Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon S OpenSearch ervice 中的静态数据加密

OpenSearch 服务域提供了静态数据加密，这是一种有助于防止他人未经授权访问您的数据的安全功能。该功能使用 Amazon Key Management Service （Amazon KMS）来存储和管理您的加密密钥，并使用具有 256 位密钥的高级加密标准算法（AES-256）来执行加密。如果启用，该功能会对域的以下方面进行加密：

以下内容在您启用静态数据加密时不会 加密，但您可以执行额外的步骤来保护它们：

OpenSearch 服务仅支持对称加密 KMS 密钥，不支持非对称 KMS 密钥。要了解如何创建对称密钥，请参阅Amazon Key Management Service 开发人员指南中的创建 KMS 密钥。

无论是否启用静态加密，所有域都会使用 AES-256 和 OpenSearch 服务托管的密钥自动加密自定义程序包。

权限

要使用 S OpenSearch ervice 控制台配置静态数据加密，您必须拥有的读取权限 Amazon KMS，如以下基于身份的策略：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:List*",
        "kms:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

如果要使用拥有密钥之外的密钥，您还必须 Amazon 拥有为密钥创建授权的权限。这些权限通常采用基于资源的策略的形式，您在创建密钥时会指定该策略。

如果您希望保持密钥专供 S OpenSearch ervice 使用，可将 k ms: ViaService 条件添加到该密钥策略：

"Condition": {
  "StringEquals": {
    "kms:ViaService": "es.us-west-1.amazonaws.com"
  },
  "Bool": {
    "kms:GrantIsForAWSResource": "true"
  }
}

有关更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的在 Amazon KMS中使用密钥策略。

启用静态数据加密

新域中的静态数据加密需要 OpenSearch 或 Elasticsearch 5.1 或更高版本。在现有域上启用它需要 Elasticsearch 6.7 OpenSearch 或更高版本。

此外，您还可以通过配置 API 启用加密。以下请求允许对现有域中的静态数据进行加密：

{
   "ClusterConfig":{
      "EncryptionAtRestOptions":{
         "Enabled": true,
         "KmsKeyId":"arn:aws:kms:us-east-1:123456789012:alias/my-key"
      }
   }
}

已禁用或已删除 KMS 密钥

如果您禁用或删除了用于对某个域进行加密的密钥，该域将变得无法访问。 OpenSearch 服务将向您发送通知，告知您它不能访问 KMS 密钥。立即重新启用密钥以访问您的域。

如果已删除密钥， OpenSearch 服务团队无法帮助您恢复数据。 Amazon KMS 仅在至少七天的等待期限之后才会删除密钥。如果您的密钥正在等待删除，请取消删除或拍摄手动快照，以防止数据丢失。

禁用静态数据加密

在您配置一个域以对静态数据进行加密后，您无法禁用该设置。相反，您可以随时拍摄现有域的手动快照，创建另一个域，迁移您的数据和删除旧域。

监控对静态数据进行加密的域

对静态数据进行加密的域有两个额外指标：KMSKeyError 和 KMSKeyInaccessible。仅当域发现您的加密密钥存在问题时，才会显示这些指标。有关这些指标的完整说明，请参阅集群指标。您可以使用 OpenSearch 服务控制台或 Amazon CloudWatch 控制台查看它们。

其他考虑因素