教程：为现有 Amazon SQS 队列配置 服务器端加密 (SSE)

1. 登录 Amazon SQS 控制台。

2. 从队列列表中选择一个队列。

   

3. 从队列操作中，选择配置队列。

   

   这将显示配置 QueueName 对话框。

4. 要启用或禁用 SSE，请使用使用 SSE 复选框。

5. 指定 客户主密钥 (CMK) ID。有关更多信息，请参阅 关键术语。

   对于每种 CMK 类型，都会显示 CMK 的 Description (描述)、Account (账户) 和 Key ARN (密钥 ARN)。

   重要

   如果您不是 CMK 的拥有者，或者您登录的账户没有 kms:ListAliases 和 kms:DescribeKey 权限，则无法在 Amazon SQS 控制台上查看有关 CMK 的信息。

   要求 CMK 拥有者授予您这些权限。有关更多信息，请参阅 AWS Key Management Service Developer Guide 中的 AWS KMS API 权限：操作和资源参考。

   • 要使用适用于 Amazon SQS 的 AWS 托管 CMK，请从列表中选择它。

     
     注意

     记住以下内容：

     • 如果您未指定自定义 CMK，Amazon SQS 将为 Amazon SQS 使用 AWS 托管的 CMK。有关创建自定义 CMK 的说明，请参阅 AWS Key Management Service Developer Guide 中的创建密钥。

     • 在首次使用 AWS 管理控制台为队列的 Amazon SQS 指定 AWS 托管的 CMK 时，AWS KMS 将为 Amazon SQS 创建 AWS 托管的 CMK。

     • 或者，首次在启用 SSE 的队列中使用 SendMessage 或 SendMessageBatch 操作时，AWS KMS 将为 Amazon SQS 创建 AWS 托管的 CMK。

   • 要使用来自您的 AWS 账户的自定义 CMK，请从列表中选择。

     
     注意

     有关创建自定义 CMK 的说明，请参阅 AWS Key Management Service Developer Guide 中的创建密钥。

   • 要使用来自您的 AWS 账户或其他 AWS 账户的自定义 CMK ARN，请从列表中选择 Enter an existing CMK ARN (输入现有的 CMK ARN) 并键入或复制 CMK。

     

6. （可选）对于 Data key reuse period (数据密钥重用周期)，请指定一个在 1 分钟到 24 小时之间的值。默认为 5 分钟。有关更多信息，请参阅了解数据密钥重用周期。

   

7. 选择 Save Changes。

   您的更改将应用于队列。

使用 SSE 配置队列

1. 获取 客户主密钥 (CMK) ID。有关更多信息，请参阅 关键术语。

   注意

   记住以下内容：

   • 如果您未指定自定义 CMK，Amazon SQS 将为 Amazon SQS 使用 AWS 托管的 CMK。有关创建自定义 CMK 的说明，请参阅 AWS Key Management Service Developer Guide 中的创建密钥。

   • 在首次使用 AWS 管理控制台为队列的 Amazon SQS 指定 AWS 托管的 CMK 时，AWS KMS 将为 Amazon SQS 创建 AWS 托管的 CMK。

   • 或者，首次在启用 SSE 的队列中使用 SendMessage 或 SendMessageBatch 操作时，AWS KMS 将为 Amazon SQS 创建 AWS 托管的 CMK。

2. 要启用服务器端加密，请通过设置 CreateQueue 或 SetQueueAttributes 操作的 KmsMasterKeyId 属性来指定 CMK ID。

   以下代码示例使用适用于 Amazon SQS 的 AWS 托管 CMK 为现有队列启用 SSE：

   final SetQueueAttributesRequest setAttributesRequest = new SetQueueAttributesRequest();
   setAttributesRequest.setQueueUrl(queueUrl);
          
   // Enable 服务器端加密 by specifying the alias for the
   // AWS managed CMK for Amazon SQS.
   final String kmsMasterKeyAlias = "alias/aws/sqs";
   attributes.put("KmsMasterKeyId", kmsMasterKeyAlias);
          
   final SetQueueAttributesResult setAttributesResult = client.setQueueAttributes(setAttributesRequest);

   要为现有队列禁用服务器端加密，请使用 SetQueueAttributes 操作将 KmsMasterKeyId 属性设置为空字符串。

   重要

   null 对于 KmsMasterKeyId 是无效值。

3. （可选）指定在调用 AWS KMS 之前，Amazon SQS 可以重用数据密钥对消息进行加密或者解密的时间长度（以秒为单位）。设置 KmsDataKeyReusePeriodSeconds 或 CreateQueue 操作的 SetQueueAttributes 属性。可能的值介于 60 秒 (1 分钟) 和 86400 秒 (24 小时) 之间。如果不指定值，则使用默认值 300 秒 (5 分钟)。

   以下代码示例将数据密钥重用周期设置为 60 秒 (1 分钟)：

   // (Optional) Specify the length of time, in seconds, for which Amazon SQS can reuse 
   // a data key to encrypt or decrypt messages before calling AWS KMS again.
   attributes.put("KmsDataKeyReusePeriodSeconds", "60");