本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

Amazon OpenSearch Service 的靜態資料加密

OpenSearch Service 網域提供靜態資料加密，這是一種安全功能，可協助防止未經授權存取您的資料。此功能使用 AWS Key Management Service (AWS KMS) 來存放和管理加密金鑰，並使用 256 位元金鑰 (AES-256) 的進階加密標準演算法來執行加密。如果啟用，此功能會加密網域的以下層面：

當您啟用靜態資料加密時，以下項目不會加密，但您可以採取額外的步驟來保護它們：

OpenSearch Service 僅支援對稱加密 KMS 金鑰，不支援非對稱加密 KMS 金鑰。若要了解如何建立對稱金鑰，請參閱 AWS Key Management Service 開發人員指南中的建立金鑰。

無論是否啟用靜態加密，所有網域都會使用 AES-256 和 OpenSearch Service 受管密鑰自動加密自訂套件。

許可

若要使用 OpenSearch Service 主控台來設定靜態資料的加密，您必須具有 的讀取許可 AWS KMS，例如下列身分型政策：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:List*",
        "kms:Describe*"
      ],
      "Resource": "*"
    }
  ]
}

如果您想要使用 AWS 擁有金鑰以外的金鑰，您還必須具有為金鑰建立授予的許可。這些許可通常採用以資源為基礎的政策形式，當您建立金鑰時會加以指定。

若您想要讓金鑰保持為 OpenSearch Service 獨有，您可以將 kms:ViaService 條件新增到金鑰政策：

"Condition": {
  "StringEquals": {
    "kms:ViaService": "es.us-west-1.amazonaws.com"
  },
  "Bool": {
    "kms:GrantIsForAWSResource": "true"
  }
}

如需詳細資訊，請參閱《 AWS Key Management Service 開發人員指南》中的在 AWS KMS 中使用金鑰政策。

啟用靜態資料加密

在新網域中進行靜態資料加密需要 OpenSearch 或 Elasticsearch 5.1 版或更高版本。在現有網域上啟用它需要 OpenSearch 或 Elasticsearch 6.7 或更高版本。

您也可以透過組態 API 啟用加密。下列請求會啟用現有網域上的靜態資料加密：

{
   "ClusterConfig":{
      "EncryptionAtRestOptions":{
         "Enabled": true,
         "KmsKeyId":"arn:aws:kms:us-east-1:123456789012:alias/my-key"
      }
   }
}

禁用或刪除的 KMS 金鑰

如果您停用或刪除用來加密網域的金鑰，網域將無法存取。OpenSearch Service 會傳送通知，通知您其無法存取 KMS 金鑰。立即重新啟用金鑰以存取您的網域。

如果刪除您的金鑰，OpenSearch Service 團隊無法協助您復原資料。 只會在等待至少七天後 AWS KMS 刪除金鑰。如果您的金鑰仍待刪除，請取消刪除或拍攝網域的手動快照，以避免資料損失。

停用靜態資料加密

在您設定網域以加密靜態資料後，您無法停用設定。相反地，您可以拍攝現有網域的手動快照，建立另一個網域，遷移您的資料和刪除舊的網域。

監控靜態加密資料的網域

加密靜態資料的網域有兩個額外的指標：KMSKeyError 和 KMSKeyInaccessible。如果網域遇到與您加密金鑰相關的問題，這些指標才會顯示。如需這些指標的完整說明，請參閱叢集指標。您可以使用 OpenSearch Service 主控台或 Amazon CloudWatch 主控台來檢視它們。

其他考量