Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

静态数据加密 Amazon IoT Core

默认情况下，所有静态 Amazon IoT Core 数据都使用 Amazon 自有密钥进行加密。 Amazon IoT Core 还支持 Amazon Key Management Service (Amazon KMS) 中的对称客户管理密钥。使用客户管理的密钥，您可以创建、拥有和管理 Amazon 账户中的 Amazon KMS 密钥。 Amazon IoT Core 将使用您的 KMS 密钥加密您的静态数据。您对这些 KMS 密钥拥有完全控制权，包括创建和维护其密钥策略。您还可以为访问的角色配置 IAM 策略， Amazon KMS 以控制这些密钥的权限。

Amazon 拥有的密钥

Amazon 拥有的密钥是 Amazon 服务拥有和管理的 KMS 密钥的集合，供多个 Amazon 账户使用。 Amazon 服务可以使用 Amazon 自有密钥来保护您的数据。默认情况下，使用 Amazon 自有密钥 Amazon IoT Core 加密静态数据。这些密钥由服务托管。您无法查看、管理或使用 Amazon 拥有的密钥。但是，您无需采取任何操作来保护这些密钥。

有关 Amazon 自有密钥的更多信息，请参阅Amazon Key Management Service 开发者指南中的Amazon 自有密钥。

客户自主管理型密钥

客户管理密钥是您创建、拥有和管理的 Amazon 账户中的 KMS 密钥。您对这些 Amazon KMS 密钥拥有完全控制权，包括创建和维护其密钥策略。您还可以为访问的角色配置 IAM 策略， Amazon KMS 以控制这些密钥的权限。您可以配置 Amazon IoT Core 为使用客户管理的 KMS 密钥来加密您的数据。

有关客户托管密钥的更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的客户托管密钥。

要选择加入客户管理的密钥 Amazon IoT Core，请按照以下步骤操作：

步骤 1：创建客户托管式密钥

您可以使用 Amazon KMS 控制台或 Amazon KMS CLI 命令创建对称的客户管理密钥。keySpec 必须是 SYMMETRIC_DEFAULT，keyUsage 必须是 ENCRYPT_DECRYPT。

以下是创建 KMS 密钥的示例 Amazon CLI 命令，该密钥可用于创建客户管理 Amazon IoT Core 的密钥。

aws kms create-key --key-spec SYMMETRIC_DEFAULT --key-usage ENCRYPT_DECRYPT --region us-west-2

以下是该命令的示例输出。

{
    "KeyMetadata": {
        "AWSAccountId": "111122223333",
        "KeyId": "1234abcd-12ab-34cd-56ef-1234567890ab",
        "Arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "CreationDate": "2024-09-19T11:45:23.982000-07:00",
        "Enabled": true,
        "Description": "",
        "KeyUsage": "ENCRYPT_DECRYPT",
        "KeyState": "Enabled",
        "Origin": "AWS_KMS",
        "KeyManager": "CUSTOMER",
        "CustomerMasterKeySpec": "SYMMETRIC_DEFAULT",
        "KeySpec": "SYMMETRIC_DEFAULT",
        "EncryptionAlgorithms": [
            "SYMMETRIC_DEFAULT"
        ],
        "MultiRegion": false
    }
}

有关更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的创建对称客户托管密钥。

密钥策略

创建客户托管密钥时，可以指定密钥策略。密钥政策控制对客户托管密钥的访问。每个客户托管式密钥必须只有一个密钥策略，其中包含确定谁可以使用密钥以及如何使用密钥的声明。有关更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的密钥策略？

Amazon IoT Core 使用您账户中的 IAM 角色访问您的客户管理密钥。如果您使用自定义密钥策略，请确保在此密钥上创建的 IAM 角色具有以下权限：

第 2 步：创建要授予的 IAM 角色 Amazon IoT Core 使用 KMS 密钥的权限

Amazon IoT Core 要使用您创建的 KMS 密钥来加密静态数据，您还需要在账户中创建一个 IAM 角色，该角色 Amazon IoT Core 可以假定访问 KMS 密钥。

该角色必须具有以下信任策略 Amazon IoT Core 才能代入该角色。

{
    "Version": "2012-10-17",
    "Statement": {
        "Effect": "Allow",
        "Principal": {
            "Service": "iot.amazonaws.com"
        },
        "Action": "sts:AssumeRole",
        "Condition": {
            "StringEquals": {
                "aws:SourceAccount": "111122223333"
            },
            "ArnLike": {
                "aws:SourceArn": "arn:aws:iot:us-west-2:111122223333:*"
            }
        }
    }
}

确保附加到 IAM 角色的 IAM 策略对 KMS 密钥具有以下权限：

以下是一个具有客户托管密钥所需权限的示例 IAM 策略。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowIoTToAccessKMSResource",
            "Effect": "Allow",
            "Action": [
                "kms:DescribeKey",
                "kms:Decrypt",
                "kms:Encrypt",
                "kms:ReEncryptTo",
                "kms:ReEncryptFrom",
                "kms:GenerateDataKeyWithoutPlaintext"
            ],
            "Resource": [
                "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
            ],
            "Condition": {
                "StringEquals": {
                    "kms:EncryptionContext:aws-crypto-ec:vendor": "iot.amazonaws.com"
                }
            }
        }
    ]
}

有关更多信息，请参阅《Amazon Identity and Access Management 用户指南》中的创建向 IAM 用户委派权限的角色。

第 3 步：选择使用客户管理的密钥 Amazon IoT Core

完成所有先前步骤后，运行 update-encryption-configuration CLI 命令以在 Amazon IoT Core中选择使用客户托管密钥。当您选择使用客户管理密钥时，您的 Amazon 账户中的所有 Amazon IoT Core 资源都将使用指定的 Amazon KMS 密钥进行加密。

第 4 步：所需的额外权限 Amazon IoT Core 控制平面操作

在您选择使用客户管理密钥后，属于您 Amazon 账户的所有 Amazon IoT Core 资源都将使用提供的 KMS 密钥进行加密。现在，除了对 Amazon IoT Core 资源进行特定操作所需的kms:Decrypt权限外，所有控制平面操作都要求调用者拥有 KMS 密钥的权限。如果调用者没有 kms:Decrypt 权限，并且他们进行了需要加密或解密数据的 API 调用（例如，GetPolicy），他们将收到 UnauthorizedException。

例如，当您调用 GetPolicy 时，您需要对您的客户托管 KMS 密钥同时拥有 iot:GetPolicy 和 kms:Decrypt 权限，API 调用才能成功。

Amazon KMS 的权限 UpdateEncryptionConfiguration

UpdateEncryptionConfigurationAPI 调用需要 KMS 密钥的以下 Amazon KMS 权限才能选择使用客户管理的密钥或修改密钥配置：

Amazon KMS 所有其他控制平面 API 的权限

启用客户托管密钥后，大多数控制面板 API 都需要 kms:Decrypt 权限。但是，某些 API 不需要这些附加权限：

步骤 5：管理密钥

Amazon IoT Core 定期检查您的客户管理的密钥配置，以确保加密和解密操作不受影响。这些运行状况检查每分钟运行一次，用于验证 Amazon IoT Core访问和使用密 Amazon KMS 钥和关联的 IAM 角色进行加密和解密操作的能力。

可能影响密钥运行状况的客户操作

以下几个客户操作可能导致密钥运行状况从 HEALTHY 变为 UNHEALTHY：

更新加密配置

在中更新您的加密配置 Amazon IoT Core ，从一个客户管理的密钥更改为另一个客户管理的密钥，或者在 Amazon 自有密钥和客户管理的密钥之间进行更改。

要将配置更改为其他客户托管密钥，请执行以下操作：

要将配置从客户管理的密钥改回 Amazon 自有密钥，请执行以下操作：

aws iot update-encryption-configuration --encryption-type "AWS_OWNED_KMS_KEY"

常见故障场景和影响

下表描述了密钥被删除或停用时的常见故障场景：

预防和最佳实践

为防止意外密钥删除或停用，并最大限度地降低服务故障风险，请执行以下操作：

步骤 6：监控密钥运行状况

作为定期检查的一部分，系统会发布 CloudWatch 指标和日志，以提供有关客户管理密钥配置的 Amazon IoT Core 运行状况的可见性

Amazon IoT Core 将CMK.Health指标 CloudWatch 至少每分钟发出一次。该指标提供有关 Amazon IoT Core 用于加密和解密数据的客户管理密钥的运行状况的信息。

CMK.Health 指标可能具有以下值：

Amazon IoT Core 当加密密钥的运行状况发生变化时，还会发出 Amazon IoT V2 日志。这些日志提供有关运行状况更新的附加详细信息。要查看这些日志，必须启用 Amazon IoT V2 日志。HEALTHY 日志在 INFO 级别发出，UNHEALTHY 日志在 ERROR 级别发出。有关日志级别的更多信息，请参阅日志级别。

以下示例是发出的 CloudWatch 日志条目 Amazon IoT Core ，用于指示客户管理密钥的运行状况更新。

为了有效监控和响应密钥运行状况变化，请执行以下操作：

从不健康到健康

当加密密钥的状态从更新UNHEALTHY到时HEALTHY， Amazon IoT Core 将发出以下格式的 Amazon IoT V2 日志消息。

{
    "timestamp": "2017-08-10 15:37:23.476",
    "logLevel": "INFO",
    "traceId": "8421693b-f4f0-4e4a-9235-0cff8bab897d",
    "accountId": "111122223333",
    "status": "SUCCESS",
    "cmkStatus": "HEALTHY",
    "kmsKeyArn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "kmsAccessRoleArn": "arn:aws:iam::111122223333:role/myrole",
    "eventType": "CmkHealthCheck"
}

从健康到不健康

当加密密钥的状态从更新HEALTHY到时UNHEALTHY， Amazon IoT Core 将发出以下格式的 Amazon IoT V2 日志消息。

{
    "timestamp": "2017-08-10 15:37:23.476",
    "logLevel": "ERROR",
    "traceId": "8421693b-f4f0-4e4a-9235-0cff8bab897d",
    "accountId": "111122223333",
    "status": "FAILURE",
    "cmkStatus": "UNHEALTHY",
    "errorCode": "KMS_KEY_VALIDATION_ERROR / ROLE_VALIDATION_ERROR",
    "errorMessage": "Error message on why there was a failure",
    "kmsKeyArn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
    "kmsAccessRoleArn": "arn:aws:iam::111122223333:role/myrole",
    "eventType": "CmkHealthCheck"
}

监控分支密钥轮换运行状况

Amazon IoT Core 使用分层密钥结构来加密您的数据。在此层次结构的顶部是您的 Amazon KMS 密钥（您配置的客户管理密钥）。在此之下， Amazon IoT Core 维护分支密钥，即源自您的密钥的内部 Amazon KMS 密钥。 Amazon IoT Core 然后使用这些分支密钥生成唯一的包装密钥，这些密钥对您的数据进行实际加密和解密。这种分层方法限制了任何单个密钥的范围，并遵循 Amazon 加密最佳实践。 Amazon IoT Core 将分支密钥作为内部实现细节进行管理，与直接 Amazon KMS 管理的 Amazon KMS 密钥轮换分开。有关更多信息，请参阅轮换您的活跃分支密钥。

Amazon IoT Core 作为安全最佳实践，每年轮换分支密钥。轮换会创建新的活跃分支密钥版本，同时保留以前的版本以解密现有数据。此轮换需要与您的客户托管密钥配置关联的 IAM 角色的kms:Encrypt权限。 Amazon IoT Core 将CMK.BranchKeyRotationHealth指标发送到每分钟 CloudWatch 一次，以表明您的 Amazon KMS 访问角色是否具有轮换所需的权限。

CMK.BranchKeyRotationHealth 指标可能具有以下值：

要在无法进行分支密钥轮换时收到通知，请为该CMK.BranchKeyRotationHealth指标设置 CloudWatch 警报：

aws cloudwatch put-metric-alarm --region us-west-2 \
  --alarm-name "IoTCore-CMK-BranchKeyRotationHealth-Alert" \
  --alarm-description "Alert when IoT Core branch key rotation health is degraded" \
  --metric-name "CMK.BranchKeyRotationHealth" \
  --namespace "AWS/IoT" \
  --statistic "Minimum" \
  --period 300 \
  --evaluation-periods 1 \
  --threshold 1 \
  --comparison-operator "LessThanThreshold" \
  --alarm-actions "arn:aws:sns:us-west-2:111122223333:iot-alerts"

Amazon CloudTrail events

您还可以监控 Amazon IoT Core KMS 密钥在加密解密操作中的使用情况。 Amazon IoT Core 将对您的 KMS 密钥进行创建DescribeKeyDecryptReEncrypt、、和GenerateDataKeyWithoutPlaintext操作，以加密/解密属于您 Amazon 账户的静态数据。

有DescribeKey、DecryptReEncrypt、和的 CloudTrail 活动GenerateDataKeyWithoutPlaintext。这些事件监控 Amazon IoT Core 为访问由客户管理的密钥加密的数据而调用的 Amazon KMS 操作。

解密示例

{
    "eventVersion": "1.09",
    "userIdentity": {
        "type": "AssumedRole",
        "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
        "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
        "accountId": "111122223333",
        "accessKeyId": "*********************",
        "sessionContext": {
            "sessionIssuer": {
                "type": "Role",
                "principalId": "AROAIGDTESTANDEXAMPLE:Sampleuser01",
                "arn": "arn:aws:sts::111122223333:assumed-role/Admin/Sampleuser01",
                "accountId": "111122223333",
                "userName": "*****"
            },
            "attributes": {
                "creationDate": "2024-09-16T20:23:39Z",
                "mfaAuthenticated": "false"
            }
        },
        "invokedBy": "iot.amazonaws.com"
    },
    "eventTime": "2024-09-16T20:32:48Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "Decrypt",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "iot.amazonaws.com",
    "userAgent": "iot.amazonaws.com",
    "requestParameters": {
        "encryptionContext": {
            "kms-arn": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
            "aws-crypto-ec:vendor": "iot.amazonaws.com",
            "branch-key-id": "111122223333",
            "type": "branch:ACTIVE"
        },
        "encryptionAlgorithm": "SYMMETRIC_DEFAULT",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
    },
    "responseElements": null,
    "requestID": "1afb6d98-8388-455d-8b48-e62c9e0cf7f4",
    "eventID": "b59a5f16-0d98-46d8-a590-0e040a48b39b",
    "readOnly": true,
    "resources": [
        {
            "accountId": "111122223333",
            "type": "AWS::KMS::Key",
            "ARN": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
        }
    ],
    "eventType": "AwsApiCall",
    "managementEvent": true,
    "recipientAccountId": "111122223333",
    "eventCategory": "Management"
}