Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

静态加密

默认情况下，Amazon Inspector 使用 Amazon 加密解决方案存储静态数据。Amazon Inspector 对以下内容等数据进行加密：

您无法管理、使用或查看 Amazon 拥有的密钥。但是无需执行任何操作或更改任何计划即可保护用于加密数据的密钥。有关更多信息，请参阅 Amazon 拥有的密钥。

如果您禁用 Amazon Inspector，它将永久删除自己为您存储或维护的所有资源，例如收集的清单和安全调查发现。

对调查发现中的代码进行静态加密

要扫描 Amazon Inspector Lambda 代码，Amazon Inspector 与 Amazon Q 合作，扫描您的代码中是否存在漏洞。当检测到漏洞时，Amazon Q 会提取包含该漏洞的代码片段并存储该代码，直到 Amazon Inspector 请求访问为止。默认情况下，Amazon Q 使用 Amazon 自有密钥对提取的代码进行加密。但是，您可以将 Amazon Inspector 配置为使用您自己的客户管理的 Amazon KMS 密钥进行加密。

以下工作流程说明了 Amazon Inspector 如何使用您配置的密钥来加密您的代码：

使用客户托管密钥进行代码加密的权限

要进行加密，您必须使用包含允许 Amazon In spector 和 Amazon Q 执行以下操作的声明的策略创建 KMS 密钥。

策略声明

创建 KMS 密钥时，您可以使用以下策略声明。

{
  "Effect": "Allow",
  "Principal": {
    "Service": "q.amazonaws.com"
  },
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:GenerateDataKeyWithoutPlaintext",
    "kms:GenerateDataKey"
  ],
  "Resource": "*",
  "Condition": {
    "StringLike": {
      "kms:EncryptionContext:aws:qdeveloper:lambda-codescan-scope": "account-id"
    },
    "StringEquals": {
      "aws:SourceAccount": "account-id"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:qdeveloper:Region:account-id:scans/*"
    }
  }
},
{
  "Effect": "Allow",
  "Principal": {
    "Service": "q.amazonaws.com"
  },
  "Action": "kms:DescribeKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "aws:SourceAccount": "account-id"
    },
    "ArnLike": {
      "aws:SourceArn": "arn:aws:qdeveloper:Region:account-id:scans/*"
    }
  }
},
{
  "Effect": "Allow",
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:GenerateDataKeyWithoutPlaintext",
    "kms:GenerateDataKey"
  ],
  "Principal": {
    "AWS": "role-ARN"
  },
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "inspector2.Region.amazonaws.com"
    },
    "StringLike": {
      "kms:EncryptionContext:aws:qdeveloper:lambda-codescan-scope": "account-id"
    }
  }
},
{
  "Effect": "Allow",
  "Action": [
    "kms:DescribeKey"
  ],
  "Principal": {
    "AWS": "role-ARN"
  },
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ViaService": "inspector2.Region.amazonaws.com"
    }
  }
}

政策声明采用 JSON 格式。添加声明后，请查看策略以确保语法有效。如果该语句是策略中的最后一条语句，则在前一语句的右大括号后面加一个逗号。如果该语句是策略中的第一个语句或两个现有语句之间，则在该语句的右大括号后面加一个逗号。

如果您设置、更新或重置账户的加密密钥，则必须使用 Amazon Inspector 管理员策略，例如 Amazon 托管策略AmazonInspector2FullAccess。

使用客户托管密钥配置加密

要使用客户托管密钥为您的账户配置加密，您必须是具有 使用客户托管密钥进行代码加密的权限 中列出的权限的 Amazon Inspector 管理员。此外，您还需要一个与您的发现位于同一 Amazon 区域的 Amazon KMS 密钥，或者一个多区域密钥。您可以使用账户中现有的对称密钥，也可以使用 Amazon 管理控制台创建对称客户托管密钥，或者。 Amazon KMS APIs有关更多信息，请参阅 Amazon KMS 用户指南中的创建对称加密 Amazon KMS 密钥。

使用 Amazon Inspector API 配置加密

要设置加密密钥，请在以亚马逊 Inspector 管理员身份登录时UpdateEncryptionKey运行 Amazon Inspector API。在 API 请求中，使用kmsKeyId字段指定要使用的 Amazon KMS 密钥的 ARN。对于 scanType，请输入 CODE，对于 resourceType，请输入 AWS_LAMBDA_FUNCTION。

你可以使用 UpdateEncryptionKeyAPI 来查看 Amazon Inspector 正在使用哪个 Amazon KMS 密钥进行加密。

如果您删除密钥或将其政策更改为拒绝访问 Amazon Inspector 或 Amazon Q，您将无法访问您的代码漏洞发现，并且您的账户的 Lambda 代码扫描将失败。

您可以使用恢复使用 Amazon 自有密钥ResetEncryptionKey对作为 Amazon Inspector 调查结果一部分提取的代码进行加密。