我该使用 AWS KMS 管理的密钥还是自定义 AWS KMS 密钥来加密 Amazon S3 中的对象?

上次更新时间:2020 年 10 月 21 日

我希望对我在 Amazon Simple Storage Service (Amazon S3) 上存储的对象进行 AWS Key Management Service 服务器端加密 (SSE-KMS)。我应该使用自定义 AWS KMS 密钥(KMS 密钥)吗? 还是应该使用 AWS KMS 托管的 KMS 密钥(称作 aws/s3)? 这两者之间有何区别?

解决方法

AWS KMS 管理原定设置的 aws/s3 KMS 密钥,但您可以完全控制自定义 KMS 密钥。

使用原定设置的 aws/s3 KMS 密钥

注意:此 KMS 密钥在 Amazon S3 控制台中的名称为 aws/s3,如果您使用 AWS Command Line Interface (AWS CLI),则无需指定该名称或 ID。

如果有下列任何情况,请考虑使用原定设置的 aws/s3 KMS 密钥:

  • 您上传或访问 S3 对象时将使用的 AWS Identity and Access Management (IAM) 委托人与该 KMS 密钥来自同一 AWS 账户。
  • 您不希望管理 KMS 密钥的策略。
  • 您不希望轮换 KMS 密钥。

如要使用原定设置的 aws/s3 KMS 密钥进行对象加密,请在上载期间将加密方法定义为 SSE-KMS,但不要指定密钥:

aws s3 cp ./mytextfile.txt s3://DOC-EXAMPLE-BUCKET/ --sse aws:kms

注意:如果在运行 AWS CLI 命令时遇到错误,请确保您使用的是最新版本的 AWS CLI

使用自定义 KMS 密钥

如果有下列任何情况,请考虑使用自定义 KMS 密钥:

  • 您希望创建、轮换、禁用 KMS 密钥或定义其访问控制。
  • 您希望授予对 S3 对象的跨账户访问权限。您可以配置自定义 KMS 密钥的策略以允许来自其他账户的访问。

如要使用您创建的自定义 KMS 密钥进行对象加密,请在上载期间将加密方法定义为 SSE-KMS。然后将密钥指定为您的自定义 KMS 密钥 (--sse-kms-key-id):

aws s3 cp ./mytextfile.txt s3://DOC-EXAMPLE-BUCKET/ --sse aws:kms --sse-kms-key-id testkey

要控制对自定义 KMS 密钥的访问,请修改密钥策略。有关如何创建 AWS KMS 密钥策略的更多信息,请参阅示例密钥策略。 


这篇文章对您有帮助吗?


您是否需要账单或技术支持?