Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Konfigurasikan enkripsi sisi server untuk artefak yang disimpan di Amazon S3 untuk CodePipeline

Ada dua cara untuk mengkonfigurasi enkripsi sisi server untuk artefak Amazon S3:

Jika Anda menggunakan tombol S3 default, Anda tidak dapat mengubah atau menghapusnya Kunci yang dikelola AWS. Jika Anda menggunakan kunci yang dikelola pelanggan AWS KMS untuk mengenkripsi atau mendekripsi artefak di bucket S3, Anda dapat mengubah atau memutar kunci yang dikelola pelanggan ini seperlunya.

Amazon S3 mendukung kebijakan bucket yang dapat Anda gunakan jika memerlukan enkripsi sisi server untuk semua objek yang disimpan di bucket Anda. Misalnya, kebijakan bucket berikut menolak izin upload object (s3:PutObject) kepada semua orang jika permintaan tidak menyertakan x-amz-server-side-encryption header yang meminta enkripsi sisi server dengan. SSE-KMS

JSON

{
    "Version":"2012-10-17",
    "Id": "SSEAndSSLPolicy",
    "Statement": [
        {
            "Sid": "DenyUnEncryptedObjectUploads",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::codepipeline-us-west-2-89050EXAMPLE/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-server-side-encryption": "aws:kms"
                }
            }
        },
        {
            "Sid": "DenyInsecureConnections",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::codepipeline-us-west-2-89050EXAMPLE/*",
            "Condition": {
                "Bool": {
                    "aws:SecureTransport": "false"
                }
            }
        }
    ]
}

Untuk informasi selengkapnya tentang enkripsi sisi server dan AWS KMS, lihat Mel indungi Data Menggunakan Server-Side Enkripsi dan Mel indungi data menggunakan enkripsi sisi server dengan kunci KMS yang disimpan di (). AWS Key Management Service SSE-KMS

Untuk informasi selengkap AWS KMS nya, lihat Panduan Peng AWS Key Management Service embang.

Lihat milikmu Kunci yang dikelola AWS

Saat Anda menggunakan wizard Create Pipeline untuk membuat pipeline pertama Anda, bucket S3 dibuat untuk Anda di Wilayah yang sama dengan yang Anda buat pipeline. Ember digunakan untuk menyimpan artefak pipa. Saat pipeline berjalan, artefak dimasukkan ke dalam dan diambil dari bucket S3. Secara default, CodePipeline menggunakan enkripsi sisi server dengan AWS KMS menggunakan Kunci yang dikelola AWS untuk Amazon S3 (aws/s3kunci). Ini Kunci yang dikelola AWS dibuat dan disimpan di AWS akun Anda. Ketika artefak diambil dari bucket S3, CodePipeline menggunakan SSE-KMS proses yang sama untuk mendekripsi artefak.

Konfigurasikan enkripsi sisi server untuk bucket S3 menggunakan CloudFormation atau AWS CLI

Saat Anda menggunakan CloudFormation atau AWS CLI untuk membuat pipeline, Anda harus mengkonfigurasi enkripsi sisi server secara manual. Gunakan kebijakan bucket sampel di atas, lalu buat kunci yang dikelola pelanggan Anda sendiri. Anda juga dapat menggunakan kunci Anda sendiri alih-alih Kunci yang dikelola AWS. Beberapa alasan untuk memilih kunci Anda sendiri meliputi:

Praktik terbaik kriptografi mencegah penggunaan ulang kunci enkripsi secara ekstensif. Sebagai praktik terbaik, putar kunci Anda secara teratur. Untuk membuat materi kriptografi baru untuk AWS KMS kunci Anda, Anda dapat membuat kunci yang dikelola pelanggan, lalu mengubah aplikasi atau alias Anda untuk menggunakan kunci yang dikelola pelanggan baru. Atau, Anda dapat mengaktifkan rotasi kunci otomatis untuk kunci yang dikelola pelanggan yang ada.

Untuk memutar kunci yang dikelola pelanggan Anda, lihat Mem utar kunci.