amazon-web-services - 我们如何为 S3 中的特定文件夹启用加密

Question

我创建了一个 S3 存储桶。我想加密 S3 存储桶中特定文件夹内的对象。我该怎么做？

Answer 1

• We have 服务器端加密和客户端加密
• 使用服务器端加密保护数据 根据您选择管理加密 key 的方式，您有三个相互排斥的选项 aws docs
• 将服务器端加密与 Amazon S3 托管 key (SSE-S3) 结合使用
• 使用存储在 AWS KMS (SSE-KMS) 中的 key 进行服务器端加密

• 使用服务器端加密和客户提供的 key (SSE-C)

  使用服务器端加密保护数据 (SSE-S3)

• 您可以将特定存储桶的策略设置为仅允许该存储桶内所有对象的加密数据 aws doc

• 请注意，在您的情况下，S3 政策会像这样，假设这是存储桶结构 outbound/globalscape/dlearn。

• 转到 aws 控制台 --> 点击出站文件夹 --> 然后点击权限 --> 存储桶策略 --> 并粘贴以下策略并保存

  存储桶的 S3 策略

{
  "Version": "2012-10-17",
  "Id": "PutObjPolicy",
  "Statement": [
    {
      "Sid": "DenyIncorrectEncryptionHeader",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::outbound/globalscape/dlearn/*",
      "Condition": {
        "StringNotEquals": {
          "s3:x-amz-server-side-encryption": "AES256"
        }
      }
    },
    {
      "Sid": "DenyUnEncryptedObjectUploads",
      "Effect": "Deny",
      "Principal": "*",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::outbound/globalscape/dlearn/*",
      "Condition": {
        "Null": {
          "s3:x-amz-server-side-encryption": "true"
        }
      }
    }
  ]
}

• 存储桶策略拒绝上传对象的权限，除非请求包含 x-amz-server-side-encryption header 以请求服务器端加密。

"s3:x-amz-server-side-encryption": "AES256"

• 这个 aws 博客 How to Prevent Uploads of Unencrypted Objects to Amazon S3这基本上是在检查博客中的转至(实现用例 #1:使用 SSE-S3 托管 key )。
• 在上面的博客中转到测试解决方案，他们在其中使用策略模拟器进行测试。还有他们给你的用户政策，你将不得不替换这个位 "Resource": "arn:aws:s3:::outbound/globalscape/dlearn/*" object in the attached又必须是你的桶 arn:aws:s3:::outbound/globalscape/dlearn/。
• 然后，您可以在保持值 AES256 并保持空白后对其进行测试。