，请参阅使用记录 Amazon Quick Suite 信息 CloudTrail。

使用以下搜索参数查找 SPICE 数据集的最新授权事件：

{
"eventVersion": "1.08",
"userIdentity": {
"type": "AWSService",
"invokedBy": "quicksight.amazonaws.com"
},
"eventTime": "2022-10-26T00:11:08Z",
"eventSource": "kms.amazonaws.com",
"eventName": "CreateGrant",
"awsRegion": "us-west-2",
"sourceIPAddress": "quicksight.amazonaws.com",
"userAgent": "quicksight.amazonaws.com",
"requestParameters": {
"constraints": {
    "encryptionContextSubset": {
        "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:dataset/12345678-1234-1234-1234-123456789012"
    }
},
"retiringPrincipal": "quicksight.amazonaws.com",
"keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
"granteePrincipal": "quicksight.amazonaws.com",
"operations": [
    "Encrypt",
    "Decrypt",
    "DescribeKey",
    "GenerateDataKey"
]
},
....
}

根据不同的事件类型，适用以下情况之一：

CreateGrant – 您可以在 SPICE 数据集最后一个 CreateGrant 事件的密钥 ID (keyID) 中找到最近使用的 CMK。

RetireGrant— 如果SPICE数据集的最新 CloudTrail 事件为RetireGrant，则没有密钥 ID，资源不再加密 CMK。

导航到您的 CloudTrail 日志。有关更多信息，请参阅 使用 Amazon Quick Sight 记录信息 AWS CloudTrail。

使用以下搜索参数查找报告执行的最新 GenerateDataKey 事件：

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "quicksight.amazonaws.com"
    },
    "eventTime": "2025-07-23T23:33:46Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "quicksight.amazonaws.com",
    "userAgent": "quicksight.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
        "keySpec": "AES_256",
        "encryptionContext": {
            "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:dashboard/1ca456fe-eb34-4250-805c-b1b9350bd164",
            "aws:s3:arn": "arn:aws:s3:::sn-imagegen.prod.us-west-2"
        }
    },
    ...
}

aws:s3:arn是 Amazon Quick Suite 拥有的 S3 存储桶，用于存储您的报告项目。

如果您不再看到 GenerateDataKey，则新的报告执行将不再加密 CMK。现有报告构件将保持加密状态。

在 Amazon Quick Suite 起始页上，选择 “管理亚马逊 Quick Suite”，然后选择 KMS 密钥。

选择管理打开 KMS 密钥控制面板。

导航到要设置为新默认密钥的密钥。在要打开菜单的密钥所在行上选择操作（三个点）。

选择 “设为默认”，然后选择 “设置”。

在 Amazon Quick Suite 起始页上，选择 “管理亚马逊 Quick Suite”，然后选择 KMS 密钥。

在 KMS 密钥页面上，选择管理以打开 KMS 密钥控制面板。

选择默认密钥行上的操作（三个点），然后选择删除。

在出现的弹出窗口中，选择删除。

登录您的 AWS 账户，打开 AWS KMS，然后选择客户管理的密钥。

选择要禁用的密钥。

打开密钥操作菜单并选择禁用。

恢复对 CMK 的访问权限。通常，这足以恢复 Amazon Quick Suite 数据。

测试 Amazon Quick Suite 数据，看看能否看到它。

（可选）如果数据未完全恢复，即使您恢复了对 CMK 的访问权限，也要对数据执行完全刷新。