使用 AWS Key Management Service 客戶受管金鑰加密 Amazon Quick Suite 資料

在 Amazon Quick Suite 開始頁面上，選擇管理 Amazon Quick Suite，然後選擇 KMS 金鑰。

在 KMS 金鑰 頁面上，選擇管理。隨即便會開啟 KMS 金鑰儀表板。

在 KMS 金鑰儀表板上，選擇選取金鑰。

在選取金鑰快顯方塊中，選擇金鑰以開啟清單。然後，選取您要新增的金鑰。

如果您的金鑰不在清單中，您可以手動輸入金鑰的 ARN。

（選用） 選取此 Amazon Quick Suite 帳戶目前區域中所有新資料的預設加密金鑰，將選取的金鑰設定為您的預設金鑰。預設金鑰旁會出現徽章，指出其狀態。

當您選擇預設金鑰時，在託管 Amazon Quick Suite 帳戶的區域建立的所有新資料都會使用預設金鑰加密。

(選用) 透過重複此程序中先前的步驟，新增更多金鑰。雖然您可以新增任意數量的金鑰，但一次只能設定一個預設金鑰。

瀏覽至 CloudTrail 日誌。如需詳細資訊，請參閱使用 CloudTrail 記錄 Amazon Quick Suite 資訊。

使用下列搜尋引數，找到 SPICE 資料集的最近授權事件：

{
"eventVersion": "1.08",
"userIdentity": {
"type": "AWSService",
"invokedBy": "quicksight.amazonaws.com"
},
"eventTime": "2022-10-26T00:11:08Z",
"eventSource": "kms.amazonaws.com",
"eventName": "CreateGrant",
"awsRegion": "us-west-2",
"sourceIPAddress": "quicksight.amazonaws.com",
"userAgent": "quicksight.amazonaws.com",
"requestParameters": {
"constraints": {
    "encryptionContextSubset": {
        "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:dataset/12345678-1234-1234-1234-123456789012"
    }
},
"retiringPrincipal": "quicksight.amazonaws.com",
"keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
"granteePrincipal": "quicksight.amazonaws.com",
"operations": [
    "Encrypt",
    "Decrypt",
    "DescribeKey",
    "GenerateDataKey"
]
},
....
}

根據事件類型，下列其中一項適用：

CreateGrant – 您可以在 SPICE 資料集最後一個 CreateGrant 事件的金鑰 ID (keyID) 中找到最近使用的 CMK。

RetireGrant：如果 SPICE 資料集的最新 CloudTrail 事件是 RetireGrant，則沒有金鑰 ID，且資源也不再使用 CMK 加密。

瀏覽至 CloudTrail 日誌。如需詳細資訊，請參閱使用 記錄 Amazon Quick Sight 資訊 AWS CloudTrail。

使用下列搜尋引數，找到報告執行的最近 GenerateDataKey 事件：

{
    "eventVersion": "1.11",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "quicksight.amazonaws.com"
    },
    "eventTime": "2025-07-23T23:33:46Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "GenerateDataKey",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "quicksight.amazonaws.com",
    "userAgent": "quicksight.amazonaws.com",
    "requestParameters": {
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
        "keySpec": "AES_256",
        "encryptionContext": {
            "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:dashboard/1ca456fe-eb34-4250-805c-b1b9350bd164",
            "aws:s3:arn": "arn:aws:s3:::sn-imagegen.prod.us-west-2"
        }
    },
    ...
}

aws:s3:arn 是存放報告成品的 Amazon Quick Suite 擁有的 S3 儲存貯體。

若您不再看到 GenerateDataKey，则意味着新的报告执行不再使用 CMK 加密。現有報告成品將保持加密狀態。

在 Amazon Quick Suite 開始頁面上，選擇管理 Amazon Quick Suite，然後選擇 KMS 金鑰。

選擇管理以開啟 KMS 金鑰儀表板。

瀏覽至您要設定為新預設值的金鑰。在您要開啟金鑰的選單的金鑰列上選擇動作 (三個點)。

選擇設為預設，然後選擇設定。

在 Amazon Quick Suite 開始頁面上，選擇管理 Amazon Quick Suite，然後選擇 KMS 金鑰。

在 KMS 金鑰頁面上，選擇管理，以開啟 KMS 金鑰儀表板。

選擇預設金鑰列上的動作 (三個點)，然後選擇刪除。

在出現的快顯方塊中，選擇移除。

登入 AWS 您的帳戶，開啟 AWS KMS並選擇客戶受管金鑰。

選取您要關閉的金鑰。

開啟金鑰動作選單，並選擇停用。

還原對 CMK 的存取權。通常，這足以復原 Amazon Quick Suite 資料。

測試 Amazon Quick Suite 資料，檢查您是否可以看到它。

(選用) 如果資料未完全復原，即使在您還原其對 CMK 的存取權之後，也請對資料執行完整重新整理。