Blocage ou déblocage SSE-C d'un seau à usage général

À compter d'avril 2026, Amazon S3 désactive automatiquement le chiffrement côté serveur à l'aide de clés fournies par le client (SSE-C) pour tous les nouveaux compartiments à usage général. Amazon S3 a également été désactivé SSE-C pour les compartiments existants dans les comptes ne contenant aucun objet SSE-C chiffré. Cela signifie que par défaut, les demandes de téléchargement d'objets via SSE-C sont rejetées avec une AccessDenied erreur HTTP 403.

SSE-C vous oblige à fournir la clé de chiffrement à chaque demande de lecture ou d'écriture d'objets chiffrés, ce qui rend difficile le partage de l'accès avec d'autres utilisateurs, rôles ou AWS services qui exploitent vos données. La plupart des charges de travail utilisent le chiffrement côté serveur avec des clés gérées Amazon S3 (SSE-S3) ou des clés AWS KMS () à la place. SSE-KMS

Si votre charge de travail l'exige SSE-C, vous pouvez l'activer explicitement en mettant à jour la configuration de chiffrement par défaut de votre compartiment. À l'inverse, si certains compartiments SSE-C sont encore autorisés, vous pouvez les bloquer pour empêcher de nouveaux SSE-C téléchargements.

En cas SSE-C de blocage pour un bucket PutObject CopyObjectPostObject, toute demande de téléchargement partitionné ou de réplication spécifiant le SSE-C chiffrement sera rejetée avec une AccessDenied erreur HTTP 403. Les objets SSE-C chiffrés existants dans le compartiment ne sont pas affectés, vous pouvez toujours les lire avec GetObject ou HeadObject en fournissant les SSE-C en-têtes requis.

Ce paramètre est un paramètre de l'PutBucketEncryptionAPI et peut également être mis à jour à l'aide de la console S3, de l' AWS interface de ligne de commande ou AWS des kits SDK. Vous devez avoir l'autorisation s3:PutEncryptionConfiguration.

Permissions

Utilisez l'PutBucketEncryptionAPI ou la console S3, les AWS kits SDK ou l' AWS interface de ligne de commande pour bloquer ou débloquer les types de chiffrement pour un compartiment à usage général. Vous devez disposer de l'autorisation suivante :

Utilisez l'GetBucketEncryptionAPI ou la console S3, les AWS kits SDK ou l' AWS interface de ligne de commande pour afficher les types de chiffrement bloqués pour un compartiment à usage général. Vous devez disposer de l'autorisation suivante :

Considérations avant de bloquer SSE-C le chiffrement

Une fois que vous avez bloqué SSE-C un bucket, le comportement de chiffrement suivant s'applique :

Si vous souhaitez vérifier si vous utilisez le SSE-C chiffrement dans l'un de vos compartiments avant de bloquer ce type de cryptage, vous pouvez utiliser des outils tels que AWS CloudTrail la surveillance de l'accès à vos données. Ce billet de blog explique comment auditer les méthodes de chiffrement pour le chargement d'objets en temps réel. Vous pouvez également consulter cet article de Re:POST pour vous guider dans l'interrogation des rapports d'inventaire S3 afin de déterminer si vous possédez des SSE-C objets chiffrés.

Étapes

Vous pouvez bloquer ou débloquer le chiffrement côté serveur à l'aide de clés fournies par le client (SSE-C) pour un compartiment à usage général en utilisant la console Amazon S3, la AWS Command Line Interface (AWS CLI), l'API REST Amazon S3 et les kits SDK. AWS

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockedEncryptionTypes": {
        "EncryptionType": ["SSE-C"]
      }
    }]
  }'

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockedEncryptionTypes": {
        "EncryptionType": ["NONE"]
      }
    }]
  }'