Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Réduction des coûts liés SSE-KMS aux clés de compartiment Amazon S3

Les clés de compartiment Amazon S3 réduisent le coût du chiffrement côté serveur Amazon S3 avec AWS Key Management Service (AWS KMS) keys (SSE-KMS). L'utilisation d'une clé au niveau du compartiment pour SSE-KMS peut réduire les coûts des AWS KMS demandes jusqu'à 99 % en diminuant le trafic de demandes d'Amazon S3 vers. AWS KMS En quelques clics AWS Management Console, et sans aucune modification de vos applications clientes, vous pouvez configurer votre compartiment pour utiliser une clé de compartiment S3 pour le SSE-KMS chiffrement de nouveaux objets.

Clés de compartiment S3 pour SSE-KMS

Les charges de travail qui accèdent à des millions ou des milliards d'objets chiffrés SSE-KMS peuvent générer d'importants volumes de demandes à AWS KMS. Lorsque vous SSE-KMS protégez vos données sans clé de compartiment S3, Amazon S3 utilise une clé de AWS KMS données individuelle pour chaque objet. Dans ce cas, Amazon S3 effectue un appel à AWS KMS chaque fois qu'une demande est faite contre un KMS-encrypted objet. Pour plus d'informations sur le SSE-KMS fonctionnement, voirUtilisation du chiffrement côté serveur avec AWS KMS clés (SSE-KMS).

Lorsque vous configurez votre compartiment pour utiliser une clé de compartiment S3 pour SSE-KMS, que vous AWS générez une clé de compartiment de courte durée à partir de AWS KMS, puis que vous la conservez temporairement dans S3. Cette clé de niveau compartiment créera des clés de données pour les nouveaux objets au cours de son cycle de vie. Les clés de compartiment S3 sont utilisées pendant une période limitée dans Amazon S3, ce qui réduit la nécessité pour S3 de faire des demandes AWS KMS pour effectuer des opérations de chiffrement. Cela réduit le trafic de S3 à S3 AWS KMS, ce qui vous permet d'accéder à des objets AWS KMS chiffrés dans Amazon S3 à une fraction du coût précédent.

Les clés uniques au niveau du compartiment sont récupérées au moins une fois par demandeur afin de garantir que l'accès du demandeur à la clé est capturé lors d'un événement. AWS KMS CloudTrail Amazon S3 traite les appelants comme des demandeurs différents lorsqu'ils utilisent des rôles ou des comptes différents, ou lorsqu'ils utilisent le même rôle avec des politiques de cadrage différentes. AWS KMS les économies de demandes reflètent le nombre de demandeurs, les modèles de demandes et l'âge relatif des objets demandés. Par exemple, un nombre réduit de demandeurs, sollicitant plusieurs objets dans une fenêtre de temps limitée, et chiffrés avec la même clé au niveau des compartiments, permettra de réaliser des économies plus importantes.

Lorsque vous configurez une clé de compartiment S3, les objets qui se trouvent déjà dans le compartiment n’utilisent pas la clé de compartiment S3. Pour configurer une clé de compartiment S3 pour des objets existants, vous pouvez utiliser une opération CopyObject. Pour de plus amples informations, veuillez consulter Configuration d’une clé de compartiment S3 au niveau d’un objet.

Amazon S3 partage une clé de compartiment S3 uniquement pour les objets chiffrés avec la même AWS KMS key. Les clés de compartiment S3 sont compatibles avec les clés KMS créées par AWS KMS, le matériel clé importé et le matériel clé soutenu par des magasins de clés personnalisés.

Configuration de clés de compartiment S3

Vous pouvez configurer votre compartiment pour utiliser une clé de compartiment S3 pour SSE-KMS les nouveaux objets via la console Amazon S3 AWS CLI, AWS les SDK ou l'API REST. Lorsque les clés de compartiment S3 sont activées sur votre compartiment, les objets chargés avec une SSE-KMS clé spécifiée différente utiliseront leurs propres clés de compartiment S3. Quel que soit votre paramètre de clé de compartiment S3, vous pouvez inclure l’en-tête x-amz-server-side-encryption-bucket-key-enabled avec une valeur true ou false dans votre requête, afin de remplacer le paramètre de compartiment.

Avant de configurer votre compartiment de sorte qu’il utilise une clé de compartiment S3, consultez Modifications à prendre en compte avant d’activer une clé de compartiment S3.

Configuration d’une clé de compartiment S3 à l’aide de la console Amazon S3

Lorsque vous créez un nouveau compartiment, vous pouvez le configurer pour utiliser une clé de compartiment S3 pour SSE-KMS les nouveaux objets. Vous pouvez également configurer un compartiment existant pour utiliser une clé de compartiment S3 pour les SSE-KMS nouveaux objets en mettant à jour les propriétés de votre compartiment. 

Pour de plus amples informations, veuillez consulter Configuration de votre compartiment pour utiliser une clé de compartiment S3 SSE-KMS pour les nouveaux objets.

API DE REPOS, AWS CLI, et AWS Support du SDK pour les clés de compartiment S3

Vous pouvez utiliser l'API REST ou AWS CLI le AWS SDK pour configurer votre compartiment afin qu'il utilise une clé de compartiment S3 pour SSE-KMS les nouveaux objets. Vous pouvez également activer une clé de compartiment S3 au niveau de l’objet.

Pour de plus amples informations, consultez les ressources suivantes : 

Les opérations d'API suivantes prennent en charge les clés de compartiment S3 pour SSE-KMS :

Travailler avec CloudFormation

Dans CloudFormation, la AWS::S3::Bucket ressource inclut une propriété de chiffrement appelée BucketKeyEnabled que vous pouvez utiliser pour activer ou désactiver une clé de compartiment S3.

Pour de plus amples informations, veuillez consulter Utilisation CloudFormation.

Modifications à prendre en compte avant d’activer une clé de compartiment S3

Avant d’activer une clé de compartiment S3, notez les modifications suivantes :

IAM ou AWS KMS stratégies de clé

Si vos politiques Gestion des identités et des accès AWS (IAM) ou AWS KMS clés existantes utilisent votre objet Amazon Resource Name (ARN) comme contexte de chiffrement pour affiner ou limiter l'accès à votre clé KMS, ces politiques ne fonctionneront pas avec une clé de compartiment S3. Les clés de compartiment S3 utilisent l’ARN du compartiment comme contexte de chiffrement. Avant d'activer une clé de compartiment S3, mettez à jour vos politiques IAM ou vos politiques AWS KMS clés pour utiliser l'ARN de votre compartiment comme contexte de chiffrement.

Pour plus d’informations sur le contexte de chiffrement et les clés de compartiment S3, consultez Contexte de chiffrement.

CloudTrail événements pour AWS KMS

Une fois que vous avez activé une clé de compartiment S3, vos AWS KMS CloudTrail événements enregistrent l'ARN de votre compartiment au lieu de l'ARN de votre objet. En outre, vous voyez moins d' CloudTrail événements KMS relatifs aux SSE-KMS objets dans vos journaux. Les informations clés étant limitées dans le temps dans Amazon S3, moins de demandes sont adressées à AWS KMS.

Utilisation d’une clé de compartiment S3 avec réplication

Vous pouvez utiliser les clés de compartiment S3 avec Same-Region la réplication (SRR) et Cross-Region la réplication (CRR).

Lorsqu’Amazon S3 réplique un objet chiffré, il conserve généralement les paramètres de chiffrement de l’objet réplica dans le compartiment de destination. Toutefois, si l’objet source n’est pas chiffré et que votre compartiment de destination utilise un chiffrement par défaut ou une clé de compartiment S3, Amazon S3 chiffre l’objet avec la configuration du compartiment de destination.

Les exemples suivants illustrent le fonctionnement d’une clé de compartiment S3 avec la réplication. Pour plus d’informations, consultez Réplication d'objets chiffrés (SSE-S3, SSE-KMS, DSSE-KMS, SSE-C). 

Utilisation des clés de compartiment S3

Pour plus d’informations sur l’activation et l’utilisation des clés de compartiment S3, consultez les sections suivantes :