本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
静态加密 Amazon IoT SiteWise
Amazon IoT SiteWise 将您的数据存储在 Amazon 云端和 Amazon IoT SiteWise 边缘网关上。
静态数据在 Amazon 云
Amazon IoT SiteWise 将数据存储在默认情况下对静态数据进行加密的其他 Amazon 服务中。静态加密与 Amazon Key Management Service (Amazon KMS) 集成，用于管理加密密钥，该密钥用于加密您的资产属性值和聚合值 Amazon IoT SiteWise。您可以选择使用客户托管密钥加密 Amazon IoT SiteWise中的资产属性值和聚合值。您可以通过 Amazon KMS创建、管理和查看您的加密密钥。
您可以选择对数据 Amazon 拥有的密钥 进行加密，也可以选择客户管理的密钥来加密您的资产属性值和聚合值：
工作原理
静态加密与集成， Amazon KMS 用于管理用于加密数据的加密密钥。
-
Amazon 拥有的密钥 — 默认加密密钥。 Amazon IoT SiteWise 拥有这把钥匙。您无法在 Amazon 账户中查看此密钥。您也无法在 Amazon CloudTrail 日志中查看对密钥的操作。使用此密钥不会产生额外的费用。
-
客户托管密钥 - 此密钥存储在您的账户中，由您创建、拥有和管理。您对 KMS 密钥拥有完全控制权。额外 Amazon KMS 收费。
Amazon 拥有的密钥
Amazon 拥有的密钥 未存储在您的账户中。它们是 KMS 密钥集合的一部分，这些密钥 Amazon 拥有和管理以供多个 Amazon 账户使用。 Amazon 服务可以 Amazon 拥有的密钥 用来保护您的数据。
您无法查看、管理 Amazon 拥有的密钥、使用或审核其使用情况。但是无需执行任何工作或更改任何计划即可保护用于加密数据的密钥。
如果您使用，则不会向您收取月费或使用费 Amazon 拥有的密钥，它们不计入您账户的 Amazon KMS 配额。
客户管理密钥
客户管理密钥是在您的账户中由您创建、拥有和管理的 KMS 密钥。您可以完全控制这些 KMS 密钥，例如：
-
制定和维护密钥策略、IAM 策略和授权
-
启用和禁用 KMS 密钥
-
轮换 KMS 密钥的加密材料
-
添加 标签
-
创建引用 KMS 密钥的别名
-
安排删除 KMS 密钥
您还可以使用 CloudTrail 和 Amazon L CloudWatch ogs 来跟踪 Amazon KMS 代表您 Amazon IoT SiteWise 发送的请求。
如果您使用客户管理的密钥，则需要授予对存储在您账户中的 KMS 密钥的 Amazon IoT SiteWise 访问权限。 Amazon IoT SiteWise 使用信封加密和密钥层次结构来加密数据。您的 Amazon KMS 加密密钥用于加密该密钥层次结构的根密钥。有关更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的信封加密。
以下示例策略授予代表您创建客户管理密钥的 Amazon IoT SiteWise 权限。创建密钥时，需要允许 kms:CreateGrant 和 kms:DescribeKey 操作。
您创建的授权的加密上下文使用您的 aws:iotsitewise:subscriberId 和账户 ID。
SiteWise Edge 网关上的静态数据
Amazon IoT SiteWise 网关在本地文件系统上存储以下数据：
-
OPC UA 源配置信息
-
来自已连接 OPC UA 源的 OPC UA 数据流路径集
-
当 SiteWise Edge 网关断开与互联网的连接时缓存的工业数据
SiteWise 边缘网关正在运行。 Amazon IoT Greengrass Amazon IoT Greengrass 依赖 Unix 文件权限和全盘加密（如果启用）来保护核心上的静态数据。您负责确保文件系统和设备的安全性。
但是， Amazon IoT Greengrass 会对从密钥管理器检索到的 OPC UA 服务器密钥的本地副本进行加密。有关更多信息，请参阅 Amazon IoT Greengrass Version 1 开发人员指南中的密钥加密。
有关 Amazon IoT Greengrass 内核静态加密的更多信息，请参阅Amazon IoT Greengrass Version 1 开发者指南中的静态加密。