使用 AWS Key Management Service 客戶受管金鑰加密 Amazon Quick 資料

在 Amazon Quick 開始頁面上，選擇管理 Amazon Quick，然後選擇 KMS 金鑰。

在 KMS 金鑰 頁面上，選擇管理。隨即便會開啟 KMS 金鑰儀表板。

在 KMS 金鑰儀表板上，選擇選取金鑰。

在選取金鑰快顯方塊中，選擇金鑰以開啟清單。然後，選取您要新增的金鑰。

如果您的金鑰不在清單中，您可以手動輸入金鑰的 ARN。

（選用） 選取此 Amazon Quick 帳戶目前區域中所有新資料的預設加密金鑰，將選取的金鑰設定為您的預設金鑰。預設金鑰旁會出現徽章，指出其狀態。

當您選擇預設金鑰時，參與資源類型的新資料會使用該金鑰加密。支援和生命週期因資源類型而異；請參閱客戶受管 KMS 金鑰範圍。

(選用) 透過重複此程序中先前的步驟，新增更多金鑰。雖然您可以新增任意數量的金鑰，但一次只能設定一個預設金鑰。

瀏覽至 CloudTrail 日誌。如需詳細資訊，請參閱使用 記錄 Amazon Quick 操作 AWS CloudTrail。

使用下列搜尋引數，找到 SPICE 資料集的最近授權事件：

{
"eventVersion": "1.08",
"userIdentity": {
"type": "AWSService",
"invokedBy": "quicksight.amazonaws.com"
},
"eventTime": "2022-10-26T00:11:08Z",
"eventSource": "kms.amazonaws.com",
"eventName": "CreateGrant",
"awsRegion": "us-west-2",
"sourceIPAddress": "quicksight.amazonaws.com",
"userAgent": "quicksight.amazonaws.com",
"requestParameters": {
"constraints": {
    "encryptionContextSubset": {
        "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:dataset/12345678-1234-1234-1234-123456789012"
    }
},
"retiringPrincipal": "quicksight.amazonaws.com",
"keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
"granteePrincipal": "quicksight.amazonaws.com",
"operations": [
    "Encrypt",
    "Decrypt",
    "DescribeKey",
    "GenerateDataKey"
]
},
....
}

根據事件類型，下列其中一項適用：

CreateGrant – 您可以在SPICE資料集最後一個CreateGrant事件的金鑰 ID (keyID) 中找到最近使用的客戶受管 KMS 金鑰。

RetireGrant – 如果SPICE資料集的最新 CloudTrail 事件是 RetireGrant，則沒有金鑰 ID，並且資源不再加密客戶受管 KMS 金鑰。

瀏覽至 CloudTrail 日誌。如需詳細資訊，請參閱使用 記錄 Amazon Quick 操作 AWS CloudTrail。

使用下列搜尋引數，找到報告執行的最近 GenerateDataKey 事件：

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "quicksight.amazonaws.com"
    },
    "eventTime": "2025-07-23T23:33:46Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "quicksight.amazonaws.com",
    "userAgent": "quicksight.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
        "keySpec": "AES_256",
        "encryptionContext": {
            "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:dashboard/1ca456fe-eb34-4250-805c-b1b9350bd164",
            "aws:s3:arn": "arn:aws:s3:::amazon-quick-owned-bucket"
        }
    },
    ...
}

aws:s3:arn 是存放報告成品的 Amazon Quick 擁有的 S3 儲存貯體。

如果您不再看到 GenerateDataKey，則新的報告執行不會再加密客戶受管 KMS 金鑰。現有的報告成品將保持加密。

瀏覽至 CloudTrail 日誌。如需詳細資訊，請參閱使用 記錄 Amazon Quick 操作 AWS CloudTrail。

使用下列搜尋引數找到資料來源的最新Encrypt事件：

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "quicksight.amazonaws.com"
    },
    "eventTime": "2025-07-23T23:33:46Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Encrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "quicksight.amazonaws.com",
    "userAgent": "quicksight.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
        "encryptionContext": {
            "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:datasource/example-data-source-id"
        }
    },
    ...
}

最新Encrypt事件keyId上的 是目前保護登入資料的金鑰。每次更新登入資料或重新整理 OAuth 字符時，登入資料都會以目前的預設金鑰重新加密，因此最新的事件會反映使用中的金鑰。

在 Amazon Quick 開始頁面上，選擇管理 Amazon Quick，然後選擇 KMS 金鑰。

選擇管理以開啟 KMS 金鑰儀表板。

瀏覽至您要設定為新預設值的金鑰。在您要開啟金鑰的選單的金鑰列上選擇動作 (三個點)。

選擇設為預設，然後選擇設定。

在 Amazon Quick 開始頁面上，選擇管理 Amazon Quick，然後選擇 KMS 金鑰。

在 KMS 金鑰頁面上，選擇管理，以開啟 KMS 金鑰儀表板。

選擇預設金鑰列上的動作 (三個點)，然後選擇刪除。

在出現的快顯方塊中，選擇移除。

登入 AWS 您的帳戶，開啟 AWS KMS並選擇客戶受管金鑰。

選取您要關閉的金鑰。

開啟金鑰動作選單，並選擇停用。

還原對客戶受管 KMS 金鑰的存取權。通常，這足以復原 Amazon Quick 資料。

測試 Amazon Quick 資料以檢查您是否可以看到它。

（選用） 如果您還原對客戶受管 KMS 金鑰的存取權後，SPICE資料集仍未完全復原，請對資料集執行完整重新整理。完整重新整理僅適用於SPICE資料集；不適用於其他資源類型，例如對話、空格、客服人員或動作。