本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
静态加密Amazon IoT SiteWise
Amazon IoT SiteWise将您的数据存储在Amazon云端和Amazon IoT SiteWise边缘网关上。
中的静态数据Amazon云
Amazon IoT SiteWise将数据存储在默认情况下对静态数据进行加密的其他Amazon服务中。静态加密与 Amazon Key Management Service (Amazon KMS) 集成，用于管理加密密钥，该密钥用于加密您的资产属性值和聚合中的值Amazon IoT SiteWise。您可以选择使用客户托管密钥加密 Amazon IoT SiteWise 中的资产属性值和聚合值。您可以通过 Amazon KMS 创建、管理和查看您的加密密钥。
您可以选择一个Amazon 拥有的密钥来加密您的数据，也可以选择客户管理的密钥来加密您的资产属性值和汇总值：
工作原理
静态加密与集成，Amazon KMS用于管理用于加密数据的加密密钥。
-
Amazon 拥有的密钥— 默认加密密钥。 Amazon IoT SiteWise拥有这把钥匙。您无法在Amazon账户中查看此密钥。您也无法在Amazon CloudTrail日志中查看对密钥的操作。使用此密钥不会产生额外的费用。
-
客户托管密钥 - 此密钥存储在您的账户中，由您创建、拥有和管理。您对 KMS 密钥拥有完全控制权。需Amazon KMS支付额外费用。
Amazon 拥有的密钥
Amazon 拥有的密钥未存储在您的账户中。它们是 KMS 密钥集合的一部分，这些密钥Amazon拥有并管理，可在多个Amazon账户中使用。 Amazon服务可以Amazon 拥有的密钥用来保护您的数据。
您无法查看、管理Amazon 拥有的密钥、使用或审核其使用情况。但是无需执行任何工作或更改任何计划即可保护用于加密数据的密钥。
如果您使用，则无需支付月费或使用费Amazon 拥有的密钥，也不会计入您账户的Amazon KMS配额。
客户管理密钥
客户管理密钥是在您的账户中由您创建、拥有和管理的 KMS 密钥。您可以完全控制这些 KMS 密钥，例如：
-
制定和维护密钥策略、IAM 策略和授权
-
启用和禁用 KMS 密钥
-
轮换 KMS 密钥的加密材料
-
添加 标签
-
创建引用 KMS 密钥的别名
-
安排删除 KMS 密钥
您还可以使用 CloudTrail 和 Amaz CloudWatch on Logs 来跟踪Amazon KMS代表您Amazon IoT SiteWise发送的请求。
如果您使用的是客户托管密钥，则需要授予对存储在您账户中的 KMS 密钥的Amazon IoT SiteWise访问权限。 Amazon IoT SiteWise使用信封加密和密钥层次结构来加密数据。您的Amazon KMS加密密钥用于加密此密钥层次结构的根密钥。有关更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的信封加密。
以下示例策略授予代表您创建客户托管密钥的Amazon IoT SiteWise权限。创建密钥时，需要允许 kms:CreateGrant 和 kms:DescribeKey 操作。
您创建的授权的加密上下文使用您的 aws:iotsitewise:subscriberId 和账户 ID。
SiteWise 边缘网关上的静态数据
Amazon IoT SiteWise网关在本地文件系统上存储以下数据：
-
OPC UA 源配置信息
-
来自已连接 OPC UA 源的 OPC UA 数据流路径集
-
SiteWise 边缘网关失去与互联网的连接时会缓存工业数据
SiteWise 边缘网关在上运行Amazon IoT Greengrass。 Amazon IoT Greengrass依靠 Unix 文件权限和全盘加密（如果启用）来保护核心上的静态数据。您负责确保文件系统和设备的安全性。
但是，Amazon IoT Greengrass确实会加密从 Secrets Manager 检索到的 OPC UA 服务器密钥的本地副本。有关更多信息，请参阅 Amazon IoT Greengrass Version 1 开发人员指南中的密钥加密。
有关Amazon IoT Greengrass内核静态加密的更多信息，请参阅《Amazon IoT Greengrass Version 1开发人员指南》中的静态加密。