Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengurangi biaya SSE-KMS dengan Amazon S3 Bucket Keys

Amazon S3 Bucket Keys mengurangi biaya enkripsi sisi server Amazon S3 dengan AWS Key Management Service (AWS KMS) keys (SSE-KMS). Menggunakan kunci tingkat bucket untuk SSE-KMS dapat mengurangi biaya AWS KMS permintaan hingga 99 persen dengan mengurangi lalu lintas permintaan dari Amazon S3 ke. AWS KMS Dengan beberapa klik di Konsol Manajemen AWS, dan tanpa perubahan apa pun pada aplikasi klien Anda, Anda dapat mengonfigurasi bucket Anda untuk menggunakan S3 Bucket Key untuk SSE-KMS enkripsi pada objek baru.

Kunci Bucket S3 untuk SSE-KMS

Beban kerja yang mengakses jutaan atau miliaran objek yang dienkripsi SSE-KMS dapat menghasilkan permintaan dalam jumlah besar. AWS KMS Saat Anda menggunakan SSE-KMS untuk melindungi data tanpa S3 Bucket Key, Amazon S3 menggunakan kunci AWS KMS data individual untuk setiap objek. Dalam hal ini, Amazon S3 melakukan panggilan ke AWS KMS setiap kali permintaan dibuat terhadap suatu KMS-encrypted objek. Untuk informasi tentang cara ker SSE-KMS janya, lihatMenggunakan enkripsi sisi server dengan AWS KMS kunci (SSE-KMS).

Saat Anda mengonfigurasi bucket untuk menggunakan S3 Bucket Key SSE-KMS, AWS menghasilkan kunci tingkat bucket berumur pendek dari AWS KMS, lalu menyimpannya sementara di S3. Kunci tingkat bucket ini akan membuat kunci data untuk objek baru selama siklus hidupnya. S3 Bucket Keys digunakan untuk jangka waktu terbatas di Amazon S3, sehingga mengurangi kebutuhan S3 untuk membuat permintaan AWS KMS untuk menyelesaikan operasi enkripsi. Ini mengurangi lalu lintas dari S3 ke AWS KMS, memungkinkan Anda mengakses AWS KMS objek terenkripsi di Amazon S3 dengan biaya yang lebih kecil dari sebelumnya.

Kunci tingkat bucket unik diambil setidaknya sekali per pemohon untuk memastikan bahwa akses pemohon ke kunci ditangkap dalam suatu acara. AWS KMS CloudTrail Amazon S3 memperlakukan pemanggil sebagai pemohon yang berbeda ketika mereka menggunakan peran atau akun yang berbeda, atau peran yang sama dengan kebijakan pelingkupan yang berbeda. AWS KMS penghematan permintaan mencerminkan jumlah pemohon, pola permintaan, dan usia relatif dari objek yang diminta. Misalnya, jumlah pemohon yang lebih sedikit, meminta beberapa objek dalam jendela waktu terbatas, dan dienkripsi dengan kunci tingkat bucket yang sama, menghasilkan penghematan yang lebih besar.

Bila Anda mengonfigurasi Kunci Bucket S3, objek yang sudah ada di bucket tidak menggunakan kunci Bucket S3. Untuk mengonfigurasi Kunci Bucket S3 untuk objek yang sudah ada, Anda dapat menggunakan operasi CopyObject. Untuk informasi selengkapnya, lihat Mengonfigurasi Kunci Bucket S3 pada tingkat objek.

Amazon S3 hanya akan berbagi Kunci Bucket S3 untuk objek dienkripsi oleh AWS KMS key yang sama. S3 Bucket Keys kompatibel dengan kunci KMS yang dibuat oleh AWS KMS, bahan kunci yang diimpor, dan bahan kunci yang didukung oleh penyimpanan kunci khusus.

Mengonfigurasi Kunci Bucket S3

Anda dapat mengonfigurasi bucket untuk menggunakan S3 Bucket Key untuk SSE-KMS objek baru melalui konsol Amazon S3, AWS SDK AWS CLI, atau REST API. Dengan S3 Bucket Keys diaktifkan di bucket Anda, objek yang diunggah dengan SSE-KMS kunci tertentu yang berbeda akan menggunakan Kunci Bucket S3 mereka sendiri. Terlepas dari pengaturan Kunci Bucket S3 Anda, Anda dapat menyertakan header x-amz-server-side-encryption-bucket-key-enabled dengan nilai true atau false atau dalam permintaan Anda, untuk mengganti pengaturan bucket.

Sebelum mengonfigurasi bucket untuk menggunakan Kunci Bucket S3, tinjau Perubahan yang perlu diperhatikan sebelum mengaktifkan Kunci Bucket S3.

Mengonfigurasi Kunci Bucket S3 menggunakan konsol Amazon S3

Saat Anda membuat bucket baru, Anda dapat mengonfigurasi bucket Anda untuk menggunakan S3 Bucket Key untuk SSE-KMS objek baru. Anda juga dapat mengonfigurasi bucket yang ada untuk menggunakan S3 Bucket Key SSE-KMS pada objek baru dengan memperbarui properti bucket Anda. 

Untuk informasi selengkapnya, lihat Mengkonfigurasi bucket Anda untuk menggunakan S3 Bucket Key SSE-KMS untuk objek baru.

SISA API, AWS CLI, dan AWS Dukungan SDK untuk S3 Bucket Keys

Anda dapat menggunakan REST API, AWS CLI, atau AWS SDK untuk mengonfigurasi bucket Anda untuk menggunakan S3 Bucket Key untuk SSE-KMS objek baru. Anda juga dapat mengaktifkan Kunci Bucket S3 pada tingkat objek.

Untuk informasi selengkapnya, lihat berikut ini: 

Operasi API berikut mendukung S3 Bucket Keys untuk SSE-KMS:

Bekerja dengan CloudFormation

Di CloudFormation, AWS::S3::Bucket sumber daya menyertakan properti enkripsi yang disebut BucketKeyEnabled yang dapat Anda gunakan untuk mengaktifkan atau menonaktifkan S3 Bucket Key.

Untuk informasi selengkapnya, lihat Penggunaan CloudFormation.

Perubahan yang perlu diperhatikan sebelum mengaktifkan Kunci Bucket S3

Sebelum mengaktifkan Kunci Bucket S3, perhatikan perubahan terkait berikut ini:

IAM atau AWS KMS kebijakan utama

Jika kebijakan atau kebijakan AWS KMS kunci AWS Identity and Access Management (IAM) yang ada menggunakan objek Nama Sumber Daya Amazon (ARN) sebagai konteks enkripsi untuk menyempurnakan atau membatasi akses ke kunci KMS Anda, kebijakan ini tidak akan berfungsi dengan Kunci Bucket S3. Kunci Bucket S3 menggunakan bucket ARN sebagai konteks enkripsi. Sebelum mengaktifkan S3 Bucket Key, perbarui kebijakan IAM atau kebijakan AWS KMS kunci untuk menggunakan bucket ARN sebagai konteks enkripsi.

Untuk informasi selengkapnya tentang konteks enkripsi dan Kunci Bucket S3, lihat Konteks enkripsi.

CloudTrail acara untuk AWS KMS

Setelah Anda mengaktifkan S3 Bucket Key, AWS KMS CloudTrail peristiwa Anda mencatat bucket ARN alih-alih objek ARN Anda. Selain itu, Anda melihat lebih sedikit CloudTrail peristiwa KMS untuk SSE-KMS objek di log Anda. Karena materi utama terbatas waktu di Amazon S3, lebih sedikit permintaan yang dibuat. AWS KMS

Menggunakan kunci Bucket S3 dengan replikasi

Anda dapat menggunakan S3 Bucket Keys dengan Same-Region Replikasi (SRR) dan Cross-Region Replikasi (CRR).

Ketika Amazon S3 mereplikasi objek terenkripsi, umumnya mempertahankan pengaturan enkripsi objek replika di bucket tujuan. Namun, jika objek sumber tidak dienkripsi dan bucket tujuan Anda menggunakan enkripsi default atau Kunci Bucket S3, Amazon S3 mengenkripsi objek dengan konfigurasi bucket tujuan.

Contoh berikut menggambarkan bagaimana Kunci Bucket S3 bekerja dengan replikasi. Untuk informasi selengkapnya, lihat Mereplikasi objek terenkripsi (SSE-S3, SSE-KMS, DSSE-KMS, SSE-C). 

Bekerja dengan Kunci Bucket S3

Untuk informasi lebih lanjut tentang mengaktifkan dan bekerja dengan Kunci Bucket S3, lihat bagian berikut: