搭配 AWS KMS 金鑰 (SSE-KMS) 使用伺服器端加密

伺服器端加密是指接收資料的應用程式或服務在目的地將資料加密。

Amazon S3 會自動為新上傳的物件，以 Amazon S3 受管金鑰 (SSE-S3) 啟用伺服器端加密。

除非您另行指定，否則根據預設，儲存貯體會使用 SSE-S3 來加密物件。但是，您可以選擇將儲存貯體設定為改而使用伺服器端加密與 AWS Key Management Service (AWS KMS) 金鑰 (SSE-KMS)。如需更多詳細資訊，請參閱 使用 AWS KMS (SSE-KMS) 指定伺服器端加密。

AWS KMS 是一款服務，結合了安全且高可用軟硬體的服務，可提供針對雲端調整的金鑰管理系統。Amazon S3 使用伺服器端加密搭配 AWS KMS (SSE-KMS)，加密您的 S3 物件資料。此外，當物件請求 SSE-KMS 時，S3 檢查總和 (作為物件中繼資料的一部分) 會以加密形式儲存。如需總和檢查的詳細資訊，請參閱 在 Amazon S3 中檢查物件完整性。

如果使用 KMS 金鑰，您可以透過 AWS 管理主控台 或 AWS KMS API 使用 AWS KMS 來執行下列動作：

AWS KMS 中的安全控制可以協助您符合加密相關合規要求。您可以使用這些 KMS 金鑰來保護 Amazon S3 儲存貯體中的資料。當您搭配 S3 儲存貯體使用 SSE-KMS 加密時，AWS KMS keys 必須位於和儲存貯體相同的區域。

使用 AWS KMS keys 需另外付費。如需詳細資訊，請參閱《AWS Key Management Service 開發人員指南》中的 AWS KMS key 概念和 AWS KMS 定價。

如需有關允許 IAM 使用者存取 KMS 加密儲存貯體的指示，請參閱我的 Amazon S3 儲存貯體使用自訂AWS KMS 金鑰預設加密。AWS re:Post 知識中心的如何允許使用者從儲存貯體下載及上傳至儲存貯體？。

許可

若要成功向 Amazon S3 提出使用 AWS KMS 金鑰加密物件的 PutObject 請求，您需要金鑰的 kms:GenerateDataKey 許可。若要下載使用 AWS KMS key 加密的物件，您需要金鑰的 kms:Decrypt 許可。若要執行分段上傳以使用 AWS KMS key 加密物件，您必須擁有金鑰的 kms:GenerateDataKey 和 kms:Decrypt 許可。

AWS KMS keys

當搭配 AWS KMS (SSE-KMS) 使用伺服器端加密時，您可以使用預設 AWS 受管金鑰，也可以指定您已建立的客戶受管金鑰。AWS KMS 支援封套加密。S3 使用 AWS KMS 功能進行封套加密，進一步保護您的資料。封套加密是使用資料金鑰來加密純文字資料，然後再透過另一個 KMS 金鑰來加密資料金鑰的實務做法。如需封套加密的詳細資訊，請參閱 AWS Key Management Service 開發人員指南中的封套加密。

如果您沒有指定客戶受管金鑰，則當您第一次將使用 SSE-KMS 加密的物件新增到儲存貯體時，Amazon S3 會自動在 AWS 帳戶 中建立 AWS 受管金鑰。根據預設，Amazon S3 會將此 KMS 金鑰用於 SSE-KMS。

如果您想要針對 SSE-KMS 使用客戶受管金鑰，請在設定 SSE-KMS 之前建立對稱加密客戶受管金鑰。然後，當您為儲存貯體設定 SSE-KMS 時，請指定現有客戶受管金鑰。如需對稱加密的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》中的對稱加密 KMS 金鑰。

建立客戶受管金鑰可為您提供更多的靈活性與控制。例如，您可以建立、輪換和停用客戶受管金鑰。您也可以定義存取控制，並稽核用來保護資料的客戶受管金鑰。如需客戶受管金鑰和 AWS 受管金鑰的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》中的客戶金鑰和 AWS 金鑰。

針對跨帳戶操作使用 SSE-KMS 加密

對跨帳戶操作使用加密時，請注意下列事項：

如需何時使用客戶受管金鑰和 AWS 受管 KMS 金鑰的詳細資訊，請參閱是否要使用 AWS 受管金鑰 或客戶受管金鑰來在 Amazon S3 上加密物件？

SSE-KMS 加密工作流程

如果您選擇使用 AWS 受管金鑰或客戶受管金鑰加密資料，則 AWS KMS 和 Amazon S3 會執行下列封套加密動作：

當您請求解密資料時，Amazon S3 和 AWS KMS 會執行以下動作：

稽核 SSE-KMS 加密

若要識別指定 SSE-KMS 的請求，您可以在 Amazon S3 Storage Lens 指標中使用所有 SSE-KMS 請求和 % 所有 SSE-KMS 請求指標。S3 Storage Lens 是一種雲端儲存體分析功能，您可以用來了解整個組織使用物件儲存體的情況及其活動情形。您也可以使用啟用 SSE-KMS 的儲存貯體計數和啟用 SSE-KMS 的儲存貯體百分比，來了解預設儲存貯體加密 (SSE-KMS) 的儲存貯體計數。如需詳細資訊，請參閱使用 S3 Storage Lens 評估儲存活動和用量。如需完整的指標清單，請參閱 S3 Storage Lens 指標詞彙表。

若要稽核對 SSE-KMS 加密資料使用 AWS KMS 金鑰的情況，您可以使用 AWS CloudTrail 日誌。您可以深入了解密碼編譯操作，例如 GenerateDataKey 和 Decrypt。CloudTrail 支援多種屬性值來篩選搜尋，包括事件名稱、使用者名稱和事件來源。

Amazon S3 儲存貯體金鑰

當您使用 AWS KMS (SSE-KMS) 設定伺服器端加密時，您可以將儲存貯體設定為使用 SSE-KMS 的 S3 儲存貯體金鑰。使用 SSE-KMS 的儲存貯體層級金鑰可透過減少從 Amazon S3 到 AWS KMS 的請求流量，降低高達 99% 的 AWS KMS 請求成本。

當您將儲存貯體設定為在新物件上使用 SSE-KMS 的 S3 儲存貯體金鑰時，AWS KMS 會產生一個儲存貯體層級金鑰，用於為儲存貯體中的物件建立唯一的資料金鑰。在 Amazon S3 中有時間限制的期間使用此 S3 儲存貯體金鑰，可進一步降低 Amazon S3 向 AWS KMS 提出請求以完成加密操作的需求。如需使用 S3 儲存貯體金鑰的詳細資訊，請參閱 使用 Amazon S3 儲存貯體金鑰降低 SSE-KMS 的成本。

要求伺服器端加密

若要在特定 Amazon S3 儲存貯體中要求所有物件的伺服器端加密，您可以使用儲存貯體政策。例如，如果請求不包含要求含 SSE-KMS 之伺服器端加密的 x-amz-server-side-encryption-aws-kms-key-id 標頭，則下列儲存貯體政策會拒絕向所有人上傳物件 (s3:PutObject) 的許可。

JSON

{
   "Version":"2012-10-17",		 	 	 
   "Id":"PutObjectPolicy",
   "Statement":[{
         "Sid":"DenyObjectsThatAreNotSSEKMS",
         "Effect":"Deny",
         "Principal":"*",
         "Action":"s3:PutObject",
         "Resource":"arn:aws:s3:::amzn-s3-demo-bucket1/*",
         "Condition":{
            "Null":{
               "s3:x-amz-server-side-encryption-aws-kms-key-id":"true"
            }
         }
      }
   ]
}

若要要求使用特定 AWS KMS key 來加密儲存貯體中的物件，您可以使用 s3:x-amz-server-side-encryption-aws-kms-key-id 條件索引鍵。若要指定 KMS 金鑰，您必須使用格式為 arn:aws:kms:region:acct-id:key/key-id 的金鑰 Amazon Resource Name (ARN)。AWS Identity and Access Management 不會驗證 s3:x-amz-server-side-encryption-aws-kms-key-id 的字串是否存在。

如需 Amazon S3 特定條件索引鍵的完整清單，請參閱服務授權參考中的 Amazon S3 的條件索引鍵。

加密內容

加密內容是一組金鑰值對，其中包含資料的其他相關內容資訊。加密內容不被加密。為加密操作指定加密內容時，Amazon S3 必須指定與解密操作相同的加密內容。否則，解密會失敗。AWS KMS 使用加密內容作為額外的驗證資料 (AAD)，以支援驗證加密。如需有關加密內容的詳細資訊，請參閱《AWS Key Management Service 開發人員指南》中的加密內容。

根據預設，Amazon S3 會使用物件或儲存貯體 Amazon Resource Name (ARN) 作為加密內容對：

您可以選擇在 s3:PutObject 請求中使用 x-amz-server-side-encryption-context 標頭，來提供其他加密內容對。不過，加密內容未加密，因此請確保其中不包含敏感資訊。Amazon S3 會一起存放此附加金鑰對與預設加密內容。當其處理 PUT 請求時，Amazon S3 會將 aws:s3:arn 的預設加密內容附加至您提供的加密內容。

您可以使用加密內容來識別和分類密碼編譯操作。您還可以使用預設加密內容 ARN 值來追蹤 AWS CloudTrail 中的相關請求，方法是檢視與加密金鑰一起使用的 Amazon S3 ARN。

在 CloudTrail 日誌檔案的 requestParameters 欄位中，加密內容看起來如下。

"encryptionContext": {
    "aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket1/file_name"
}

當您搭配選用 S3 儲存貯體金鑰功能使用 SSE-KMS 時，加密內容值是儲存貯體的 ARN。

"encryptionContext": {
    "aws:s3:arn": "arn:aws:s3:::amzn-s3-demo-bucket1"
}

傳送 AWS KMS 加密物件的請求

AWS Signature 第 4 版是將身分驗證資訊新增至 HTTP 傳送至 AWS 請求的程序。基於安全考量，大多數對於 AWS 的請求都必須以存取金鑰來簽署，而這組存取金鑰中包含存取金鑰 ID 和私密存取金鑰。這兩種金鑰通常稱為您的安全憑證。如需詳細資訊，請參閱身分身分驗證請求 (AWS Signature 第 4 版) 和 Signature 第 4 版簽章程序。