FAQ sur les SSE-C paramètres par défaut pour les nouveaux compartiments

Important

Amazon Simple Storage Service applique désormais un nouveau paramètre de sécurité des compartiments par défaut qui désactive automatiquement le chiffrement côté serveur à l'aide de clés fournies par le client (SSE-C) pour tous les nouveaux compartiments à usage général. En avril 2026, Amazon S3 a déployé une mise à jour afin que le SSE-C chiffrement de tous les nouveaux compartiments à usage général soit désactivé pour toutes les nouvelles demandes d'écriture. Pour les compartiments existants ne Comptes AWS contenant aucun objet SSE-C chiffré, Amazon S3 est également désactivé SSE-C pour toutes les nouvelles demandes d'écriture. Avec cette modification, les applications nécessitant un SSE-C chiffrement doivent être délibérément activées à SSE-C l'aide de l'opération PutBucketEncryptionAPI après avoir créé un nouveau compartiment.

Les sections suivantes répondent aux questions concernant cette mise à jour.

1. Le nouveau SSE-C paramètre prend-il effet pour tous les buckets nouvellement créés ?

Oui. Ce déploiement s'est achevé dans 37 AWS régions, dont la AWS Chine et AWS GovCloud les États-Unis, en avril 2026.

Note

Tous les buckets nouvellement créés dans toutes les AWS régions à l'exception du Moyen-Orient (Bahreïn) et du Moyen-Orient (Émirats arabes unis) seront SSE-C désactivés par défaut.

2. Amazon S3 a-t-il mis à jour mes configurations de compartiment existantes ?

Si votre AWS compte ne contient aucun objet SSE-C chiffré, AWS désactivez le SSE-C chiffrement sur tous vos buckets existants. Si un compartiment de votre AWS compte contenait des objets SSE-C chiffrés, la configuration du compartiment n' AWS a pas été modifiée sur aucun des compartiments de ce compte. Le nouveau paramètre par défaut s'applique à tous les nouveaux compartiments à usage général.

3. Puis-je désactiver le SSE-C chiffrement de mes buckets ?

Oui. Vous pouvez désactiver SSE-C le chiffrement pour n'importe quel compartiment en appelant l'opération PutBucketEncryptionAPI et en spécifiant le nouvel BlockedEncryptionTypes en-tête.

4. Puis-je l'utiliser SSE-C pour chiffrer les données de mes nouveaux buckets ?

Oui. La plupart des cas d'utilisation modernes d'Amazon S3 ne sont plus utilisés SSE-C parce qu'il n'est pas aussi flexible que le chiffrement côté serveur avec les clés gérées par Amazon S3 (SSE-S3) ou le chiffrement côté serveur avec les clés AWS KMS (). SSE-KMS Si vous devez utiliser le SSE-C chiffrement dans un nouveau compartiment, vous pouvez créer le nouveau compartiment, puis activer l'utilisation du SSE-C chiffrement dans une PutBucketEncryption demande distincte.

Exemple

aws s3api create-bucket \  
bucket amzn-s3-demo-bucket \ 
region us-east-1 \ 
  
aws s3api put-bucket-encryption \  
-- bucket amzn-s3-demo-bucket \
-- server-side-encryption-configuration \
'{ \Rules\: [{   
   {   
   \ApplyServerSideEncryptionByDefault\: {   
     \SSEAlgorithm\: \AES256\,  
    },   
   \BlockedEncryptionTypes\: [  
     \EncryptionType\:\NONE\]   
   }   
   }]   
}'

Note

Vous devez être s3:PutEncryptionConfiguration autorisé à appeler l'PutBucketEncryptionAPI.

5. Comment le blocage SSE-C affecte-t-il les demandes adressées à mon bucket ?

Lorsqu'un bucket SSE-C est bloqué PutObject CopyObjectPostObject, toute demande de téléchargement ou de réplication partitionné ou multipartie spécifiant le SSE-C chiffrement sera rejetée avec une AccessDenied erreur HTTP 403.