Menggunakan enkripsi sisi server dual-layer dengan kunci (DSSE-KMS) AWS KMS

Menggunakan enkripsi sisi server dua lapis dengan kunci AWS Key Management Service (AWS KMS) (DSSE-KMS) menerapkan dua lapisan enkripsi ke objek saat diunggah ke Amazon S3. DSSE-KMS membantu Anda agar lebih mudah memenuhi standar kepatuhan yang mengharuskan Anda untuk menerapkan enkripsi multilayer ke data Anda dan memiliki kontrol penuh atas kunci enkripsi Anda.

Saat Anda menggunakan DSSE-KMS dengan bucket Amazon S3, AWS KMS kunci harus berada di Wilayah yang sama dengan bucket. Selain itu, ketika DSSE-KMS diminta untuk objek tersebut, checksum S3 yang merupakan bagian dari metadata objek disimpan dalam bentuk terenkripsi. Untuk informasi selengkapnya tentang checksum, lihat Memeriksa integritas objek.

Ada biaya tambahan untuk menggunakan DSSE-KMS dan. AWS KMS keys Untuk informasi lebih lanjut tentang harga DSSE-KMS, lihat AWS KMS key konsep dalam AWS Key Management Service Panduan Pengguna dan AWS KMS harga.

catatan

Kunci Bucket S3 tidak didukung untuk DSSE-KMS.

Memerlukan enkripsi sisi server dua lapis dengan (DSSE-KMS) AWS KMS keys

Untuk mewajibkan enkripsi di sisi server terhadap semua objek dalam bucket Amazon S3 tertentu, Anda dapat menggunakan kebijakan bucket. Misalnya, kebijakan bucket berikut menolak izin objek unggah (s3:PutObject) untuk semua orang jika permintaan tidak menyertakan header x-amz-server-side-encryption yang meminta enkripsi di sisi server dengan SSE-KMS.

{
             "Version":"2012-10-17",
             "Id":"PutObjectPolicy",
             "Statement":[{
                   "Sid":"DenyUnEncryptedObjectUploads",
                   "Effect":"Deny",
                   "Principal":"*",
                   "Action":"s3:PutObject",
                   "Resource":"arn:aws:s3:::example-s3-bucket1/*",
                   "Condition":{
                      "StringNotEquals":{
                         "s3:x-amz-server-side-encryption":"aws:kms:dsse"
                      }
                   }
                }
             ]
          }

Topik

• Menentukan enkripsi di sisi server dua lapis dengan kunci AWS KMS (DSSE-KMS)