# Lambda SnapStart 的安全模型
<a name="snapstart-security"></a>

AWS Lambda SnapStart 支持静态加密。Lambda 使用 AWS KMS key 加密快照。默认情况下，Lambda 使用 AWS 托管式密钥。如果此默认行为适合您的工作流，那么您无需设置任何其他内容。

否则，您可以使用 [create-function](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/lambda/create-function.html) 中的 `--kms-key-arn` 选项或 [update-function-configuration](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/lambda/update-function-configuration.html) 命令来提供 AWS KMS 客户管理型密钥。这样做可能是为了控制 KMS 密钥的轮换，或者是为了满足组织管理 KMS 密钥的要求。客户托管式密钥产生标准 AWS KMS 费用。有关更多信息，请参阅 [AWS Key Management Service 定价](https://aws.amazon.com/kms/pricing/)。

如果您的函数也属于持久性函数，则用于加密 SnapStart 快照的客户自主管理型密钥与用于加密持久性执行数据的客户自主管理型密钥相互独立。有关更多信息，请参阅 [加密 AWS Lambda 持久性执行数据](durable-encryption.md)。

删除 SnapStart 函数或函数版本时，对该函数或函数版本的所有 `Invoke` 请求将失败。Lambda 根据《一般数据保护条例》（GDPR）删除与已删除的快照相关的所有资源。