Activación del cifrado en el servidor para un bucket de Amazon S3

Para habilitar el cifrado en el servidor para un bucket de Amazon Simple Storage Service (Amazon S3), puede utilizar estos tipos de claves de cifrado:

• Una clave administrada de Amazon S3

• Una clave gestionada por el cliente en el AWS Servicio de administración de claves (KMS)

  nota

  El servicio de administración de claves admite dos tipos de claves: las claves administradas por el cliente y AWS claves administradas. SDKLas reuniones de Amazon Chime solo admiten claves administradas por el cliente.

Uso de una clave administrada de Amazon S3

Utiliza la consola de Amazon S3 o REST API para habilitar el cifrado del lado del servidor para un bucket de Amazon S3. CLI En ambos casos, elija Amazon S3 Key como tipo de clave de cifrado. No hay que hacer nada más. Cuando se utiliza el bucket para capturar contenido multimedia, los artefactos se cargan y cifran en el servidor. Para obtener más información, consulte Especificación del cifrado de Amazon S3 en la Guía del usuario de Amazon S3.

Uso de una clave de su propiedad

Para habilitar el cifrado con una clave que administre, debe habilitar el cifrado del servidor del bucket de Amazon S3 con una clave administrada por el cliente y, a continuación, añadir una instrucción a la política de claves que permita a Amazon Chime usar la clave y cifrar cualquier artefacto cargado.

1. Cree una clave gestionada por el cliente. KMS Para obtener información sobre cómo hacerlo, consulte Especificar el cifrado del lado del servidor con AWS KMS (SSE-KMS) en la Guía del usuario de Amazon S3.

2. Agregue una declaración a la política clave que permita que la GenerateDataKey acción genere una clave para que la utilice el director del SDK servicio de Amazon Chime,. mediapipelines.chime.amazonaws.com

   En este ejemplo se muestra una instrucción típica.

   ...
   {
       "Sid": "MediaPipelineSSEKMS",
       "Effect": "Allow",
       "Principal": {
           "Service": "mediapipelines.chime.amazonaws.com"
       },
       "Action": "kms:GenerateDataKey",
       "Resource": "*",
       "Condition": {
           "StringEquals": {
              "aws:SourceAccount": "Account_Id"
           },
           "ArnLike": {
               "aws:SourceArn": "arn:aws:chime:*:Account_Id:*"
           }
       }
   }
   ...

3. Si utiliza una canalización de concatenación de contenido multimedia, añada una declaración a la política clave que permita al director del SDK servicio Amazon Chime utilizar la acciónmediapipelines.chime.amazonaws.com. kms:Decrypt

4. Configure el bucket de Amazon S3 para habilitar el cifrado del servidor con la clave.