使用服务器端加密保护 Amazon SNS 数据 - Amazon Simple Notification Service
加密范围关键术语
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用服务器端加密保护 Amazon SNS 数据

服务器端加密 (SSE) 允许您使用在 Amazon Key Management Service (Amazon KMS) 中管理的密钥保护 Amazon 主题中的消息内容，从而将敏感数据存储在加密SNS主题中。

SSEAmazon SNS 收到消息后立即对其进行加密。消息以加密形式存储，仅在发送时才解密。

重要

对SSE启用的主题的所有请求都必须使用HTTPS签名版本 4。

有关其他服务与加密主题的兼容性的信息，请参阅服务文档。

Amazon SNS 仅支持对称加密KMS密钥。您不能使用任何其他类型的KMS密钥来加密您的服务资源。有关确定密钥是否为对称加密KMS密钥的帮助，请参阅识别非对称KMS密钥。

Amazon KMS 将安全、高度可用的硬件和软件相结合，提供可扩展到云端的密钥管理系统。当您将 Amazon SNS 与一起 Amazon KMS使用时，加密您的消息数据的数据密钥也会被加密并与其保护的数据一起存储。

使用 Amazon KMS具有以下好处：

  • 您可以自行创建和管理 Amazon KMS key。

  • 您也可以为 Amazon 使用 Amazon托管KMS密钥SNS，这些密钥对于每个账户和地区都是唯一的。

  • Amazon KMS 安全标准可以帮助您满足与加密相关的合规性要求。

有关更多信息，请参阅什么是 Amazon Key Management Service？ 在《Amazon Key Management Service 开发人员指南》中。

加密范围

SSE对 Amazon SNS 主题中的消息正文进行加密。

SSE 不对以下各项进行加密：

  • 主题元数据（主题名称和属性）

  • 消息元数据（主题、消息 ID、时间戳和属性）

  • 数据保护策略

  • 每个主题的指标数

注意

  • 仅在启用主题加密后发送消息时对其进行加密。Amazon SNS 不对积压的消息进行加密。

  • 任何加密的消息将保持加密状态，即使已禁用其主题的加密。

关键术语

以下关键术语可以帮助您更好地理解的功能SSE。有关详细说明，请参阅《Amazon 简单通知服务API参考》。

数据密钥

负责加密 Amazon SNS 消息内容的数据加密密钥 (DEK)。

有关更多信息，请参阅 Amazon Key Management Service 开发人员指南中的数据密钥和 Amazon Encryption SDK 开发人员指南中的信封加密。

Amazon KMS key ID

您的账户或其他账户 Amazon KMS中的别名ARN、别名 Amazon KMS key、密钥 ARN ID 或密钥，或自定义密钥。虽然 Amazon Amazon 托管 Amazon KMS 的别名始终SNSalias/aws/sns是，但自定义的别名 Amazon KMS 可以是alias/MyAlias。您可以使用这些 Amazon KMS 密钥来保护 Amazon SNS 主题中的消息。

注意

记住以下内容：

  • 首次使用KMS为主题指定亚马逊 Amazon 托管时， Amazon KMS 会创建SNSKMS适用于亚马逊的 Amazon 托管SNS。 Amazon Web Services Management Console

  • 或者，在您首次对SSE启用状态的主题使用Publish操作时， Amazon KMS 会创建KMS适用于 Amazon 的 Amazon 托管SNS。

您可以创建 Amazon KMS 密钥，定义控制 Amazon KMS 密钥使用方式的策略，并 Amazon KMS 使用 Amazon KMS 控制台的Amazon KMS keys部分或CreateKey Amazon KMS 操作来审计使用情况。有关更多信息，请参阅《Amazon Key Management Service 开发人员指南》中的 Amazon KMS keys和创建密钥。有关 Amazon KMS 标识符的更多示例，请参阅Amazon Key Management Service API参考文献KeyId中的。有关查找 Amazon KMS 标识符的信息，请参阅查找密钥 ID 和ARN《Amazon Key Management Service 开发者指南》。

重要

使用需要支付额外费用 Amazon KMS。有关更多信息，请参阅 估算成本 Amazon KMS 和 Amazon Key Management Service 定价。