為目錄儲存貯體中的新物件上傳指定使用 AWS KMS 的伺服器端加密 (SSE-KMS)

對於 CopyObject 和 UploadPartCopy 以外的區域端點 (物件層級) API 操作，您會透過 CreateSession 驗證和授權請求，以取得低延遲。建議儲存貯體的預設加密使用所需的加密組態，而且您不會覆寫 CreateSession 請求或 PUT 物件請求中的儲存貯體預設加密。然後，新的物件會以所需的加密設定自動加密。若要使用 SSE-KMS 加密目錄儲存貯體中的新物件，您必須使用 KMS 金鑰 (特別是客戶自管金鑰) 將 SSE-KMS 指定為目錄儲存貯體的預設加密組態。然後，在為區域端點 API 操作建立工作階段時，系統會在工作階段期間使用 SSE-KMS 和 S3 儲存貯體金鑰自動加密和解密新物件。如需目錄儲存貯體中加密覆寫行為的詳細資訊，請參閱為新的物件上傳指定使用 AWS KMS 的伺服器端加密。

使用 REST API 進行區域端點 API 呼叫時 (CopyObject 和 UploadPartCopy 除外)，您無法覆寫 CreateSession 請求中的加密設定值 (x-amz-server-side-encryption、x-amz-server-side-encryption-aws-kms-key-id、x-amz-server-side-encryption-context 和 x-amz-server-side-encryption-bucket-key-enabled)。您不需要在區域端點 API 呼叫中明確指定這些加密設定值，Amazon S3 將使用 CreateSession 請求中的加密設定值來保護目錄儲存貯體中的新物件。

對於 CopyObject，若要使用 SSE-KMS 加密目錄儲存貯體中的新物件複本，您必須使用 KMS 金鑰 (特別是客戶自管金鑰) 將 SSE-KMS 指定為目錄儲存貯體的預設加密組態。然後，當您使用 SSE-KMS 為新物件複本指定伺服器端加密設定時，您必須確保加密金鑰與您為目錄儲存貯體的預設加密組態指定的客戶自管金鑰相同。對於 UploadPartCopy，若要使用 SSE-KMS 加密目錄儲存貯體中的新物件組件複本，您必須使用 KMS 金鑰 (特別是客戶自管金鑰) 將 SSE-KMS 指定為目錄儲存貯體的預設加密組態。您無法在 UploadPartCopy 請求標頭中，使用 SSE-KMS 為新的物件組件複本指定伺服器端加密設定。此外，您在 CreateMultipartUpload 請求中提供的加密設定必須符合目的地儲存貯體的預設加密組態。

支援 SSE-KMS 的 Amazon S3 REST API 操作

目錄儲存貯體中的下列物件層級 REST API 操作接受 x-amz-server-side-encryption、x-amz-server-side-encryption-aws-kms-key-id 和 x-amz-server-side-encryption-context 請求標頭。

使用伺服器端加密存放物件時，下列 REST API 操作的回應標頭會傳回 x-amz-server-side-encryption 標頭。

加密內容 (x-amz-server-side-encryption-context)

如果您指定 x-amz-server-side-encryption:aws:kms，則 Amazon S3 API 支援您選擇使用 x-amz-server-side-encryption-context 標頭提供明確的加密內容。對於目錄儲存貯體，加密內容是一組金鑰/值對，其中包含資料的相關內容資訊。值必須符合預設加密內容，也就是儲存貯體的 Amazon Resource Name (ARN)。不支援額外的加密內容值。

如需目錄儲存貯體中加密內容的資訊，請參閱加密內容。如需有關加密內容的更多資訊，請參閱《AWS Key Management Service開發人員指南》中的 AWS Key Management Service 概念：加密內容。

AWS KMS 金鑰 ID (x-amz-server-side-encryption-aws-kms-key-id)

您可以使用 x-amz-server-side-encryption-aws-kms-key-id 標頭來指定用來保護資料之客戶受管金鑰的 ID。

您的 SSE-KMS 組態在儲存貯體的生命週期內，每個目錄儲存貯體只能支援 1 個客戶自管金鑰。不支援 AWS 受管金鑰 (aws/s3)。此外，為 SSE-KMS 指定客戶自管金鑰之後，即無法覆寫儲存貯體 SSE-KMS 組態的客戶自管金鑰。

您可以透過下列方式識別為儲存貯體的 SSE-KMS 組態指定的客戶自管金鑰：

若要為資料使用新的客戶自管金鑰，建議您使用新的客戶自管金鑰，將現有的物件複製到新的目錄儲存貯體。

如需目錄儲存貯體中加密內容的資訊，請參閱AWS KMS keys。

S3 儲存貯體金鑰 (x-amz-server-side-encryption-aws-bucket-key-enabled)

目錄儲存貯體中的 GET 和 PUT 操作一律會啟用 S3 儲存貯體金鑰，且無法停用。當您透過 CopyObject、UploadPartCopy、Batch Operations 中的 Copy 操作或 import 作業，將 SSE-KMS 加密物件從一般用途儲存貯體複製到目錄儲存貯體、從目錄儲存貯體複製到一般用途儲存貯體或在目錄儲存貯體之間複製時，不支援 S3 儲存貯體金鑰。在此情況下，每次對 KMS 加密物件提出複製請求時，Amazon S3 都會呼叫 AWS KMS。如需目錄儲存貯體中 S3 儲存貯體金鑰的資訊，請參閱加密內容。

若要使用下列範例 AWS CLI 命令，請以您自己的資訊取代 user input placeholders。

當上傳新物件或複製現有物件時，您可以指定使用伺服器端加密搭配 AWS KMS 來加密資料。若要執行這項操作，請使用 put-bucket-encryption 命令將目錄儲存貯體的預設加密組態設定為 SSE-KMS (aws:kms)。特別是將 --server-side-encryption aws:kms 標頭新增至請求。使用 --ssekms-key-id example-key-id 來新增您已建立的客戶受管 AWS KMS 金鑰。如果您指定 --server-side-encryption aws:kms，則必須提供客戶自管金鑰的 AWS KMS 金鑰 ID。目錄儲存貯體不會使用 AWS 受管金鑰。如需命令範例，請參閱使用 AWS CLI。

然後，當您使用下列命令上傳新物件時，Amazon S3 預設會使用儲存貯體的預設加密設定來加密物件。

aws s3api put-object --bucket bucket-base-name--zone-id--x-s3 --key example-object-key --body filepath

您不需要在區域端點 API 操作命令中明確新增 -\-bucket-key-enabled。目錄儲存貯體中的 GET 和 PUT 操作一律會啟用 S3 儲存貯體金鑰，且無法停用。當您透過 CopyObject、UploadPartCopy、Batch Operations 中的 Copy 操作或 import 作業，將 SSE-KMS 加密物件從一般用途儲存貯體複製到目錄儲存貯體、從目錄儲存貯體複製到一般用途儲存貯體或在目錄儲存貯體之間複製時，不支援 S3 儲存貯體金鑰。在此情況下，每次對 KMS 加密物件提出複製請求時，Amazon S3 都會呼叫 AWS KMS。

您可以將物件從來源儲存貯體 (例如一般用途儲存貯體) 複製到新的儲存貯體 (例如目錄儲存貯體)，並對目的地物件使用 SSE-KMS 加密。若要執行這項操作，請使用 put-bucket-encryption 命令將目的地儲存貯體 (例如目錄儲存貯體) 的預設加密組態設定為 SSE-KMS (aws:kms)。如需命令範例，請參閱使用 AWS CLI。然後，當您使用下列命令複製物件時，Amazon S3 預設會使用儲存貯體的預設加密設定來加密物件。

aws s3api copy-object --copy-source amzn-s3-demo-bucket/example-object-key --bucket bucket-base-name--zone-id--x-s3 --key example-object-key  

使用 AWS 開發套件時，您可以請求 Amazon S3 將 AWS KMS keys 用於伺服器端加密。下列範例示範如何搭配適用於 Java 和 .NET 的 AWS SDK 使用 SSE-KMS。如需其他 SDK 的資訊，請參閱 AWS 開發人員中心的範例程式碼和程式庫。

如需建立客戶受管金鑰的詳細資訊，請參閱《AWS Key Management Service開發人員指南》中的對 AWS KMS API 進行程式設計。