密钥管理

在 QuickSight 起始页上，选择管理 QuickSight，然后选择 KMS 密钥。

在 KMS 密钥页面上，选择管理。KMS 密钥控制面板打开。

在 KMS 密钥控制面板上，选择选择密钥。

在选择密钥弹出框中，选择密钥以打开列表。然后，选择要添加的密钥。

如果您的密钥不在列表中，则可以手动输入密钥的 ARN。

（可选）选择 “用作此 QuickSight 账户中所有新SPICE数据集的默认加密密钥”，将所选密钥设置为默认密钥。默认密钥旁边会出现一个蓝色徽章，以表示其状态。

当您选择默认密钥时，在托管您的 QuickSight 账户的区域中创建的所有新SPICE数据集都将使用默认密钥进行加密。

（可选）通过重复此过程中前面的步骤来添加更多密钥。虽然您可以根据需要添加任意数量的密钥，但一次只能有一个默认密钥。

导航到您的 CloudTrail 日志。有关更多信息，请参阅 使用记录操作 Amazon CloudTrail。

使用以下搜索参数查找 SPICE 数据集的最新授权事件：

{
    "eventVersion": "1.08",
    "userIdentity": {
        "type": "AWSService",
        "invokedBy": "quicksight.amazonaws.com"
    },
    "eventTime": "2022-10-26T00:11:08Z",
    "eventSource": "kms.amazonaws.com",
    "eventName": "CreateGrant",
    "awsRegion": "us-west-2",
    "sourceIPAddress": "quicksight.amazonaws.com",
    "userAgent": "quicksight.amazonaws.com",
    "requestParameters": {
        "constraints": {
            "encryptionContextSubset": {
                "aws:quicksight:arn": "arn:aws:quicksight:us-west-2:111122223333:dataset/12345678-1234-1234-1234-123456789012"
            }
        },
        "retiringPrincipal": "quicksight.amazonaws.com",
        "keyId": "arn:aws:kms:us-west-2:111122223333:key/87654321-4321-4321-4321-210987654321",
        "granteePrincipal": "quicksight.amazonaws.com",
        "operations": [
            "Encrypt",
            "Decrypt",
            "DescribeKey",
            "GenerateDataKey"
        ]
    },
....
}

根据不同的事件类型，适用以下情况之一：

CreateGrant – 您可以在 SPICE 数据集最后一个 CreateGrant 事件的密钥 ID (keyID) 中找到最近使用的 CMK。

RetireGrant— 如果SPICE数据集的最新 CloudTrail 事件为RetireGrant，则没有密钥 ID，SPICE数据集不再加密 CMK。

在 QuickSight 起始页上，选择管理 QuickSight，然后选择 KMS 密钥。

在 KMS 密钥页面上，选择管理以打开 KMS 密钥控制面板。

导航到要设置为新默认密钥的密钥。在要打开菜单的密钥所在行上选择操作（三个点）。

选择设置为默认配置。

所选密钥现已是您的默认密钥。

在 QuickSight 起始页上，选择管理 QuickSight，然后选择 KMS 密钥。

在 KMS 密钥页面上，选择管理以打开 KMS 密钥控制面板。

选择默认密钥行上的操作（三个点），然后选择删除。

在出现的弹出窗口中，选择删除。

登录您的 Amazon 账户，打开 Amazon KMS，然后选择客户管理的密钥。

选择要禁用的密钥。

打开密钥操作菜单并选择禁用。

恢复对 CMK 的访问权限。通常，这足以恢复数据集。

测试 SPICE 数据集以查看是否可以看到数据。

（可选）如果数据未完全恢复，即使您恢复了对 CMK 的访问权限，也要对数据集执行完全刷新。