Protezione e crittografia dei dati

La SSE-KMS configurazione può supportare solo 1 chiave gestita dal cliente per bucket di directory per tutta la durata del bucket. Chiave gestita da AWS (aws/s3) non è supportato. Inoltre, dopo aver specificato una chiave gestita dal cliente per SSE-KMS, non è possibile sovrascrivere la chiave gestita dal cliente per la configurazione del bucket. SSE-KMS

Puoi identificare la chiave gestita dal cliente che hai specificato per la SSE-KMS configurazione del bucket nel modo seguente:

Per utilizzare una nuova chiave gestita dal cliente per i propri dati, si consiglia di copiare gli oggetti esistenti in un nuovo bucket della directory con una nuova chiave gestita dal cliente.

Per le operazioni API sugli endpoint zonali (a livello di oggetto), ad eccezione di CopyObject e UploadPartCopy, si autenticano e autorizzano le richieste con una bassa latenza. CreateSession Si consiglia di utilizzare la configurazione di crittografia predefinita del bucket e di non sovrascrivere la crittografia predefinita del bucket nelle richieste CreateSession o nelle richieste di oggetti PUT. I nuovi oggetti vengono quindi crittografati automaticamente con le impostazioni di crittografia desiderate. Per crittografare i nuovi oggetti in un bucket di directory con SSE-KMS, è necessario specificare SSE-KMS come configurazione di crittografia predefinita del bucket di directory una chiave KMS (in particolare, una chiave gestita dal cliente). https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk Quindi, quando viene creata una sessione per le operazioni dell'API Zonal Endpoint, i nuovi oggetti vengono automaticamente crittografati e decrittografati con SSE-KMS le chiavi S3 Bucket durante la sessione. Per ulteriori informazioni sui comportamenti di crittografia che sovrascrivono nei bucket di directory, vedi Specificare la crittografia lato server con per il caricamento di nuovi oggetti. AWS KMS

Nelle chiamate API degli endpoint zonali (eccetto CopyObject e UploadPartCopy), non puoi sovrascrivere i valori delle impostazioni di crittografia (x-amz-server-side-encryption,, e) della richiesta. x-amz-server-side-encryption-aws-kms-key-id x-amz-server-side-encryption-context x-amz-server-side-encryption-bucket-key-enabled CreateSession Non è necessario specificare esplicitamente i valori delle impostazioni di crittografia nelle chiamate API dell'endpoint di zona; Amazon S3 utilizzerà i valori delle impostazioni di crittografia dalla richiesta CreateSession per proteggere i nuovi oggetti nel bucket della directory.

Per CopyObject crittografare le copie di nuovi oggetti in un bucket di directory con SSE-KMS, è necessario specificare SSE-KMS come configurazione di crittografia predefinita del bucket di directory una chiave KMS (in particolare, una chiave gestita dal cliente). https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk Quindi, quando si specificano le impostazioni di crittografia sul lato server per le copie di nuovi oggetti con SSE-KMS, è necessario assicurarsi che la chiave di crittografia sia la stessa chiave gestita dal cliente specificata per la configurazione di crittografia predefinita del bucket di directory. Per UploadPartCopy crittografare le copie di nuove parti di oggetti in un bucket di directory con SSE-KMS, devi specificare SSE-KMS come configurazione di crittografia predefinita del bucket di directory una chiave KMS (in particolare, una chiave gestita dal cliente). https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#customer-cmk Non è possibile specificare le impostazioni di crittografia sul lato server per le nuove copie delle parti dell'oggetto nelle intestazioni della richiesta. SSE-KMS UploadPartCopy Inoltre, le impostazioni di crittografia fornite nella CreateMultipartUpload richiesta devono corrispondere alla configurazione di crittografia predefinita del bucket di destinazione.

Le S3 Bucket Keys sono sempre abilitate per le operazioni GET e PUT in un bucket di directory e non possono essere disabilitate. Le chiavi S3 Bucket non sono supportate quando si copiano oggetti SSE-KMS crittografati da bucket generici a bucket di directory, da bucket di directory a bucket generici o tra bucket di directory, tramite CopyObject UploadPartCopy, l'Copyoperazione in Batch Operations o i job. import In questo caso, Amazon S3 effettua una chiamata AWS KMS ogni volta che viene effettuata una richiesta di copia di un oggetto. KMS-encrypted

Quando si specifica una chiave gestita dal cliente AWS KMS per la crittografia nel bucket della directory, utilizzare solo l'ID chiave o l'ARN chiave. Il formato alias della chiave KMS non è supportato.