Amazon Aurora DSQL 的資料加密

Amazon Aurora DSQL 會加密所有靜態使用者資料。為了增強安全性，此加密會使用 AWS Key Management Service (AWS KMS)。此功能協助降低了保護敏感資料所涉及的操作負擔和複雜性。靜態加密可協助您：

使用 Aurora DSQL，您可以建置安全敏感的應用程式，以滿足嚴格的加密合規性和法規要求。下列各節說明如何為新的和現有的 Aurora DSQL 資料庫設定加密，並管理您的加密金鑰。

Aurora DSQL 的 KMS 金鑰類型

Aurora DSQL 與 整合 AWS KMS ，以管理叢集的加密金鑰。若要進一步了解金鑰類型和狀態，請參閱《 AWS Key Management Service 開發人員指南》中的AWS Key Management Service 概念。建立新叢集時，您可以選擇下列 KMS 金鑰類型來加密叢集：

使用 AWS 擁有的金鑰 進行靜態加密無需額外費用。不過， AWS KMS 費用適用於客戶受管金鑰。如需詳細資訊，請參閱 AWS KMS 定價頁面。

您可以隨時在這些金鑰類型之間切換。如需金鑰類型的詳細資訊，請參閱《 AWS Key Management Service 開發人員指南》AWS 擁有的金鑰中的客戶受管金鑰和 。

Aurora DSQL 中的靜態加密

Amazon Aurora DSQL 使用 256 位元進階加密標準 (AES-256) 來加密靜態資料。此加密有助於保護您的資料免於未經授權存取基礎 storage。 會 AWS KMS 管理叢集的加密金鑰。您可以使用預設 AWS 擁有的金鑰，或選擇使用您自己的 AWS KMS 客戶受管金鑰。若要進一步了解如何指定和管理 Aurora DSQL 叢集的金鑰，請參閱 建立加密的 Aurora DSQL 叢集和 移除或更新 Aurora DSQL 叢集的金鑰。

AWS 擁有的金鑰

Aurora DSQL 預設會使用 加密所有叢集 AWS 擁有的金鑰。這些金鑰每年可免費使用和輪換，以保護您的帳戶資源。您不需要檢視、管理、使用或稽核這些金鑰，因此資料保護不需要採取任何動作。如需 的詳細資訊 AWS 擁有的金鑰，請參閱《 AWS Key Management Service 開發人員指南》AWS 擁有的金鑰中的 。

客戶受管金鑰

您可以在 中建立、擁有和管理客戶受管金鑰 AWS 帳戶。您可以完全控制這些 KMS 金鑰，包括其政策、加密資料、標籤和別名。如需管理許可的詳細資訊，請參閱《 AWS Key Management Service 開發人員指南》中的客戶受管金鑰。

當您為叢集層級加密指定客戶受管金鑰時，Aurora DSQL 會使用該金鑰加密叢集及其所有區域資料。為了防止資料遺失和維護叢集存取，Aurora DSQL 需要存取您的加密金鑰。如果您停用客戶受管金鑰、排程刪除金鑰，或具有限制服務存取的政策，叢集的加密狀態會變更為 KMS_KEY_INACCESSIBLE。當 Aurora DSQL 無法存取金鑰時，使用者無法連線至叢集、叢集的加密狀態變更為 KMS_KEY_INACCESSIBLE，且服務無法存取叢集資料。

對於多區域叢集，客戶可以分別設定每個區域的 AWS KMS 加密金鑰，而每個區域叢集會使用自己的叢集層級加密金鑰。如果 Aurora DSQL 無法存取多區域叢集中對等的加密金鑰，該對等的狀態KMS_KEY_INACCESSIBLE會變成無法使用，無法進行讀取和寫入操作。其他對等繼續正常操作。

搭配 Aurora DSQL 使用 AWS KMS 和 資料金鑰

Aurora DSQL 靜態加密功能使用 AWS KMS key 和資料金鑰階層來保護您的叢集資料。

建議您在 Aurora DSQL 中實作叢集之前，先規劃加密策略。如果您在 Aurora DSQL 中存放敏感或機密資料，請考慮在您的計劃中包含用戶端加密。如此一來，您就能盡量靠近資料來源進行加密，並確保資料在整個生命週期受到保護。

AWS KMS key搭配 Aurora DSQL 使用

靜態加密可在 下保護您的 Aurora DSQL 叢集 AWS KMS key。根據預設，Aurora DSQL 會使用 AWS 擁有的金鑰，這是在 Aurora DSQL 服務帳戶中建立和管理的多租用戶加密金鑰。但是，您可以在 中的客戶受管金鑰下加密 Aurora DSQL 叢集 AWS 帳戶。您可以為每個叢集選取不同的 KMS 金鑰，即使其參與多區域設定。

當您建立或更新叢集時，請選取叢集的 KMS 金鑰。您可以隨時在 Aurora DSQL 主控台或使用 UpdateCluster操作變更叢集的 KMS 金鑰。切換金鑰的程序不需要停機或降級服務。

客戶受管金鑰提供下列優點。

不過， AWS 擁有的金鑰 是免費的，而且其使用不會計入 AWS KMS 資源或請求配額。客戶受管金鑰會針對每個 API 呼叫產生費用，而 AWS KMS 配額會套用至這些金鑰。

搭配 Aurora DSQL 使用叢集金鑰

Aurora DSQL 使用叢集 AWS KMS key 的 來產生和加密叢集的唯一資料金鑰，稱為叢集金鑰。

叢集金鑰用作金鑰加密金鑰。Aurora DSQL 使用此叢集金鑰來保護用於加密叢集資料的資料加密金鑰。Aurora DSQL 會為叢集中的每個基礎結構產生唯一的資料加密金鑰，但多個叢集項目可能受到相同的資料加密金鑰保護。

若要解密叢集金鑰，Aurora DSQL 會在您第一次存取加密的叢集 AWS KMS 時傳送請求至 。為了讓叢集保持可用，Aurora DSQL 會定期驗證對 KMS 金鑰的解密存取，即使您未主動存取叢集也一樣。

Aurora DSQL 會在 外部存放和使用叢集金鑰和資料加密金鑰 AWS KMS。它使用進階加密標準 (AES) 加密和 256 位元加密金鑰來保護所有金鑰。然後，它會將加密的金鑰與加密的資料一起存放，以便它們可以隨需解密叢集資料。

如果您變更叢集的 KMS 金鑰，Aurora DSQL 會使用新的 KMS 金鑰重新加密現有的叢集金鑰。

叢集金鑰快取

為了避免 AWS KMS 針對每個 Aurora DSQL 操作呼叫 ，Aurora DSQL 會快取記憶體中每個呼叫者的純文字叢集金鑰。如果 Aurora DSQL 在閒置 15 分鐘後收到快取叢集金鑰的請求，它會將新的請求傳送至 AWS KMS 以解密叢集金鑰。在上次請求解密叢集金鑰之後，此呼叫將擷取對 AWS KMS 或 AWS Identity and Access Management (IAM) AWS KMS key 中 存取政策所做的任何變更。

授權使用 AWS KMS key 適用於 Aurora DSQL 的

如果您使用帳戶中的客戶受管金鑰來保護 Aurora DSQL 叢集，則該金鑰上的政策必須授予 Aurora DSQL 代表您使用它的許可。

您可以完全控制客戶受管金鑰上的政策。Aurora DSQL 不需要額外的授權，即可使用預設值 AWS 擁有的金鑰 來保護您 中的 Aurora DSQL 叢集 AWS 帳戶。

客戶受管金鑰的金鑰政策

當您選取客戶受管金鑰來保護 Aurora DSQL 叢集時，Aurora DSQL 需要 AWS KMS key 代表進行選取之主體使用 的許可。該委託人、使用者或角色必須擁有 AWS KMS key Aurora DSQL 所需的 許可。您可以在金鑰政策或 IAM 政策中提供這些許可。

Aurora DSQL 至少需要客戶受管金鑰的下列許可：

例如，以下範例金鑰政策只會提供必要許可。政策具有下列效果：

使用範例金鑰政策之前，請將範例主體取代為來自您 的實際主體 AWS 帳戶。

{
  "Sid": "Enable dsql IAM User Permissions",
  "Effect": "Allow",
  "Principal": {
    "Service": "dsql.amazonaws.com"
  },
  "Action": [
    "kms:Decrypt",
    "kms:GenerateDataKey",
    "kms:Encrypt",
    "kms:ReEncryptFrom",
    "kms:ReEncryptTo"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:dsql:ClusterId": "w4abucpbwuxx",
      "aws:SourceArn": "arn:aws:dsql:us-east-2:111122223333:cluster/w4abucpbwuxx"
    }
  }
},
{
  "Sid": "Enable dsql IAM User Describe Permissions",
  "Effect": "Allow",
  "Principal": {
    "Service": "dsql.amazonaws.com"
  },
  "Action": "kms:DescribeKey",
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "aws:SourceArn": "arn:aws:dsql:us-east-2:111122223333:cluster/w4abucpbwuxx"
    }
  }
}
      

Aurora DSQL 加密內容

加密內容是一組金鑰/值對，其中包含任意非私密資料。當您在加密資料的請求中包含加密內容時， AWS KMS 會以加密方式將加密內容繫結至加密的資料。若要解密資料，您必須傳遞相同的加密內容。

Aurora DSQL 在所有 AWS KMS 密碼編譯操作中使用相同的加密內容。如果您使用客戶受管金鑰來保護 Aurora DSQL 叢集，您可以使用加密內容來識別在稽核記錄和日誌 AWS KMS key 中使用 。它也會以純文字顯示在日誌中，例如 中的日誌 AWS CloudTrail。

加密內容也可以用作政策中授權的條件。

在其對 的請求中 AWS KMS，Aurora DSQL 會使用具有金鑰/值對的加密內容：

"encryptionContext": {
  "aws:dsql:ClusterId": "w4abucpbwuxx"
},
    

鍵/值對可識別 Aurora DSQL 正在加密的叢集。金鑰為 aws:dsql:ClusterId。值是叢集的識別符。

監控 Aurora DSQL 與 的互動 AWS KMS

如果您使用客戶受管金鑰來保護 Aurora DSQL 叢集，您可以使用 AWS CloudTrail 日誌來追蹤 Aurora DSQL AWS KMS 代表您傳送到 的請求。

展開下列各節，以了解 Aurora DSQL 如何使用 AWS KMS 操作GenerateDataKey和 Decrypt。

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "dsql.amazonaws.com"
    },
    "eventTime": "2025-05-16T18:41:24Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-east-1",
    "sourceIPAddress": "dsql.amazonaws.com",
    "userAgent": "dsql.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "aws:dsql:ClusterId": "w4abucpbwuxx"
        },
        "keySpec": "AES_256",
        "keyId": "arn:aws:kms:us-east-1:982127530226:key/8b60dd9f-2ff8-4b1f-8a9c-bf570cbfdb5e"
    },
    "responseElements": null,
    "requestID": "2da2dc32-d3f4-4d6c-8a41-aff27cd9a733",
    "eventID": "426df0a6-ba56-3244-9337-438411f826f4",
    "readOnly": true,
    "resources": [
        {
            "accountId": "AWS Internal",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-east-1:982127530226:key/8b60dd9f-2ff8-4b1f-8a9c-bf570cbfdb5e"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "sharedEventID": "f88e0dd8-6057-4ce0-b77d-800448426d4e",
    "vpcEndpointId": "AWS Internal",
    "vpcEndpointAccountId": "vpce-1a2b3c4d5e6f1a2b3",
    "eventCategory": "Management"
}
      

{
  "eventVersion": "1.05",
  "userIdentity": {
    "type": "AWSService",
    "invokedBy": "dsql.amazonaws.com"
  },
  "eventTime": "2018-02-14T16:42:39Z",
  "eventSource": "kms.amazonaws.com",
  "eventName": "Decrypt",
  "awsRegion": "us-east-1",
  "sourceIPAddress": "dsql.amazonaws.com",
  "userAgent": "dsql.amazonaws.com",
  "requestParameters": {
    "keyId": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "encryptionContext": {
      "aws:dsql:ClusterId": "w4abucpbwuxx"
    },
    "encryptionAlgorithm": "SYMMETRIC_DEFAULT"
  },
  "responseElements": null,
  "requestID": "11cab293-11a6-11e8-8386-13160d3e5db5",
  "eventID": "b7d16574-e887-4b5b-a064-bf92f8ec9ad3",
  "readOnly": true,
  "resources": [
    {
      "ARN": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
      "accountId": "AWS Internal",
      "type": "AWS::KMS::Key"
    }
  ],
  "eventType": "AwsApiCall",
  "managementEvent": true,
  "recipientAccountId": "111122223333",
  "sharedEventID": "d99f2dc5-b576-45b6-aa1d-3a3822edbeeb",
  "vpcEndpointId": "AWS Internal",
  "vpcEndpointAccountId": "vpce-1a2b3c4d5e6f1a2b3",
  "eventCategory": "Management"
}
      

建立加密的 Aurora DSQL 叢集

所有 Aurora DSQL 叢集都會靜態加密。根據預設，叢集 AWS 擁有的金鑰 可免費使用 ，或者您可以指定自訂 AWS KMS 金鑰。請依照下列步驟，從 AWS Management Console 或 建立您的加密叢集 AWS CLI。

移除或更新 Aurora DSQL 叢集的金鑰

您可以使用 AWS Management Console 或 AWS CLI 來更新或移除 Amazon Aurora DSQL 中現有叢集上的加密金鑰。如果您移除金鑰但未取代，Aurora DSQL 會使用預設的 AWS 擁有的金鑰。請依照下列步驟，從 Aurora DSQL 主控台或 更新現有叢集的加密金鑰 AWS CLI。

使用 Aurora DSQL 加密的考量事項