Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon EventBridge 自定义事件总线的静态加密

静态加密选项

默认情况下，Amazon Cu EventBridge stom Event Bus 会在服务器端加密所有静态数据，然后再将其写入存储：事件负载、事件元数据、订阅者筛选模式和订阅者目标配置。您无需配置任何内容、创建任何密钥或授予任何权限即可获得静态加密，而且这种默认加密不会产生任何额外费用。

默认情况下，您的数据使用Amazon 自有密钥下的 256 位高级加密标准 (AES-256) 进行加密，该密钥是为您 EventBridge 拥有和管理的 KMS 密钥。您无法查看、管理或使用此密钥，其使用情况也不会出现在您的 Amazon CloudTrail 日志中。 Amazon 自有密钥是免费的，不计入您账户中的 Amazon KMS 配额。 Amazon 拥有的密钥每月自动轮换。

有关更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的 Amazon 拥有密钥。

或者，您可以选择使用您创建、拥有和管理的对称客户托管 KMS 密钥来加密事件总线。客户管理的密钥为您提供：

客户托管密钥会产生 Amazon KMS 费用：密钥的月费，以及向其发出 KMS API 请求的费用。这些请求还会计入您账户中的 Amazon KMS 请求配额。由于 EventBridge 使用缓存的分支密钥在本地加密和解密事件（参见自定义事件总线如何使用客户托管的 KMS 密钥进行静态加密），因此它的 KMS 请求量是每个缓存窗口每个事件总线的几次调用加上密钥轮换——它不会随着事件量而增长。有关详细信息，请参阅 Amazon Key Management Service 定价。

使用自定义事件总线的客户托管 KMS 密钥对静态数据进行加密

自定义事件总线如何使用客户托管的 KMS 密钥进行静态加密

使用您的密钥加密的内容（每条事件总线）：

未使用您的密钥加密的内容：

这些项目仍由底层存储服务进行静态加密，而不是由您的密钥加密。

加密的工作原理。在事件总线上配置客户托管密钥时， EventBridge 会为该总线创建分支密钥。分支密钥是中间密钥。它存储在服务管理的表中，该表由您的 KMS 密钥封装，遵循 Amazon Encryption SDK 分层密钥环。 EventBridge 使用分支密钥派生每个事件的数据加密密钥。因此，事件是在本地加密和解密的，每个事件无需调用 KMS：

两条访问路径。 EventBridge 正好以两种方式访问您的密钥。对于同步操作和授权检查，它使用您的 API 调用中转发的凭证。对于异步工作（事件传送、分支密钥生命周期），它充当events.amazonaws.com服务主体，因为您的 API 调用已完成且您的凭据不再可用。您的密钥策略控制这两条路径，如下所述。

在事件总线上配置客户托管的 KMS 密钥

支持的密钥类型：

密钥标识符。通过密钥 ARN 指定密钥。

配置使用客户托管 KMS 密钥的权限

您的密钥策略需要三个 EventBridge 自定义事件总线语句。替换示例账户、区域、角色和总线名称。

加密上下文是一组非秘密密钥值对，它们 Amazon KMS 以加密方式绑定到请求，您可以在密钥策略中将其用作授权的条件。对事件总线发 EventBridge 出的每个 KMS 请求都包含一个将请求绑定到该总线的 ARN 的加密上下文，因此下面的每条语句都可以限定为单个总线。上下文密钥是aws:events:event-busv2:arn，其值是总线 ARN，无论是 EventBridge 使用您的凭证还是作为服务主体。 缩小对客户托管 KMS 密钥的访问权限更详细地介绍了范围界定。加密上下文/*中的尾随值与总线 ARN 的后缀匹配，后者在创建时 EventBridge 生成 ()。arn:aws:events:region:account:event-busv2/name/suffix

{
  "Version": "2012-10-17",
  "Id": "eventbridge-eventbus-v2-cmk-policy",
  "Statement": [
    {
      "Sid": "AllowKeyValidationThroughEventBridge",
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::111122223333:role/ExampleRole" },
      "Action": "kms:DescribeKey",
      "Resource": "*",
      "Condition": {
        "StringEquals": { "kms:ViaService": "events.us-east-1.amazonaws.com" }
      }
    },
    {
      "Sid": "AllowKeyUseThroughEventBridge",
      "Effect": "Allow",
      "Principal": { "AWS": "arn:aws:iam::111122223333:role/ExampleRole" },
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo"
      ],
      "Resource": "*",
      "Condition": {
        "StringEquals": { "kms:ViaService": "events.us-east-1.amazonaws.com" },
        "StringLike": {
          "kms:EncryptionContext:aws:events:event-busv2:arn": "arn:aws:events:us-east-1:111122223333:event-busv2/my-bus/*"
        }
      }
    },
    {
      "Sid": "AllowEventBridgeServicePrincipal",
      "Effect": "Allow",
      "Principal": { "Service": "events.amazonaws.com" },
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKeyWithoutPlaintext",
        "kms:ReEncryptFrom",
        "kms:ReEncryptTo"
      ],
      "Resource": "*",
      "Condition": {
        "StringLike": {
          "kms:EncryptionContext:aws:events:event-busv2:arn": "arn:aws:events:us-east-1:111122223333:event-busv2/my-bus/*"
        }
      }
    }
  ]
}

每份陈述的目的：

Cross-account 密钥：密钥可以位于与事件总线不同的账户中（例如，中央安全账户）。在这种情况下，请将所有三个语句都放在该密钥的策略中。前两个语句的Principal条目命名了公交车账户的角色。加密上下文值命名总线账户的总线 ARN。 Cross-accountKMS 访问需要双方的许可：除了上述密钥策略声明外，总线账户的角色还需要允许对密钥的 ARN 执行相同的 KMS 操作的 IAM 身份策略。通过密钥的完整密钥 ARN 访问密钥。

使用客户管理的 KMS 密钥创建新的事件总线

在以下EncryptionConfiguration参数中指定密钥 ARN：CreateEventBus

{
  "Name": "my-bus",
  "EncryptionConfiguration": {
    "KmsKeyIdentifier": "arn:aws:kms:us-east-1:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
  }
}

在创建时，使用您的凭证 EventBridge 验证密钥和您的访问权限（上面的DescribeKey和试运行检查）。 EventBridge 然后异步配置总线的分支密钥，作为服务主体。如果您的密钥策略中缺少服务主体语句，则总线会转换到 CREATE_FAILED KMS 访问失败并DescribeEventBus返回StateReason命名 KMS 访问失败。

DescribeEventBus在带有客户管理密钥的公共汽车上，它会返回EncryptionConfiguration。使用默认 Amazon 自有密钥的总线返回 noEncryptionConfiguration： EventBridge 从不返回 Amazon 拥有的密钥。

更改现有事件总线上的加密配置

通过以下方式支持所有过渡 UpdateEventBus：

当你更换钥匙时，公共汽车就会进来UPDATING。 EventBridge 将分支密钥重新封装在新密钥下。然后，公共汽车返回ACTIVE。分支密钥本身不会更改，因此保护您的数据的材料不会更改。只有包装密钥会发生变化。后果：

自动 KMS 密钥轮换：如果您在密钥上启用自动密钥轮换，KMS 会将支持材料轮换到同一个密钥 ARN 后面。轮换不会立即影响分支密钥。分支密钥会一直被最后封装它的材料包裹。下一个分支密钥版本大约每 30 天创建一次，受当前支持材料的保护。因此， KMS-side 轮换将在大约一个月内在您的公交车上生效。

如果您的密钥不可用（已禁用、已删除或访问权限已删除）：

删除您的密钥是永久性的。禁用密钥或删除密钥 EventBridge的访问权限是可逆的：恢复访问权限和处理恢复。删除密钥不是。 Amazon KMS 删除总线上当前配置的密钥后，将 EventBridge 无法再解开总线的分支密钥，并且仍然存储在总线上的每个事件在其剩余的保留期内都将永久无法读取。作为最佳实践，请先禁用密钥并确认其影响，然后再安排将其删除。请参阅《Amazon Key Management Service 开发者指南》中的删除 Amazon KMS 密钥。

删除公交车不需要钥匙。 DeleteEventBus即使密钥被禁用或删除，也会成功。

缩小对客户托管 KMS 密钥的访问权限

监视 EventBridge 自定义事件总线与的交互 Amazon KMS

EventBridge中显示了您的客户托管密钥的使用情况 Amazon CloudTrail。请参阅使用记录 Amazon KMS API 调用 Amazon CloudTrail。预计会发生的事件：

CloudTrail 将 ReEncrypt API 调用记录为一个事件。您的密钥策略中的kms:ReEncryptFrom和kms:ReEncryptTo权限均授权该调用。

授权检查是 KMS 试运行请求。根据设计，试运行请求会返回DryRunOperationException而不是执行操作：该响应是通过检查的痕迹，而不是配置中的错误。AccessDeniedException相反，显示的试运行条目意味着呼叫者缺少被检查的权限。有关详细信息，请参阅《Amazon Key Management Service 开发者指南》中的测试您的权限。

这些requestParameters.encryptionContext条目包含aws:events:event-busv2:arn在您的总线 ARN 中。分支密钥操作的条目还包括分层密钥环添加的分支密钥元数据：（branch-key-id总线 ARN）、、、、和。type create-time tablename hierarchy-version kms-arn

单个事件的加密和解密使用从缓存的分支密钥本地派生的数据密钥。因此，每个事件的操作不会出现在中。 CloudTrail您只能看到分支键操作。