amazon-web-services - Amazon S3 存储桶加密 - KMS 与 AES256

Question

当我 SSE-S3 使用 AES256 加密存储桶(对象)并将其公开时。桶的内容是可见的。但是，AWS KMS 并非如此，它会引发以下错误:
Requests specifying Server Side Encryption with AWS KMS managed keys require AWS Signature Version 4.
最终用户如何能够查看 AES256 加密的对象？

Use Server-Side Encryption with Amazon S3-Managed Keys (SSE-S3) – Each object is encrypted with a unique key employing strong multi-factor encryption. As an additional safeguard, it encrypts the key itself with a master key that it regularly rotates. Amazon S3 server-side encryption uses one of the strongest block ciphers available, 256-bit Advanced Encryption Standard (AES-256), to encrypt your data.

据此，我的理解是，如果一个对象被加密，它需要解密 key 或在 AWS 世界中访问正在解密它的 key 。请解释 AES256 与 KMS 有何不同。 (AWS 在 KMS 上提供的关键策略除外)

Answer 1

无论您使用的是 SSE-S3 还是 SSE-KMS，S3 中的服务器端加密始终是 AES256。

在这两种情况下，S3 都使用 key 透明地加密对象以进行存储，并根据请求解密对象。在这两种情况下，访问对象的用户都看不到加密的对象。

使用 SSE-S3，S3 拥有并控制 key ，因此上传或下载权限包括 S3 访问其访问对象所需的 key 的隐式权限。

无论您使用 SSE-S3 还是 SSE-KMS，加密级别都是相同的，但 SSE-KMS 对访问对象施加了更严格的安全限制，包括强制使用 HTTPS 和 Signature Version 4。