amazon-s3 - Amazon S3 服务器端加密存储桶策略问题

Question

我使用的存储桶策略拒绝任何非 SSL 通信和 UnEncryptedObjectUploads。

{
    "Id": "Policy1361300844915",
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "DenyUnSecureCommunications",
            "Action": "s3:*",
            "Effect": "Deny",
            "Resource": "arn:aws:s3:::my-bucket",
            "Condition": {
                "Bool": {
                    "aws:SecureTransport": false
                }
            },
            "Principal": {
                "AWS": "*"
            }
        },
        {
            "Sid": "DenyUnEncryptedObjectUploads",
            "Action": "s3:PutObject",
            "Effect": "Deny",
            "Resource": "arn:aws:s3:::my-bucket/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-server-side-encryption": "AES256"
                }
            },
            "Principal": {
                "AWS": "*"
            }
        }
    ]
}

此策略适用于支持 SSL 和 SSE 设置的应用程序，但仅适用于正在上传的对象。

我遇到了这些问题:

1. 在使用该存储桶策略对存储桶中的文件夹和文件进行重命名时，CloudBerry Explorer 和 S3 浏览器失败。在我仅在存储桶策略中应用 SSL 要求后，这些浏览器成功完成了文件/文件夹重命名。

只有在我通过本地计算机在“选项”中启用“Amazon S3 复制/移动”(速度较慢且昂贵)后，CloudBerry Explorer 才能够使用完整的 SSL/SSE 存储桶策略重命名对象。

由于该限制性策略，Amazon S3 内的所有复制/移动都失败。

这意味着我们无法控制不是源自操作本地对象的应用程序的复制/移动过程。至少上面提到的CloudBerry Options证明了这一点。

但我可能是错的，这就是我发布这个问题的原因。

就我而言，启用该存储桶策略后，S3 管理控制台将变得毫无用处。用户无法创建、删除文件夹，只能上传文件。

我的存储桶政策有问题吗？我不知道那些用于对象操作的 Amazon S3 机制。

Amazon S3 处理外部请求(API/http header )和内部请求的方式是否不同？

是否可以将此策略仅应用于上传而不应用于内部 Amazon S3 GET/PUT 等？我已经尝试使用存储桶 URL 进行 http 引用，但没有成功。

具有 SSL/SSE 要求的存储桶策略对于我的实现是强制性的。

任何想法将不胜感激。

提前谢谢您。

Answer 1

恕我直言，没有办法自动告诉 Amazon S3 为每个 PUT 请求打开 SSE。因此，我要调查的是以下内容:

• 编写一个列出您的存储桶的脚本

• 对于每个对象，获取元数据

• 如果未启用 SSE，请使用 PUT COPY API ( http://docs.aws.amazon.com/AmazonS3/latest/API/RESTObjectCOPY.html ) 添加 SSE“(...)复制对象时，您可以保留大部分元数据(默认)或指定新元数据(...)”

• 如果PUT操作成功，则使用DELETE对象API删除原始对象

然后根据您的业务需求每小时或每天运行该脚本。您可以在 Python 中使用 S3 API ( http://boto.readthedocs.org/en/latest/ref/s3.html ) 来更轻松地编写脚本。

如果这种“写入后更改”解决方案对您的业务而言无效，您可以在不同级别工作

• 在 API 客户端和 S3 API 之间使用代理(例如站点上的反向代理)，并将其配置为为每个 PUT/POST 请求添加 SSE HTTP header 。开发者必须通过代理且无权向 S3 API 端点发出请求

• 编写一个包装器库来自动添加 SSE 元数据，并要求开发人员在 SDK 之上使用您的库。

今天晚些时候是组织中的纪律问题，因为在技术层面上执行这些纪律并不容易。

塞布