Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden der serverseitigen Verschlüsselung mit AWS KMS Schlüssel () SSE-KMS

Server-side Verschlüsselung ist die Verschlüsselung von Daten am Zielort durch die Anwendung oder den Dienst, der sie empfängt.

Amazon S3 aktiviert automatisch die serverseitige Verschlüsselung mit von Amazon S3 verwalteten Schlüsseln (SSE-S3) für das Hochladen neuer Objekte.

Sofern Sie nichts anderes angeben, werden Buckets standardmäßig zum Verschlüsseln SSE-S3 von Objekten verwendet. Sie können Buckets jedoch so konfigurieren, dass sie stattdessen die serverseitige Verschlüsselung mit AWS Key Management Service (AWS KMS) -Schlüsseln () verwenden. SSE-KMS Weitere Informationen finden Sie unter Geben Sie die serverseitige Verschlüsselung an mit AWS KMS (SSE-KMS).

AWS KMS ist ein Dienst, der sichere, hochverfügbare Hardware und Software kombiniert, um ein für die Cloud skaliertes Schlüsselverwaltungssystem bereitzustellen. Amazon S3 verwendet serverseitige Verschlüsselung mit AWS KMS (SSE-KMS), um Ihre S3-Objektdaten zu verschlüsseln. Außerdem SSE-KMS wird die S3-Prüfsumme (als Teil der Metadaten des Objekts) in verschlüsselter Form gespeichert, wenn sie für das Objekt angefordert wird. Weitere Informationen zur Prüfsumme finden Sie unter Überprüfen der Objektintegrität in Amazon S3.

Wenn Sie KMS-Schlüssel verwenden, können Sie AWS KMS mithilfe der AWS-Managementkonsole oder der AWS KMS API Folgendes tun:

Die Sicherheitskontrollen AWS KMS können Ihnen helfen, die Compliance-Anforderungen im Zusammenhang mit der Verschlüsselung zu erfüllen. Sie können mit diesen KMS-Schlüsseln Ihre Daten in Amazon-S3-Buckets schützen. Wenn Sie SSE-KMS Verschlüsselung mit einem S3-Bucket verwenden, AWS KMS keys muss sich dieser in derselben Region wie der Bucket befinden.

Für die Nutzung fallen zusätzliche Gebühren an AWS KMS keys. Weitere Informationen finden Sie unter AWS KMS key -Konzepte im AWS Key Management Service -Entwicklerhandbuch und in den AWS KMS -Preisen.

Anweisungen, wie Sie IAM-Benutzern den Zugriff auf KMS-encrypted Buckets ermöglichen, finden Sie unter Mein Amazon S3-Bucket verfügt über eine Standardverschlüsselung mit einem benutzerdefinierten AWS KMS Schlüssel. Wie kann ich Benutzern erlauben, vom Bucket herunterzuladen und in den Bucket hochzuladen? im AWS re:Post Knowledge Center.

Berechtigungen

Um erfolgreich eine PutObject Anfrage zur Verschlüsselung eines Objekts mit einem AWS KMS Schlüssel für Amazon S3 zu stellen, benötigen Sie kms:GenerateDataKey Berechtigungen für den Schlüssel. Um ein mit einem verschlüsseltes Objekt herunterzuladen AWS KMS key, benötigen Sie kms:Decrypt Berechtigungen für den Schlüssel. Um einen mehrteiligen Upload durchzuführen, um ein Objekt mit einem zu verschlüsseln AWS KMS key, benötigen Sie die kms:Decrypt Berechtigungen kms:GenerateDataKey und für den Schlüssel.

AWS KMS keys

Wenn Sie die serverseitige Verschlüsselung mit AWS KMS (SSE-KMS) verwenden, können Sie den standardmäßigen AWS verwalteten Schlüssel verwenden, oder Sie können einen vom Kunden verwalteten Schlüssel angeben, den Sie bereits erstellt haben. AWS KMS unterstützt die Umschlagverschlüsselung. S3 verwendet die AWS KMS Funktionen der Umschlagverschlüsselung, um Ihre Daten weiter zu schützen. Bei der Umschlagverschlüsselung werden Ihre Klartextdaten mit einem Datenschlüssel verschlüsselt, und dieser Datenschlüssel wird dann mit einem KMS-Schlüssel verschlüsselt. Weitere Informationen zur Envelope-Verschlüsselung finden Sie unter Envelope-Verschlüsselung im AWS Key Management Service -Entwicklerhandbuch.

Wenn Sie keinen vom Kunden verwalteten Schlüssel angeben, erstellt Amazon S3 beim ersten Mal automatisch einen Von AWS verwalteter Schlüssel Schlüssel, mit AWS-Konto dem Sie ein verschlüsseltes Objekt SSE-KMS zu einem Bucket hinzufügen. Standardmäßig verwendet Amazon S3 diesen KMS-Schlüssel für SSE-KMS.

Wenn Sie einen vom Kunden verwalteten Schlüssel für verwenden möchten SSE-KMS, erstellen Sie vor der Konfiguration einen kundenverwalteten Schlüssel für symmetrische Verschlüsselung. SSE-KMS Geben Sie dann bei der Konfiguration SSE-KMS für Ihren Bucket den vorhandenen kundenverwalteten Schlüssel an. Weitere Informationen um symmetrischen Verschlüsselungsschlüssel finden Sie unter Symmetrische KMS-Verschlüsselungsschlüssel im Entwicklerhandbuch für AWS Key Management Service .

Durch die Erstellung eines vom Kunden verwalteten Schlüssels erhalten Sie mehr Flexibilität und Kontrolle. Beispielsweise können Sie kundenverwaltete Schlüssel erstellen, drehen und deaktivieren. Sie können auch Zugriffskontrollen definieren und die vom Kunden verwalteten Schlüssel prüfen, mit denen Sie Ihre Daten schützen. Weitere Informationen zu vom Kunden verwalteten und AWS verwalteten Schlüsseln finden Sie im AWS Key Management Service Entwicklerhandbuch unter AWS Kundenschlüssel und Schlüssel.

SSE-KMS Verschlüsselung für kontoübergreifende Operationen verwenden

Beachten Sie Folgendes, wenn Sie kontoübergreifende Operationen verschlüsseln:

Weitere Informationen darüber, wann Sie vom Kunden verwaltete Schlüssel und AWS verwaltete KMS-Schlüssel verwenden sollten, finden Sie unter Sollte ich einen Von AWS verwalteter Schlüssel oder einen vom Kunden verwalteten Schlüssel verwenden, um meine Objekte in Amazon S3 zu verschlüsseln?

SSE-KMS Verschlüsselungsworkflow

Wenn Sie sich dafür entscheiden, Ihre Daten mit einem Von AWS verwalteter Schlüssel oder einem vom Kunden verwalteten Schlüssel zu verschlüsseln, AWS KMS und Amazon S3 die folgenden Aktionen zur Verschlüsselung des Umschlags ausführen:

Wenn Sie die Entschlüsselung Ihrer Daten anfordern, Amazon S3 und AWS KMS führen Sie die folgenden Aktionen aus:

Überwachung der Verschlüsselung SSE-KMS

Um Anfragen zu identifizieren, die Folgendes angeben SSE-KMS, können Sie die Metriken Alle SSE-KMS Anfragen und% aller SSE-KMS Anfragen in den Amazon S3 Storage Lens-Metriken verwenden. S3 Storage Lens ist eine Cloud-Speicheranalysefunktion, mit der Sie unternehmensweite Einblicke in die Nutzung und Aktivität von Objektspeichern erhalten können. Sie können auch die Anzahl der SSE-KMS aktivierten Buckets und die% SSE-KMS aktivierten Buckets verwenden, um die Anzahl der Buckets zu ermitteln, die (SSE-KMS) für die Standard-Bucket-Verschlüsselung verwendet werden. Weitere Informationen finden Sie unter Bewertung Ihrer Speicheraktivität und -nutzung mit S3 Storage Lens. Eine vollständige Liste der Metriken finden Sie im Glossar der S3-Storage-Lens-Metriken.

Um die Verwendung Ihrer AWS KMS Schlüssel für Ihre SSE-KMS verschlüsselten Daten zu überprüfen, können Sie Protokolle verwenden AWS CloudTrail . Sie können Einblick in Ihre kryptografischen Operationen wie GenerateDataKey und Decrypt erhalten. CloudTrail unterstützt zahlreiche Attributwerte zum Filtern Ihrer Suche, einschließlich Veranstaltungsname, Benutzername und Ereignisquelle.

Amazon-S3-Bucket-Schlüssel

Wenn Sie die serverseitige Verschlüsselung mit AWS KMS (SSE-KMS) konfigurieren, können Sie Ihre Buckets so konfigurieren, dass sie S3-Bucket Keys dafür verwenden. SSE-KMS Durch die Verwendung eines Schlüssels auf Bucket-Ebene für SSE-KMS können Sie Ihre AWS KMS Anforderungskosten um bis zu 99 Prozent senken, indem der Anforderungsverkehr von Amazon S3 auf reduziert wird. AWS KMS

Wenn Sie einen Bucket für die Verwendung eines S3-Bucket-Schlüssels für neue Objekte konfigurieren, wird ein Schlüssel SSE-KMS auf Bucket-Ebene AWS KMS generiert, der verwendet wird, um eindeutige Datenschlüssel für Objekte im Bucket zu erstellen. Dieser S3-Bucket Key wird innerhalb von Amazon S3 für einen begrenzten Zeitraum verwendet, wodurch Amazon S3 noch weniger Anfragen stellen muss, um Verschlüsselungsvorgänge AWS KMS abzuschließen. Weitere Informationen zur Verwendung von S3-Bucket-Schlüsseln finden Sie unter Reduzierung der Kosten von SSE-KMS mit Amazon S3 Bucket Keys.

Erzwingen serverseitiger Verschlüsselung

Wenn Sie die serverseitige Verschlüsselung aller Objekte in einem bestimmten Amazon-S3-Bucket anfordern möchten, können Sie eine Bucket-Richtlinie verwenden. Beispielsweise verweigert die folgende Bucket-Richtlinie allen Benutzern die Upload-Object (s3:PutObject) -Berechtigung, wenn die Anfrage keinen x-amz-server-side-encryption-aws-kms-key-id Header enthält, mit dem eine serverseitige Verschlüsselung angefordert wird. SSE-KMS

JSON

{
   "Version":"2012-10-17",
   "Id":"PutObjectPolicy",
   "Statement":[{
         "Sid":"DenyObjectsThatAreNotSSEKMS",
         "Effect":"Deny",
         "Principal":"*",
         "Action":"s3:PutObject",
         "Resource":"arn:aws:s3:::amzn-s3-demo-bucket1/*",
         "Condition":{
            "Null":{
               "s3:x-amz-server-side-encryption-aws-kms-key-id":"true"
            }
         }
      }
   ]
}

Um zu verlangen, dass ein bestimmtes AWS KMS key Objekt zum Verschlüsseln der Objekte in einem Bucket verwendet wird, können Sie den s3:x-amz-server-side-encryption-aws-kms-key-id Bedingungsschlüssel verwenden. Um den KMS-Schlüssel anzugeben, müssen Sie einen Amazon Resource Name (ARN) -Schlüssel verwenden, der das folgende arn:aws:kms:region:acct-id:key/key-id Format hat. AWS Identity and Access Management überprüft nicht, ob die Zeichenfolge für s3:x-amz-server-side-encryption-aws-kms-key-id existiert.

Eine vollständige Liste der Amazon-S3-spezifischen Bedingungsschlüssel finden Sie unter Bedingungsschlüssel für Amazon S3 in der Service-Authorization-Referenz.

Verschlüsselungskontext

Ein Verschlüsselungskontext ist ein Satz von Schlüssel-Wert-Paaren, die zusätzliche kontextbezogene Informationen zu den Daten enthalten können. Der Verschlüsselungskontext ist nicht verschlüsselt. Wenn für eine Verschlüsselungsoperation ein Verschlüsselungskontext angegeben wird, muss Amazon S3 denselben Verschlüsselungskontext auch für die Entschlüsselungsoperation angeben. Andernfalls schlägt die Entschlüsselung fehl. AWS KMS verwendet den Verschlüsselungskontext als zusätzliche authentifizierte Daten (AAD), um die authentifizierte Verschlüsselung zu unterstützen. Weitere Informationen zum Verschlüsselungs-Kontext finden Sie unter Encryption Context (Verschlüsselungs-Kontext) im AWS Key Management Service -Entwicklerhandbuch.

Amazon S3 verwendet automatisch den Amazon-Ressourcennamen (ARN) des Objekts oder Buckets als Verschlüsselungskontextpaar:

Sie können optional ein zusätzliches Verschlüsselungskontextpaar bereitstellen, indem Sie den x-amz-server-side-encryption-context Header in einer s3: PutObject -Anforderung verwenden. Da der Verschlüsselungskontext jedoch nicht verschlüsselt ist, sollte er keine sensiblen Informationen enthalten. Amazon S3 speichert dieses zusätzliche Schlüsselpaar zusammen mit dem Standardverschlüsselungskontext. Wenn Ihre PUT-Anforderung verarbeitet wird, hängt Amazon S3 den Standardverschlüsselungskontext aws:s3:arn an den von Ihnen bereitgestellten an.

Sie können den Verschlüsselungskontext verwenden, um Ihre kryptografischen Vorgänge zu identifizieren und zu kategorisieren. Sie können auch den Standard-ARN-Wert für den Verschlüsselungskontext verwenden, um relevante Anfragen nachzuverfolgen, AWS CloudTrail indem Sie sehen, welcher Amazon S3-ARN mit welchem Verschlüsselungsschlüssel verwendet wurde.

Im requestParameters Feld einer CloudTrail Protokolldatei sieht der Verschlüsselungskontext dem folgenden ähnlich.

"encryptionContext": {
    "aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket1/file_name"
}

Wenn Sie die optionale Funktion S3 Bucket Keys verwenden SSE-KMS , ist der Verschlüsselungskontextwert der ARN des Buckets.

"encryptionContext": {
    "aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket1"
}

Senden von Anfragen für AWS KMS verschlüsselte Objekte

AWS Bei Signature Version 4 werden über HTTP gesendete AWS Anfragen Authentifizierungsinformationen hinzugefügt. Aus Sicherheitsgründen AWS müssen die meisten Anfragen mit einem Zugriffsschlüssel signiert werden, der aus einer Zugriffsschlüssel-ID und einem geheimen Zugriffsschlüssel besteht. Diese beiden Schlüssel werden in der Regel als Sicherheitsanmeldeinformationen bezeichnet. Weitere Informationen finden Sie unter Authenticating Requests (Authentifizierung von Anforderungen) (AWS Signature Version 4) und Signature Version 4 signing process (Signaturprozess).