Blocco o sblocco SSE-C per un bucket generico

A partire da aprile 2026, Amazon S3 disabilita automaticamente la crittografia lato server con chiavi fornite dal cliente SSE-C () per tutti i nuovi bucket generici. Amazon S3 è stato inoltre disabilitato SSE-C per i bucket esistenti negli account senza SSE-C oggetti crittografati. Ciò significa che, per impostazione predefinita, le richieste di caricamento di oggetti utilizzando SSE-C vengono rifiutate con un errore HTTP AccessDenied 403.

SSE-C richiede di fornire la chiave di crittografia per ogni richiesta di lettura o scrittura di oggetti crittografati, rendendo difficile la condivisione dell'accesso con altri utenti, ruoli o AWS servizi che operano sui dati. La maggior parte dei carichi di lavoro utilizza invece la crittografia lato server con chiavi gestite di Amazon S3 (SSE-S3) o chiavi AWS KMS (). SSE-KMS

Se il carico di lavoro lo richiede SSE-C, puoi abilitarlo in modo esplicito aggiornando la configurazione di crittografia predefinita per il tuo bucket. Al contrario, se disponi di bucket esistenti in cui SSE-C è ancora consentito, puoi bloccarli per impedire nuovi caricamenti. SSE-C

Quando SSE-C è bloccata per un bucket PutObject CopyObjectPostObject, qualsiasi richiesta di caricamento multiparte o di replica che specifichi la SSE-C crittografia verrà rifiutata con un errore HTTP 403. AccessDenied Gli oggetti SSE-C crittografati esistenti nel bucket non vengono modificati, ma è comunque possibile leggerli con GetObject o fornendo le intestazioni richieste. HeadObject SSE-C

Questa impostazione è un parametro dell'PutBucketEncryptionAPI e può essere aggiornata anche utilizzando la console S3, la AWS CLI o gli SDK. AWS Devi disporre dell'autorizzazione s3:PutEncryptionConfiguration.

Permissions

Usa l'PutBucketEncryptionAPI o la console S3, gli AWS SDK o la AWS CLI per bloccare o sbloccare i tipi di crittografia per un bucket generico. È necessario disporre delle seguenti autorizzazioni:

Usa l'GetBucketEncryptionAPI o la console S3, gli AWS SDK o la CLI per visualizzare i AWS tipi di crittografia bloccati per un bucket generico. È necessario disporre delle seguenti autorizzazioni:

Considerazioni prima di bloccare SSE-C la crittografia

Dopo aver bloccato SSE-C un bucket, si applica il seguente comportamento di crittografia:

Se desideri verificare se stai utilizzando la SSE-C crittografia in uno dei tuoi bucket prima di bloccare questo tipo di crittografia, puoi utilizzare strumenti come il monitoraggio dell'accesso AWS CloudTrailai tuoi dati. Questo post del blog mostra come controllare i metodi di crittografia per il caricamento di oggetti in tempo reale. Puoi anche fare riferimento a questo articolo di re:Post per aiutarti a consultare i report di S3 Inventory per verificare se hai oggetti crittografati. SSE-C

Fasi

Puoi bloccare o sbloccare la crittografia lato server con chiavi fornite dal cliente (SSE-C) per un bucket generico utilizzando la console Amazon S3, la () AWS Command Line Interface , l'API REST di Amazon S3 e AWS CLI gli SDK. AWS

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockEncryptionTypes": {
        "EncryptionType": "SSE-C"
      }
    }]
  }'

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockEncryptionTypes": {
        "EncryptionType": "NONE"
      }
    }]
  }'