Réduction du coût de SSE : KMS avec les clés de compartiment Amazon S3 - Amazon Simple Storage Service

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Réduction du coût de SSE : KMS avec les clés de compartiment Amazon S3

Les clés de compartiment Amazon S3 réduisent le coût du chiffrement côté serveur Amazon S3 avec des clés AWS Key Management Service (AWS KMS) (SSE-KMS). L'utilisation d'une clé au niveau du compartiment pour SSE - KMS peut réduire les coûts des AWS KMS demandes jusqu'à 99 % en diminuant le trafic de demandes d'Amazon S3 vers. AWS KMS En quelques clics AWS Management Console, et sans aucune modification de vos applications clientes, vous pouvez configurer votre compartiment pour qu'il utilise une clé de compartiment S3 pour SSE le KMS chiffrement de nouveaux objets.

Note

Les clés de compartiment S3 ne sont pas prises en charge pour le chiffrement double couche côté serveur avec des clés AWS Key Management Service (AWS KMS) (-). DSSE KMS

Clés de compartiment S3 pour SSE - KMS

Les charges de travail qui accèdent à des millions, voire des milliards d'objets chiffrésSSE, KMS peuvent générer d'importants volumes de demandes à AWS KMS. Lorsque vous utilisez SSE : KMS pour protéger vos données sans clé de compartiment S3, Amazon S3 utilise une clé de AWS KMS données individuelle pour chaque objet. Dans ce cas, Amazon S3 effectue un appel à AWS KMS chaque fois qu'une demande est faite contre un objet KMS chiffré. Pour plus d'informations sur le KMS fonctionnement de SSE -, voirUtilisation du chiffrement côté serveur avec des AWS KMS clés (SSE-) KMS.

Lorsque vous configurez votre compartiment pour utiliser une clé de compartiment S3 pour SSE -KMS, AWS génère une clé de niveau compartiment de courte durée à partir de AWS KMS, puis la conserve temporairement dans S3. Cette clé de niveau compartiment créera des clés de données pour les nouveaux objets au cours de son cycle de vie. Les clés de compartiment S3 sont utilisées pendant une période limitée dans Amazon S3, ce qui réduit la nécessité pour S3 de faire des demandes AWS KMS pour effectuer des opérations de chiffrement. Cela réduit le trafic de S3 à S3 AWS KMS, ce qui vous permet d'accéder à des objets AWS KMS chiffrés dans Amazon S3 à une fraction du coût précédent.

Les clés uniques au niveau du compartiment sont récupérées au moins une fois par demandeur afin de garantir que l'accès du demandeur à la clé est capturé lors d'un événement. AWS KMS CloudTrail Amazon S3 traite les appelants comme des demandeurs différents lorsqu'ils utilisent des rôles ou des comptes différents, ou lorsqu'ils utilisent le même rôle avec des politiques de cadrage différentes. AWS KMS les économies de demandes reflètent le nombre de demandeurs, les modèles de demandes et l'âge relatif des objets demandés. Par exemple, un nombre réduit de demandeurs, sollicitant plusieurs objets dans une fenêtre de temps limitée, et chiffrés avec la même clé au niveau des compartiments, permettra de réaliser des économies plus importantes.

Note

L'utilisation de clés de compartiment S3 vous permet de réduire les coûts liés aux AWS KMS demandes en réduisant le nombre de demandes à AWS KMS for Encrypt et les Decrypt opérations grâce à l'utilisation d'une clé au niveau du compartiment. GenerateDataKey De par leur conception, les demandes ultérieures qui tirent parti de cette clé au niveau du compartiment n'aboutissent pas à des AWS KMS API demandes et ne valident pas l'accès par rapport à la politique en matière de AWS KMS clés.

Lorsque vous configurez une clé de compartiment S3, les objets qui se trouvent déjà dans le compartiment n'utilisent pas la clé de compartiment S3. Pour configurer une clé de compartiment S3 pour des objets existants, vous pouvez utiliser une opération CopyObject. Pour de plus amples informations, veuillez consulter Configuration d'une clé de compartiment S3 au niveau d'un objet .

Amazon S3 partage une clé de compartiment S3 uniquement pour les objets chiffrés avec la même AWS KMS key. Les clés de compartiment S3 sont compatibles avec KMS les clés créées par AWS KMS, le matériel clé importé et le matériel clé soutenu par des magasins de clés personnalisés.

Schéma illustrant la AWS KMS génération d'une clé de compartiment qui crée des clés de données pour les objets d'un compartiment.

Configuration de clés de compartiment S3

Vous pouvez configurer votre compartiment pour utiliser une clé de compartiment S3 pour SSE : KMS sur de nouveaux objets via la console Amazon S3, AWS SDKs, AWS CLI, ou RESTAPI. Lorsque les clés de compartiment S3 sont activées sur votre compartiment, les objets chargés avec une KMS clé spécifiée SSE différente utiliseront leurs propres clés de compartiment S3. Quel que soit votre paramètre de clé de compartiment S3, vous pouvez inclure l'en-tête x-amz-server-side-encryption-bucket-key-enabled avec une valeur true ou false dans votre requête, afin de remplacer le paramètre de compartiment.

Avant de configurer votre compartiment de sorte qu'il utilise une clé de compartiment S3, consultez Modifications à prendre en compte avant d'activer une clé de compartiment S3.

Configuration d'une clé de compartiment S3 à l'aide de la console Amazon S3

Lorsque vous créez un nouveau compartiment, vous pouvez le configurer pour qu'il utilise une clé de compartiment S3 pour SSE KMS les nouveaux objets. Vous pouvez également configurer un compartiment existant pour utiliser une clé de compartiment S3 pour les SSE nouveaux objets en mettant à jour les propriétés de votre compartiment. KMS 

Pour de plus amples informations, veuillez consulter Configuration de votre compartiment pour utiliser une clé de compartiment S3 avec SSE : KMS pour les nouveaux objets.

RESTAPI AWS CLI, et AWS SDK prise en charge des clés de compartiment S3

Vous pouvez utiliser le REST API AWS CLI, ou AWS SDK pour configurer votre compartiment afin qu'il utilise une clé de compartiment S3 pour SSE - KMS sur de nouveaux objets. Vous pouvez également activer une clé de compartiment S3 au niveau de l'objet.

Pour plus d’informations, consultez les ressources suivantes : 

Les API opérations suivantes prennent en charge les clés de compartiment S3 pour SSE - KMS :

Travailler avec AWS CloudFormation

Dans AWS CloudFormation, la AWS::S3::Bucket ressource inclut une propriété de chiffrement appelée BucketKeyEnabled que vous pouvez utiliser pour activer ou désactiver une clé de compartiment S3.

Pour de plus amples informations, veuillez consulter En utilisant AWS CloudFormation.

Modifications à prendre en compte avant d'activer une clé de compartiment S3

Avant d'activer une clé de compartiment S3, notez les modifications suivantes :

IAMou politiques AWS KMS clés

Si vos politiques AWS Identity and Access Management (IAM) ou politiques AWS KMS clés existantes utilisent votre objet Amazon Resource Name (ARN) comme contexte de chiffrement pour affiner ou limiter l'accès à votre KMS clé, ces politiques ne fonctionneront pas avec une clé de compartiment S3. Les clés de compartiment S3 utilisent le compartiment ARN comme contexte de chiffrement. Avant d'activer une clé de compartiment S3, mettez à jour vos IAM politiques ou politiques AWS KMS clés pour utiliser votre compartiment ARN comme contexte de chiffrement.

Pour plus d'informations sur le contexte de chiffrement et les clés de compartiment S3, consultez Contexte de chiffrement.

CloudTrail événements pour AWS KMS

Une fois que vous avez activé une clé de compartiment S3, vos AWS KMS CloudTrail événements enregistrent votre compartiment ARN plutôt que votre objetARN. De plus, vous voyez moins d'KMS CloudTrail événements pour les KMS objets SSE - dans vos journaux. Les informations clés étant limitées dans le temps dans Amazon S3, moins de demandes sont adressées à AWS KMS.

Utilisation d'une clé de compartiment S3 avec réplication

Vous pouvez utiliser les clés de compartiment S3 avec la réplication dans la même région (SRR) et la réplication entre régions (). CRR

Lorsqu'Amazon S3 réplique un objet chiffré, il conserve généralement les paramètres de chiffrement de l'objet réplica dans le compartiment de destination. Toutefois, si l'objet source n'est pas chiffré et que votre compartiment de destination utilise un chiffrement par défaut ou une clé de compartiment S3, Amazon S3 chiffre l'objet avec la configuration du compartiment de destination.

Les exemples suivants illustrent le fonctionnement d'une clé de compartiment S3 avec la réplication. Pour plus d’informations, consultez Réplication d'objets chiffrés (SSE-S3, SSE -, DSSE - KMSKMS, SSE -C)

Exemple 1 : l'objet source utilise des clés de compartiment S3, le compartiment de destination utilise le chiffrement par défaut

Si votre objet source utilise une clé de compartiment S3 mais que votre compartiment de destination utilise le chiffrement par défaut avec SSE -KMS, l'objet répliqué conserve ses paramètres de chiffrement de clé de compartiment S3 dans le compartiment de destination. Le compartiment de destination utilise toujours le chiffrement par défaut avec SSE -KMS.

Exemple 2 — L'objet source n'est pas chiffré ; le compartiment de destination utilise une clé de compartiment S3 avec SSE - KMS

Si votre objet source n'est pas chiffré et que le compartiment de destination utilise une clé de compartiment S3 avec SSE -KMS, l'objet répliqué est chiffré à l'aide d'une clé de compartiment S3 avec SSE - KMS dans le compartiment de destination. Cela produit un ETag de l'objet source différent de l'ETag de l'objet réplica. Vous devez mettre à jour les applications qui utilisent le ETag pour compenser cette différence.

Utilisation des clés de compartiment S3

Pour plus d'informations sur l'activation et l'utilisation des clés de compartiment S3, consultez les sections suivantes :