Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Konfigurieren der Standardverschlüsselung
Wichtig
Amazon S3 wendet jetzt serverseitige Verschlüsselung mit von Amazon S3 verwalteten Schlüsseln (SSE-S3) als Basisverschlüsselungsstufe für jeden Bucket in Amazon S3 an. Ab dem 5. Januar 2023 werden alle neuen Objekt-Uploads auf Amazon S3 ohne zusätzliche Kosten und ohne Auswirkungen auf die Leistung automatisch verschlüsselt. Der automatische Verschlüsselungsstatus für die Standardverschlüsselungskonfiguration des S3-Buckets und für das Hochladen neuer Objekte ist in CloudTrail Logs, S3 Inventory, S3 Storage Lens, der Amazon S3-Konsole und als zusätzlicher Amazon S3-API-Antwort-Header in den SDKs AWS CLI und AWS verfügbar. Weitere Informationen finden Sie unter Häufig gestellte Fragen zur Standardverschlüsselung.
Bei Amazon S3-Buckets ist die Bucket-Verschlüsselung standardmäßig aktiviert, und neue Objekte werden automatisch mithilfe der serverseitigen Verschlüsselung mit von Amazon S3 verwalteten Schlüsseln () verschlüsselt. SSE-S3 Diese Verschlüsselung gilt für alle neuen Objekte in Ihren Amazon-S3-Buckets und es fallen keine Kosten für Sie an.
Wenn Sie mehr Kontrolle über Ihre Verschlüsselungsschlüssel benötigen, z. B. bei der Verwaltung der Schlüsselrotation und der Gewährung von Zugriffsrichtlinien, können Sie wählen, ob Sie die serverseitige Verschlüsselung mit AWS Key Management Service (AWS KMS) -Schlüsseln (SSE-KMS) oder die duale serverseitige Verschlüsselung mit Schlüsseln () verwenden möchten. AWS KMS DSSE-KMS Weitere Informationen SSE-KMS dazu finden Sie unter. Geben Sie die serverseitige Verschlüsselung an mit AWS KMS (SSE-KMS) Weitere Informationen zu finden DSSE-KMS Sie unterVerwenden Sie die duale serverseitige Verschlüsselung mit AWS KMS Schlüssel () DSSE-KMS.
Wenn Sie einen KMS-Schlüssel verwenden möchten, der sich im Besitz eines anderen Kontos befindet, müssen Sie über die Berechtigung zum Verwenden des Schlüssels verfügen. Weitere Informationen zu kontoübergreifenden Berechtigungen für KMS-Schlüssel finden Sie unter Erstellen von KMS-Schlüsseln, die von anderen Konten verwendet werden können im Entwicklerhandbuch zu AWS Key Management Service .
Wenn Sie die Standard-Bucket-Verschlüsselung auf einstellen SSE-KMS, können Sie auch einen S3-Bucket-Schlüssel konfigurieren, um Ihre AWS KMS Anforderungskosten zu senken. Weitere Informationen finden Sie unter Reduzierung der Kosten von SSE-KMS mit Amazon S3 Bucket Keys.
Anmerkung
Wenn Sie diese Option verwenden PutBucketEncryption, um Ihre Standard-Bucket-Verschlüsselung auf einzustellen SSE-KMS, sollten Sie überprüfen, ob Ihre KMS-Schlüssel-ID korrekt ist. Amazon S3 validiert die in PutBucketEncryption Anfragen angegebene KMS-Schlüssel-ID nicht.
Es gibt keine zusätzlichen Gebühren für die Nutzung von Standard-Verschlüsselung für S3-Buckets. Für Anforderungen zum Konfigurieren des Standardverschlüsselungsverhaltens werden Standardgebühren für Amazon-S3-Anforderungen berechnet. Informationen zu Preisen finden Sie unter Amazon S3 – Preise
Server-side Die Verschlüsselung mit vom Kunden bereitgestellten Schlüsseln (SSE-C) wird für die Standardverschlüsselung nicht unterstützt.
Sie können die Amazon S3-Standardverschlüsselung für einen S3-Bucket konfigurieren, indem Sie die Amazon S3-Konsole, die AWS SDKs, die Amazon S3-REST-API und die AWS Command Line Interface ()AWS CLI verwenden.
Änderungen, die Sie vor dem Aktivieren der Standardverschlüsselung beachten sollten
Nachdem Sie die Standard-Verschlüsselung für einen Bucket aktiviert haben, gilt das folgende Verschlüsselungsverhalten:
-
Es gibt keine Änderung der Verschlüsselung der Objekte, die vor der Aktivierung der Standard-Verschlüsselung im Bucket vorhanden waren.
-
Wenn Sie Objekte nach der Aktivierung der Standard-Verschlüsselung hochladen:
-
Wenn Ihre
PUT-Abfrage-Header keine Verschlüsselungsinformationen mit einschließen, verwendet Amazon S3 die Standardverschlüsselungseinstellungen des Buckets, um die Objekte zu verschlüsseln. -
Wenn Ihre
PUT-Anfrage-Header Verschlüsselungsinformationen mit einschließen, verwendet Amazon S3 die Verschlüsselungsinformationen derPUT-Anfrage, um Objekte zu verschlüsseln, bevor sie in Amazon S3 gespeichert werden.
-
-
Wenn Sie die DSSE-KMS Option SSE-KMS oder für Ihre Standardverschlüsselungskonfiguration verwenden, unterliegen Sie den Quoten für Anfragen pro Sekunde (RPS) von. AWS KMS Weitere Informationen zu AWS KMS -Kontingenten und zum Anfordern einer Kontingenterhöhung finden Sie unter Kontingente im Entwicklerhandbuch zu AWS Key Management Service .
-
Wenn dieser Bucket als Ziel für die Protokollierung des Serverzugriffs verwendet wird, muss der Ziel-Bucket die von Amazon S3 verwalteten Schlüssel (SSE-S3) verwenden. Wenn der Ziel-Bucket die SSE-KMS Standardverschlüsselung verwendet, liefert Amazon S3 möglicherweise Protokollobjekte, die mit einem Schlüssel verschlüsselt sind, auf den Sie nicht zugreifen können. Um dieses Problem zu beheben, ändern Sie die Standardverschlüsselung des Ziel-Buckets auf SSE-S3. Weitere Informationen zu Server-Zugriffsprotokollen finden Sie unter Protokollieren von Anfragen mit Server-Zugriffsprotokollierung.
Anmerkung
Objekte, die hochgeladen wurden, bevor die Standardverschlüsselung aktiviert wurde, werden nicht verschlüsselt. Weitere Informationen zum Verschlüsseln vorhandener Objekte finden Sie unter Einstellen des Verhaltens der serverseitigen Verschlüsselung für Amazon S3-Buckets.
Konfigurieren der Standardverschlüsselung für einen Amazon-S3-Bucket
Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die Amazon S3-Konsole unter https://console.aws.amazon.com/s3/
. -
Wählen Sie im linken Navigationsbereich Buckets aus.
-
Wählen Sie in der Liste Buckets den Namen des von Ihnen erstellten Buckets aus.
-
Wählen Sie die Registerkarte Eigenschaften aus.
-
Wählen Sie unter Default encryption (Standard-Verschlüsselung) Edit (Bearbeiten) aus.
-
Wählen Sie eine der folgenden Optionen unter Verschlüsselungstyp aus, um die Verschlüsselung zu konfigurieren:
-
Server-side Verschlüsselung mit von Amazon S3 verwalteten Schlüsseln (SSE-S3)
-
Server-side Verschlüsselung mit AWS Key Management Service Schlüsseln (SSE-KMS)
-
Dual-layer serverseitige Verschlüsselung mit AWS Key Management Service Schlüsseln () DSSE-KMS
Wichtig
Wenn Sie die DSSE-KMS Optionen SSE-KMS oder für Ihre Standardverschlüsselungskonfiguration verwenden, unterliegen Sie den Quoten für Anfragen pro Sekunde (RPS) von. AWS KMS Weitere Informationen zu AWS KMS Kontingenten und zur Beantragung einer Kontingenterhöhung finden Sie unter Kontingente im AWS Key Management Service Entwicklerhandbuch.
Buckets und neue Objekte werden standardmäßig mit verschlüsselt SSE-S3, es sei denn, Sie geben eine andere Art der Standardverschlüsselung für Ihre Buckets an. Weitere Informationen zur Standardverschlüsselung finden Sie unter Einstellen des Verhaltens der serverseitigen Verschlüsselung für Amazon S3-Buckets.
Weitere Informationen zur Datenverschlüsselung mit der serverseitigen Amazon-S3-Verschlüsselung finden Sie unter Verwendung der serverseitigen Verschlüsselung mit von Amazon S3 verwalteten Schlüsseln () SSE-S3.
-
-
Wenn Sie Server-side Verschlüsselung mit AWS Key Management Service Schlüsseln (SSE-KMS) oder Dual-layer serverseitige Verschlüsselung mit AWS Key Management Service Schlüsseln (DSSE-KMS) gewählt haben, gehen Sie wie folgt vor:
-
Geben Sie unter AWS KMS -Schlüssel Ihren KMS-Schlüssel auf eine der folgenden Arten an:
-
Um aus einer Liste verfügbarer KMS-Schlüssel auszuwählen, wählen Sie Choose from your AWS KMS keys aus und wählen Sie Ihren KMS-Schlüssel aus der Liste der verfügbaren Schlüssel aus.
Sowohl der Von AWS verwalteter Schlüssel (
aws/s3) als auch der vom Kunden verwaltete Schlüssel werden in dieser Liste angezeigt. Weitere Informationen zu vom Kunden verwalteten Schlüsseln finden Sie im AWS Key Management Service Entwicklerhandbuch unter AWS Kundenschlüssel und Schlüssel. -
Wählen Sie zum Eingeben des KMS-Schlüssel-ARN AWS KMS key -ARN eingeben aus und geben Sie Ihren KMS-Schlüssel-ARN in das angezeigte Feld ein.
-
Um in der AWS KMS Konsole einen neuen, vom Kunden verwalteten Schlüssel zu erstellen, wählen Sie KMS-Schlüssel erstellen aus.
Weitere Informationen zum Erstellen eines AWS KMS key Schlüssels finden Sie im AWS Key Management Service Entwicklerhandbuch unter Schlüssel erstellen.
Wichtig
Sie können nur KMS-Schlüssel verwenden, die im selben AWS-Region Bucket aktiviert sind. Wenn Sie Choose from your KMS master keys (Auswahl aus Ihren KMS-Schlüsseln) auswählen, listet die S3-Konsole nur 100 KMS-Schlüssel pro Region auf. Wenn Sie über mehr als 100 KMS-Schlüssel in derselben Region verfügen, können Sie nur die ersten 100 KMS-Schlüssel in der S3-Konsole sehen. Um einen nicht in der Konsole aufgeführten KMS-Schlüssel zu verwenden, wählen Sie AWS KMS key -ARN eingeben aus und geben Sie den KMS-Schlüssel-ARN ein.
Wenn Sie eine AWS KMS key für die serverseitige Verschlüsselung in Amazon S3 verwenden, müssen Sie einen KMS-Schlüssel für die symmetrische Verschlüsselung wählen. Amazon S3 unterstützt nur KMS-Schlüssel mit symmetrischer Verschlüsselung. Weitere Informationen zu diesen Schlüsseln finden Sie unter Symmetrische KMS-Verschlüsselungsschlüssel im Entwicklerhandbuch für AWS Key Management Service .
Weitere Informationen zur Verwendung SSE-KMS mit Amazon S3 finden Sie unter. Verwenden der serverseitigen Verschlüsselung mit AWS KMS Schlüssel () SSE-KMS Weitere Informationen zur Verwendung finden DSSE-KMS Sie unterVerwenden Sie die duale serverseitige Verschlüsselung mit AWS KMS Schlüssel () DSSE-KMS.
-
-
Wenn Sie Ihren Bucket so konfigurieren, dass er die Standardverschlüsselung mit verwendet SSE-KMS, können Sie auch einen S3-Bucket-Schlüssel aktivieren. S3-Bucket Keys senken die Verschlüsselungskosten, indem sie den Anforderungsverkehr von Amazon S3 auf verringern AWS KMS. Weitere Informationen finden Sie unter Reduzierung der Kosten von SSE-KMS mit Amazon S3 Bucket Keys.
Um S3-Bucket-Schlüssel zu verwenden, wählen Sie unter Bucket Key (Bucket-Schlüssel) die Option Enable (Aktivieren).
Anmerkung
S3-Bucket Keys werden nicht unterstützt für DSSE-KMS.
-
-
Wählen Sie Änderungen speichern aus.
Diese Beispiele zeigen Ihnen, wie Sie die Standardverschlüsselung mithilfe SSE-S3 oder SSE-KMS mithilfe eines S3-Bucket Keys konfigurieren.
Weitere Informationen zur Standardverschlüsselung finden Sie unter Einstellen des Verhaltens der serverseitigen Verschlüsselung für Amazon S3-Buckets. Weitere Informationen zur Verwendung der AWS CLI zur Konfiguration der Standardverschlüsselung finden Sie unter https://awscli.amazonaws.com/v2/documentation/api/latest/reference/s3api/put-bucket-encryption.html
Beispiel— Standardverschlüsselung mit SSE-S3
In diesem Beispiel wird die Standardverschlüsselung von Buckets mit von Amazon S3 verwalteten Schlüsseln konfiguriert.
aws s3api put-bucket-encryption --bucketamzn-s3-demo-bucket--server-side-encryption-configuration '{ "Rules": [ { "ApplyServerSideEncryptionByDefault": { "SSEAlgorithm": "AES256" } } ] }'
Beispiel— Standardverschlüsselung SSE-KMS mit einem S3-Bucket Key
In diesem Beispiel wird die Standard-Bucket-Verschlüsselung SSE-KMS mithilfe eines S3-Bucket-Schlüssels konfiguriert.
aws s3api put-bucket-encryption --bucketamzn-s3-demo-bucket--server-side-encryption-configuration '{ "Rules": [ { "ApplyServerSideEncryptionByDefault": { "SSEAlgorithm": "aws:kms", "KMSMasterKeyID": "KMS-Key-ARN" }, "BucketKeyEnabled": true } ] }'
Verwenden Sie den PutBucketEncryption REST-API-Vorgang, um die Standardverschlüsselung zu aktivieren und die Art der serverseitigen Verschlüsselung festzulegen, die verwendet werden soll — SSE-S3 SSE-KMS, oder. DSSE-KMS
Weitere Informationen finden Sie unter PutBucketEncryption in der API-Referenz zu Amazon Simple Storage Service.
