Protección y cifrado de datos en S3 Express One Zone

La configuración de SSE-KMS solo admite 1 clave administrada por el cliente por bucket de directorio durante la vida útil del bucket. La Clave administrada de AWS (aws/s3) no es compatible. Además, después de especificar una clave administrada por el cliente para SSE-KMS, no puede invalidar la clave administrada por el cliente para la configuración de SSE-KMS del bucket.

Puede identificar la clave administrada por el cliente que especificó para la configuración de SSE-KMS del bucket, de la siguiente manera:

Para usar una nueva clave administrada por el cliente para los datos, le recomendamos copiar los objetos existentes en un nuevo bucket de directorio con una nueva clave administrada por el cliente.

Para las operaciones de la API de punto de conexión zonal (en el nivel de objeto) excepto CopyObject y UploadPartCopy, se autentican y autorizan las solicitudes a través de CreateSession para lograr una baja latencia. Le recomendamos que el cifrado predeterminado del bucket utilice la configuración de cifrado deseada y que no invalide el cifrado predeterminado del bucket en las solicitudes de CreateSession o solicitudes de objetos PUT. A continuación, los objetos nuevos se cifran automáticamente con la configuración de cifrado deseada. Para cifrar los objetos nuevos de un bucket de directorio con SSE-KMS, debe especificar SSE-KMS como la configuración de cifrado predeterminada del bucket de directorios con una clave de KMS (en concreto, una clave administrada por el cliente). A continuación, cuando se crea una sesión para las operaciones de la API de punto de conexión zonal, los nuevos objetos se cifran y descifran automáticamente con claves de bucket SSE-KMS y S3 durante la sesión. Para obtener más información sobre los comportamientos de invalidación del cifrado en los buckets de directorio, consulte Especificación del cifrado del servidor con AWS KMS para cargas de objetos nuevos.

En las llamadas a la API de punto de conexión zonal (excepto CopyObject y UploadPartCopy), no puede invalidar los valores de la configuración de cifrado (x-amz-server-side-encryption, x-amz-server-side-encryption-aws-kms-key-id, x-amz-server-side-encryption-context o x-amz-server-side-encryption-bucket-key-enabled) de la solicitud de CreateSession. No necesita especificar de forma explícita estos valores de configuración de cifrado en las llamadas a la API de punto de conexión zonal y Amazon S3 utilizará los valores de configuración de cifrado de la solicitud de CreateSession para proteger los nuevos objetos del bucket de directorios.

Para CopyObject, para cifrar copias de objetos nuevas en un bucket de directorio con SSE-KMS, debe especificar SSE-KMS como la configuración de cifrado predeterminada del bucket del directorio con una clave de KMS (en concreto, una clave administrada por el cliente). A continuación, al especificar la configuración de cifrado del servidor para las nuevas copias de objetos con SSE-KMS, debe asegurarse de que la clave de cifrado sea la misma clave administrada por el cliente que especificó para la configuración de cifrado predeterminada del bucket del directorio. Para UploadPartCopy, para cifrar copias de partes de objetos nuevas en un bucket de directorio con SSE-KMS, debe especificar SSE-KMS como la configuración de cifrado predeterminada del bucket del directorio con una clave de KMS (en concreto, una clave administrada por el cliente). No puede especificar la configuración de cifrado del servidor para las nuevas copias de partes de objetos con SSE-KMS en los encabezados de solicitud de UploadPartCopy. Además, la configuración de cifrado que proporcione en la solicitud de CreateMultipartUpload debe coincidir con la configuración de cifrado predeterminada del bucket de destino.

Las claves de bucket de S3 siempre están habilitadas para las operaciones GET y PUT en un bucket de directorio y no se pueden desactivar. Las claves de bucket de S3 no son compatibles, cuando se copian objetos cifrados con SSE-KMS de buckets de uso general a buckets de directorio, de buckets de directorio a buckets de uso general o entre buckets de directorio, mediante la operación CopyObject, UploadPartCopy, Copy en operaciones por lotes o los trabajos de import. En ese caso, Amazon S3 realiza una llamada a AWS KMS cada vez que se realiza una solicitud de copia para un objeto cifrado con KMS.

Cuando especifique una clave administrada por el cliente de AWS KMS para el cifrado en el bucket de directorio, use solo el ID de clave o el ARN de la clave. No se admite el formato de alias de clave de la clave de KMS.