我该使用 AWS KMS 管理的密钥还是客户管理的 KMS 密钥来加密 Amazon S3 中的对象？

上次更新日期：2021 年 11 月 1 日

AWS KMS 管理原定设置的 aws/s3 KMS 密钥，但您可以完全控制客户管理的密钥。

注意：此 KMS 密钥在 Amazon S3 控制台中的名称为 aws/s3，如果您使用 AWS Command Line Interface (AWS CLI)，则无需指定该名称或 ID。

如果有下列任何情况，请考虑使用原定设置的 aws/s3 KMS 密钥：

• 您上传或访问 S3 对象时将使用的 AWS Identity and Access Management (IAM) 委托人与该 KMS 密钥来自同一 AWS 账户。
• 您不希望管理 KMS 密钥的策略。

如要使用原定设置的 aws/s3 KMS 密钥进行对象加密，请在上载期间将加密方法定义为 SSE-KMS，但不要指定密钥：

注意：如果在运行 AWS CLI 命令时遇到错误，请确保您使用的是最新版本的 AWS CLI。

如果有下列任何情况，请考虑使用客户管理的密钥：

• 您希望创建、转动、禁用密钥或定义其访问控制。
• 您希望授予对 S3 对象的跨账户访问权限。您可以配置客户管理的密钥的策略以允许来自其他账户的访问。

如要使用客户管理的密钥 进行对象加密，请在上载期间将加密方法选择为 SSE-KMS。然后将密钥指定为您的客户管理的密钥 (--sse-kms-key-id)：

要控制对客户管理的密钥的访问，请修改密钥策略。有关如何创建密钥策略的更多信息，请参阅示例密钥策略。