Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Utilizzo della crittografia lato server con AWS KMS keys (SSE-KMS) nei bucket di directory
I controlli di sicurezza in ingresso AWS KMS possono aiutarti a soddisfare i requisiti di conformità relativi alla crittografia. Puoi scegliere di configurare i bucket di directory per utilizzare la crittografia lato server con AWS Key Management Service (AWS KMS) keys (SSE-KMS) e utilizzare queste chiavi KMS per proteggere i tuoi dati nei bucket di directory Amazon S3. Per ulteriori informazioni su, consulta. SSE-KMS Utilizzo della crittografia lato server con AWS KMS chiavi () SSE-KMS
Permissions
Per caricare o scaricare un oggetto crittografato con un indirizzo da o AWS KMS key verso Amazon S3, sono necessarie kms:GenerateDataKey le kms:Decrypt autorizzazioni necessarie sulla chiave. Per ulteriori informazioni, consulta l'argomento relativo all'autorizzazione concessa agli utenti delle chiavi di utilizzare una chiave KMS per le operazioni di crittografia nella Guida per gli sviluppatori di AWS Key Management Service . Per informazioni sulle AWS KMS autorizzazioni necessarie per i caricamenti in più parti, consulta. Autorizzazioni e API per il caricamento in più parti
Per ulteriori informazioni sulle chiavi KMS per, consulta. SSE-KMS Specificare la crittografia lato server con AWS KMS (SSE-KMS)
Argomenti
AWS KMS keys
La tua SSE-KMS configurazione può supportare solo 1 chiave gestita dal cliente per bucket di directory per tutta la durata del bucket. Chiave gestita da AWS (aws/s3) non è supportato. Inoltre, dopo aver specificato una chiave gestita dal cliente per SSE-KMS, non è possibile sovrascrivere la chiave gestita dal cliente per la configurazione del bucket. SSE-KMS
Puoi identificare la chiave gestita dal cliente che hai specificato per la SSE-KMS configurazione del bucket nel modo seguente:
Si effettua una richiesta di operazione API
HeadObjectper trovare il valore dix-amz-server-side-encryption-aws-kms-key-idnella risposta.
Per utilizzare una nuova chiave gestita dal cliente per i propri dati, si consiglia di copiare gli oggetti esistenti in un nuovo bucket della directory con una nuova chiave gestita dal cliente.
Quando si specifica una chiave gestita dal cliente AWS KMS per la crittografia nel bucket della directory, utilizzare solo l'ID chiave o l'ARN chiave. Il formato alias della chiave KMS non è supportato.
Per ulteriori informazioni sulle chiavi KMS per SSE-KMS, vedereAWS KMS keys.
Utilizzo SSE-KMS per operazioni su più account
Quando si utilizza la crittografia per le operazioni tra account nei bucket della directory, tieni presente quanto segue:
-
Se desideri garantire l'accesso multi-account agli oggetti S3, configura una policy di una chiave gestita dal cliente per consentire l'accesso da un altro account.
-
Per specificare una chiave gestita dal cliente, è necessario utilizzare un ARN di chiave KMS completamente qualificato.
Chiavi bucket Amazon S3
Le S3 Bucket Keys sono sempre abilitate per le operazioni GET e PUT in un bucket di directory e non possono essere disabilitate. Le chiavi S3 Bucket non sono supportate quando si copiano oggetti SSE-KMS crittografati da bucket generici a bucket di directory, da bucket di directory a bucket generici o tra bucket di directory CopyObject UploadPartCopy, tramite l'Copyoperazione in Batch Operations o i job. import In questo caso, Amazon S3 effettua una chiamata AWS KMS ogni volta che viene effettuata una richiesta di copia di un oggetto. KMS-encrypted
Per le operazioni API sugli endpoint zonali (a livello di oggetto), eccetto CopyObject e UploadPartCopy, si autenticano e autorizzano le richieste con una bassa latenza. CreateSession Si consiglia di utilizzare la configurazione di crittografia predefinita del bucket e di non sovrascrivere la crittografia predefinita del bucket nelle richieste CreateSession o nelle richieste di oggetti PUT. I nuovi oggetti vengono quindi crittografati automaticamente con le impostazioni di crittografia desiderate. Per crittografare i nuovi oggetti in un bucket di directory con SSE-KMS, è necessario specificare SSE-KMS come configurazione di crittografia predefinita del bucket di directory una chiave KMS (in particolare, una chiave gestita dal cliente). https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk Quindi, quando viene creata una sessione per le operazioni dell'API Zonal Endpoint, i nuovi oggetti vengono automaticamente crittografati e decrittografati con SSE-KMS le chiavi S3 Bucket durante la sessione. Per ulteriori informazioni sui comportamenti di crittografia che sovrascrivono nei bucket di directory, vedi Specificare la crittografia lato server con per il caricamento di nuovi oggetti. AWS KMS
Le chiavi S3 Bucket vengono utilizzate per un periodo di tempo limitato all'interno di Amazon S3, riducendo ulteriormente la necessità per Amazon S3 di effettuare richieste per completare le operazioni di crittografia. AWS KMS Per ulteriori informazioni sull'uso delle chiavi S3 Bucket, consulta Chiavi bucket Amazon S3 e Riduzione dei costi SSE-KMS con Amazon S3 Bucket Keys.
Richiedendo SSE-KMS
Per richiedere SSE-KMS tutti gli oggetti in un particolare bucket di directory, puoi utilizzare una bucket policy. Ad esempio, quando utilizzi l'operazione CreateSession API per concedere l'autorizzazione a caricare un nuovo oggetto (PutObject,, eCreateMultipartUpload)CopyObject, la seguente policy del bucket nega l'autorizzazione di caricamento dell'oggetto (s3express:CreateSession) a tutti se la CreateSession richiesta non include un'x-amz-server-side-encryption-aws-kms-key-idintestazione che richieda. SSE-KMS
Per richiedere l'uso di un particolare AWS KMS key per crittografare gli oggetti in un bucket, puoi utilizzare la chiave condizionale. s3express:x-amz-server-side-encryption-aws-kms-key-id Per specificare la chiave KMS, devi utilizzare una chiave Amazon Resource Name (ARN) nel formato indicato. arn:aws:kms: AWS Identity and Access Management non convalida se la stringa per esiste. region:acct-id:key/key-ids3express:x-amz-server-side-encryption-aws-kms-key-id L'ID AWS KMS chiave utilizzato da Amazon S3 per la crittografia degli oggetti deve corrispondere all'ID della AWS KMS chiave nella policy, altrimenti Amazon S3 respinge la richiesta.
Per ulteriori informazioni su come SSE-KMS utilizzarlo per il caricamento di nuovi oggetti, consulta. Specificare la crittografia lato server con AWS KMS (SSE-KMS) per il caricamento di nuovi oggetti nei bucket di directory
Per un elenco completo delle chiavi di condizione specifiche per i bucket di directory, consulta Autorizzazione delle operazioni API dell'endpoint regionale con IAM.
Contesto di crittografia
Per i bucket di directory, un contesto di crittografia è un insieme di coppie chiave-valore che contiene informazioni contestuali sui dati. Non è supportato un valore aggiuntivo del contesto di crittografia. Per ulteriori informazioni sul contesto di crittografia, consulta Contesto di crittografia.
Per impostazione predefinita, se utilizzi SSE-KMS un bucket di directory, Amazon S3 utilizza il bucket Amazon Resource Name (ARN) come coppia di contesti di crittografia:
arn:aws:s3express:region:account-id:bucket/bucket-base-name--zone-id--x-s3
Assicurati che le tue policy o policy AWS KMS chiave IAM utilizzino il bucket ARN come contesto di crittografia.
Facoltativamente, puoi fornire una coppia di contesti di crittografia esplicita utilizzando l'x-amz-server-side-encryption-contextintestazione in una richiesta API Zonal Endpoint, ad esempio. CreateSession Il valore di questa intestazione è una Base64-encoded stringa di un JSON UTF-8 codificato, che contiene il contesto di crittografia come coppie chiave-valore. Per i bucket di directory, il contesto di crittografia deve corrispondere al contesto di crittografia predefinito: il nome della risorsa Amazon (ARN) del bucket. Inoltre, poiché il contesto di crittografia non è criptato, assicurarsi che non contenga informazioni sensibili.
È possibile utilizzare il contesto di crittografia per identificare e categorizzare le operazioni di crittografia. Puoi anche utilizzare il valore ARN del contesto di crittografia predefinito per tenere traccia delle richieste pertinenti AWS CloudTrail visualizzando quale bucket di directory ARN è stato utilizzato con quale chiave di crittografia.
Nel requestParameters campo di un file di CloudTrail log, se si utilizza SSE-KMS in un bucket di directory, il valore del contesto di crittografia è l'ARN del bucket.
"encryptionContext": { "aws:s3express:arn": "arn:aws:s3:::arn:aws:s3express:" }region:account-id:bucket/bucket-base-name--zone-id--x-s3
Inoltre, per la crittografia degli oggetti SSE-KMS in un bucket di directory, AWS KMS CloudTrail gli eventi registrano l'ARN del bucket anziché l'ARN dell'oggetto.
Invio di richieste per AWS KMS oggetti crittografati
È possibile accedere ai bucket di directory solo tramite HTTPS (TLS). Inoltre, i bucket di directory firmano le richieste utilizzando AWS Signature Version 4 (Sigv4). Per ulteriori informazioni sull'invio di richieste di oggetti AWS KMS crittografati, vedere. Invio di richieste per AWS KMS oggetti crittografati
Se l'oggetto utilizza SSE-KMS, non inviare intestazioni di richiesta di crittografia per GET richieste e HEAD richieste. In caso contrario, riceverai un errore HTTP 400 Bad Request (HTTP 400 - Richiesta non valida).
Verifica della SSE-KMS crittografia nei bucket di directory
Per verificare l'utilizzo delle AWS KMS chiavi per i dati SSE-KMS crittografati, puoi utilizzare AWS CloudTrail i log. Puoi ottenere informazioni dettagliate sulle tue operazioni crittografiche, ad esempio GenerateDataKey e Decrypt. CloudTrail supporta numerosi valori di attributo per filtrare la ricerca, tra cui nome dell'evento, nome utente e origine dell'evento.
