本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
# “连接客户” 中的密钥管理
您可以指定 AWS KMS 密钥，包括自带密钥 (BYOK)，用于 Amazon S3 存储 input/output 桶的信封加密。
当您将 AWS KMS 密钥关联到 Connect Customer 中的 S3 存储位置时，API 调用者的权限（或控制台用户的权限）将用于在密钥上创建授权，相应的 Connect 客户实例服务角色作为被授权者委托人。对于特定于该 Connect 客户实例的服务关联角色，该授权允许该角色使用密钥进行加密和解密。例如：
+ 如果您调用 [ DisassociateInstanceStorageConfig ](https://docs.aws.amazon.com/connect/latest/APIReference/API_DisassociateInstanceStorageConfig.html) API 将 AWS KMS 密钥与 Connect Customer 中的 S3 存储位置断开关联，则该授权将从密钥中移除。
+ 如果您调用 [ AssociateInstanceStorageConfig ](https://docs.aws.amazon.com/connect/latest/APIReference/API_AssociateInstanceStorageConfig.html) API 将 AWS KMS 密钥关联到 Connect Customer 中的 S3 存储位置，但您没有`kms:CreateGrant`权限，则关联将失败。
使用 [`list-grants`](https://awscli.amazonaws.com/v2/documentation/api/2.0.34/reference/kms/list-grants.html) CLI 命令列出指定 客户托管式密钥的所有授权。
有关 AWS KMS 密钥的信息，请参阅[什么是 AWS Key Management Service？](https://docs.aws.amazon.com/kms/latest/developerguide/overview.html)在《*AWS 密钥管理服务开发人员指南》中*。
## 代理协助
Connect 客户代理协助使用 BYOK 或服务自有密钥将静态加密的知识文档存储在 S3 中。知识文档在亚马逊 OpenSearch 服务中使用服务自有密钥进行静态加密。代理协助使用 BYOK 或服务自有密钥存储代理查询和通话记录。
Connect客户代理协助使用的知识文档由 AWS KMS 密钥加密。
## 亚马逊 AppIntegrations
亚马逊 AppIntegrations 不支持 BYOK 对配置数据进行加密。当同步外部应用程序数据时，需要定期执行 BYOK。亚马逊 AppIntegrations需要获得授权才能使用您的客户管理密钥。当您创建数据集成时，亚马逊 AppIntegrations 会 AWS KMS 代表您向发送`CreateGrant`请求。您可以随时撤销授予访问权限，或删除服务对客户托管密钥的访问权限。如果您这样做，亚马逊将 AppIntegrations 无法访问由客户管理密钥加密的任何数据，这会影响依赖该数据的Connect客户服务。
## Customer Profiles
对于客户档案，您可以指定用于加密数据的 AWS KMS 密钥。如果您未指定客户管理的密钥，则默认情况下，Connect 客户配置文件会使用 AWS自有的加密密钥为您的静态数据提供加密。
在为新域或现有域启用 Data Store 之前，必须配置 AWS KMS key。
您还可以为对象类型定义单独的 KMS 密钥。加密客户数据时，我们会使用对象类型 KMS 密钥（如果有）。否则，我们将使用该域的 KMS 密钥。
启用 Data Vault 后，您无法更新域或对象类型的 KMS 密钥。虽然您可以使用新密钥创建新的对象类型，但不能修改现有的密钥设置。
## Voice ID
要使用 Connect 客户语音 ID，必须在创建 Connect 客户语音 ID 域时提供客户管理密钥 KMS 密钥 (BYOK)，该域用于加密所有静态客户数据。
## 出站活动
出站活动使用 AWS 拥有的密钥 或客户管理的密钥对所有敏感数据进行加密。由于客户管理的密钥由您创建、拥有和管理，因此您可以完全控制客户管理的密钥（AWS KMS 收费）。