Elastic Cloud中的静态数据加密：使用AWS KMS自带密钥
内容提要
本文介绍了如何在Elastic Cloud中使用AWS KMS密钥进行数据加密。用户需在AWS KMS中创建密钥并设置访问控制策略。在Elastic Cloud控制台创建部署时，启用客户管理的加密密钥选项并输入密钥的ARN。Elastic Cloud支持密钥轮换和撤销功能，以增强安全性，从而确保数据的安全性和合规性。
延伸解读
BYOK 的适用条件与限制
使用自带密钥（BYOK）需满足两个前提：订阅级别为 Enterprise，且密钥必须为对称单区域或多区域副本密钥，并确保在所有部署区域可用。此外，若使用自定义快照仓库，快照不会自动用您的密钥加密，但文件系统仍会加密磁盘数据。这些限制意味着并非所有 Elastic Cloud 用户都能立即启用该功能，且需评估现有快照策略的影响。
密钥策略配置的关键点
创建 AWS KMS 密钥后，必须更新密钥策略以允许 Elastic 访问。策略中 Principal 设为 "AWS": "*"，但通过 Condition 限制 aws:PrincipalOrgPaths 为 Elastic 租户的固定值，从而确保只有 Elastic 能使用该密钥。所需权限包括 Decrypt、Encrypt、GetKeyRotationStatus、GenerateDataKey 和 DescribeKey。正确配置策略是部署成功加密的前提，否则部署将无法访问密钥。
密钥轮换与撤销的运维影响
AWS KMS 密钥默认每年自动轮换，也可自定义周期或手动轮换。Elastic Cloud 会自动处理轮换，确保数据始终加密且可访问。若密钥泄露，可手动撤销（禁用或删除密钥，或修改 IAM 策略）。撤销后 30 分钟内，Elastic Cloud 将锁定部署的数据目录并提示删除部署。若误撤销，恢复密钥后部署可恢复运行。这要求运维团队明确撤销的后果并谨慎操作。
验证加密配置的方法
部署创建后，可在 Elastic Cloud 控制台的部署安全页面，通过“Encryption at rest”部分的“Manage encryption key”查看当前使用的 AWS KMS 密钥 ARN。若显示的 ARN 与您提供的密钥别名 ARN 一致，则表明部署已正确加密。此验证步骤有助于确认 BYOK 配置生效，避免因策略或 ARN 输入错误导致加密未按预期应用。
Q&A
如何在Elastic Cloud中使用AWS KMS进行数据加密？
用户需在AWS KMS中创建密钥并设置访问控制策略，然后在Elastic Cloud控制台创建部署时启用客户管理的加密密钥选项并输入密钥的ARN。
Elastic Cloud支持哪些密钥管理功能？
Elastic Cloud支持密钥轮换和撤销功能，以增强数据安全性和合规性。
创建AWS KMS密钥的步骤是什么？
在AWS控制台中创建密钥，设置别名，添加密钥管理员和用户，最后更新密钥策略以允许Elastic访问该密钥。
密钥轮换有什么好处？
密钥轮换可以降低密钥泄露的风险，确保数据的安全性。
如何验证Elastic Cloud部署的加密状态？
在Elasticsearch Service控制台中，选择部署的安全页面，查看加密在静态数据部分的AWS KMS密钥ARN。
如果AWS KMS密钥被泄露，我该如何处理？
可以手动撤销密钥访问，Elastic Cloud会锁定数据目录并提示删除部署，撤销后可恢复密钥以恢复操作。
