Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Specifica della crittografia lato server con AWS KMS (SSE-KMS)
Importante
Amazon S3 ora applica la crittografia lato server con chiavi gestite da Amazon S3 (SSE-S3) come livello di base della crittografia per ogni bucket di Amazon S3. A partire dal 5 gennaio 2023, tutti i caricamenti di nuovi oggetti su Amazon S3 vengono crittografati automaticamente senza costi aggiuntivi e senza alcun impatto sulle prestazioni. Lo stato di crittografia automatico per la configurazione di crittografia predefinita del bucket S3 e per il caricamento di nuovi oggetti è disponibile nei AWS CloudTrail log, in S3 Inventory, S3 Storage Lens, nella console Amazon S3 e come intestazione di risposta dell'API Amazon S3 aggiuntiva negli SDK and. AWS Command Line Interface AWS Per ulteriori informazioni, consulta Domande frequenti sulla crittografia predefinita.
Tutti i bucket Amazon S3 hanno la crittografia configurata per impostazione predefinita e tutti i nuovi oggetti caricati in un bucket S3 vengono automaticamente crittografati quando sono a riposo. La crittografia lato server con le chiavi gestite da Amazon S3 (SSE-S3) è la configurazione predefinita della crittografia per ogni bucket di Amazon S3. Per utilizzare un diverso tipo di crittografia, puoi specificare il tipo di crittografia lato server da utilizzare nelle richieste PUT S3 oppure impostare la configurazione di crittografia predefinita nel bucket di destinazione.
Se desideri specificare un tipo di crittografia diverso nelle tue PUT richieste, puoi utilizzare la crittografia lato server con chiavi
AWS Key Management Service (AWS KMS) (SSE-KMS), la crittografia lato server a due livelli con AWS KMS chiavi (DSSE-KMS) o la crittografia lato server con chiavi fornite dal cliente (SSE-C). Per impostare una configurazione di crittografia predefinita diversa nel bucket di destinazione puoi utilizzare SSE-KMS o DSSE-KMS.
È possibile applicare la crittografia quando stai caricando un nuovo oggetto o copiando un oggetto esistente.
Puoi specificare SSE-KMS utilizzando la console Amazon S3, le operazioni API REST, gli AWS SDK e (). AWS Command Line Interface AWS CLI Per ulteriori informazioni, consulta i seguenti argomenti.
Nota
Puoi usare più regioni AWS KMS keys in Amazon S3. Tuttavia, Amazon S3 attualmente tratta le chiavi multi-regione come se fossero chiavi a regione singola e non utilizza le caratteristiche multi-regione della chiave. Per ulteriori informazioni, consulta Utilizzo delle chiavi multi-regione nella Guida per gli sviluppatori di AWS Key Management Service .
Nota
Se desideri utilizzare una chiave KMS di proprietà di un altro account, devi disporre dell'autorizzazione per utilizzare la chiave. Per ulteriori informazioni sulle autorizzazioni tra account per le chiavi KMS, vedi Creazione di chiavi KMS utilizzabili da altri account nella Guida per gli sviluppatori di AWS Key Management Service .
Questo argomento descrive come impostare o modificare il tipo di crittografia di un oggetto per utilizzare la crittografia lato server con AWS Key Management Service (AWS KMS) chiavi (SSE-KMS) utilizzando la console Amazon S3.
Nota
-
Se si modifica la crittografia di un oggetto, viene creato un nuovo oggetto per sostituire quello precedente. Se è abilitata la funzione Controllo delle versioni S3, viene creata una nuova versione dell'oggetto e l'oggetto esistente diventa una versione precedente. Il ruolo che modifica la proprietà diventa anche il proprietario del nuovo oggetto o della versione dell'oggetto.
-
Se modifichi il tipo di crittografia per un oggetto con tag definiti dall'utente, devi disporre dell'autorizzazione.
s3:GetObjectTaggingSe state modificando il tipo di crittografia per un oggetto che non ha tag definiti dall'utente ma ha una dimensione superiore a 16 MB, è necessario disporre anche dell's3:GetObjectTaggingautorizzazione.Se la policy del bucket di destinazione nega l'
s3:GetObjectTaggingazione, il tipo di crittografia dell'oggetto verrà aggiornato, ma i tag definiti dall'utente verranno rimossi dall'oggetto e verrà visualizzato un errore.
Per aggiungere o modificare la crittografia di un oggetto
-
Nel pannello di navigazione a sinistra, scegli Buckets (Bucket).
-
Nell'elenco Buckets (Bucket) scegliere il nome del bucket contenente l'oggetto.
-
Nell'elenco Nome scegli il nome dell'oggetto per cui desideri aggiungere o modificare la crittografia.
Viene visualizzata la pagina dei dettagli dell'oggetto, con diverse sezioni che visualizzano le proprietà dell'oggetto.
-
Scegliere la scheda Properties (Proprietà).
-
Scorri verso il basso fino alla sezione Impostazioni crittografia lato server e scegli Modifica.
Viene visualizzata la pagina Modifica crittografia lato server.
-
In Crittografia lato server, per Impostazioni di crittografia, scegli Sostituisci impostazioni di crittografia predefinite del bucket.
-
In Tipo di crittografia, scegli Crittografia lato server con AWS Key Management Service chiavi (SSE-KMS).
Importante
Se usi l'opzione SSE-KMS per la configurazione della crittografia predefinita, vengono applicati i limiti di richieste al secondo (RPS) pari a AWS KMS. Per ulteriori informazioni sulle quote AWS KMS e su come richiedere un aumento delle quote, consulta Quote nella Guida per gli sviluppatori di AWS Key Management Service .
-
In Chiave AWS KMS effettua una delle seguenti operazioni per scegliere la chiave KMS:
-
Per scegliere da un elenco di chiavi KMS disponibili, seleziona Scegli tra le chiavi AWS KMS keys, quindi scegli la chiave KMS dall'elenco delle chiavi disponibili.
In questo elenco vengono visualizzate sia la chiave Chiave gestita da AWS (
aws/s3) che quella gestita dal cliente. Per ulteriori informazioni sulle chiavi gestite dal cliente, consulta Chiavi gestite dal cliente e chiavi AWS nella Guida per gli sviluppatori di AWS Key Management Service . -
Per inserire l'ARN della chiave KMS, scegli Inserisci AWS KMS key ARN, quindi inserisci l'ARN della chiave KMS nel campo visualizzato.
-
Per creare una nuova chiave gestita dal cliente nella AWS KMS console, scegli Crea una chiave KMS.
Per ulteriori informazioni sulla creazione di una AWS KMS key, consulta Creating keys nella AWS Key Management Service Developer Guide.
Importante
Puoi utilizzare solo le chiavi KMS disponibili nello Regione AWS stesso bucket. La console Amazon S3 elenca solo le prime 100 chiavi KMS nella stessa regione del bucket. Per utilizzare una chiave KMS non elencata, devi inserire l'ARN della chiave KMS. Se desideri utilizzare una chiave KMS di proprietà di un account diverso, è necessario innanzitutto disporre dell'autorizzazione necessaria per l'uso della chiave e quindi inserire l'ARN della chiave KMS.
Amazon S3 supporta solo chiavi KMS di crittografia simmetriche e non chiavi KMS asimmetriche. Per ulteriori informazioni, consulta Identificazione delle chiavi KMS simmetriche e asimmetriche nella Guida per gli sviluppatori di AWS Key Management Service .
-
-
Seleziona Salva modifiche.
Nota
Questa azione applica la crittografia a tutti gli oggetti specificati. Durante la crittografia delle cartelle, attendere il completamento dell'operazione di salvataggio prima di aggiungere nuovi oggetti alla cartella.
Quando crei un oggetto, ovvero quando carichi un nuovo oggetto o copi un oggetto esistente, puoi specificare l'uso della crittografia lato server con le AWS KMS keys
(SSE-KMS) per crittografare i dati. Per fare ciò, aggiungi l'intestazione x-amz-server-side-encryption alla richiesta. Impostare il valore dell'intestazione sull'algoritmo di crittografia aws:kms. Amazon S3 conferma che l'oggetto è stato archiviato utilizzando SSE-KMS restituendo l'intestazione della risposta x-amz-server-side-encryption.
Se specifichi l'intestazione x-amz-server-side-encryption con il valore aws:kms, puoi anche utilizzare le intestazioni di richiesta seguenti:
-
x-amz-server-side-encryption-aws-kms-key-id -
x-amz-server-side-encryption-context -
x-amz-server-side-encryption-bucket-key-enabled
Argomenti
Operazioni REST API di Amazon S3 che supportano SSE-KMS
Le operazioni REST API seguenti accettano le intestazioni di richiesta x-amz-server-side-encryption, x-amz-server-side-encryption-aws-kms-key-id e x-amz-server-side-encryption-context.
-
PutObject: quando carichi i dati utilizzando l'operazione API
PUT, è possibile specificare queste intestazioni di richiesta. -
CopyObject: quando copi un oggetto, disponi di un oggetto di origine e un oggetto di destinazione. Quando si passano le intestazioni SSE-KMS con l'
CopyObjectoperazione, queste vengono applicate solo all'oggetto di destinazione. Quando si copia un oggetto esistente, indipendentemente dal fatto che l'oggetto di origine sia crittografato o meno, l'oggetto di destinazione non viene crittografato a meno che non si richieda esplicitamente la crittografia lato server. -
POST Object— Quando si utilizza un'
POSToperazione per caricare un oggetto, anziché le intestazioni della richiesta, si forniscono le stesse informazioni nei campi del modulo. -
CreateMultipartUpload— Quando caricate oggetti di grandi dimensioni utilizzando l'operazione API di caricamento multiparte, potete specificare queste intestazioni. Queste intestazioni vengono specificate nella richiesta.
CreateMultipartUpload
Quando un oggetto viene archiviato utilizzando la crittografia lato server, le intestazioni di risposta delle seguenti operazioni REST API restituiscono l'intestazione x-amz-server-side-encryption.
Importante
-
Tutte
GETlePUTrichieste relative a un oggetto protetto da hanno AWS KMS esito negativo se non si effettuano tali richieste utilizzando Secure Sockets Layer (SSL), Transport Layer Security (TLS) o Signature Version 4. -
Se il tuo oggetto utilizza SSE-KMS, non inviare le intestazioni delle richieste di crittografia perGETrichieste eHEADrichieste, altrimenti riceverai un errore HTTP 400. BadRequest
Contesto di crittografia (x-amz-server-side-encryption-context)
Se si specifica x-amz-server-side-encryption:aws:kms, l'API Amazon S3 supporta un contesto di crittografia con l'intestazione x-amz-server-side-encryption-context. Un contesto di crittografia è un set di coppie chiave-valore che possono contenere ulteriori informazioni contestuali sui dati.
Amazon S3 utilizza automaticamente l'oggetto o il bucket Amazon Resource Name (ARN) come coppia di contesto di crittografia. Se utilizzi SSE-KMS senza abilitare una chiave bucket S3, usa l'ARN dell'oggetto come contesto di crittografia, ad esempio arn:aws:s3:::. Se invece utilizzi SSE-KMS e abiliti una chiave bucket S3, usa l'ARN del bucket per il contesto di crittografia, ad esempio object_ARNarn:aws:s3:::. bucket_ARN
Facoltativamente, è possibile fornire una coppia di contesto di crittografia aggiuntiva utilizzando l'intestazione x-amz-server-side-encryption-context. Tuttavia, poiché il contesto di crittografia non è crittografato, assicurati che non includa informazioni sensibili. Amazon S3 archivia questa coppia di chiavi aggiuntiva insieme al contesto di crittografia predefinito.
Per informazioni sul contesto di crittografia in Amazon S3, consulta la sezione Contesto di crittografia. Per informazioni generali sul contesto di crittografia, consulta Concetti di AWS Key Management Service : Contesto di crittografia nella Guida per gli sviluppatori di AWS Key Management Service .
AWS KMS ID chiave (x-amz-server-side-encryption-aws-kms-key-id)
Puoi utilizzare l'intestazione x-amz-server-side-encryption-aws-kms-key-id per specificare l'ID della chiave gestita dal cliente utilizzata per proteggere i dati. Se specifichi l'intestazione x-amz-server-side-encryption:aws:kms, ma non fornisci l'intestazione x-amz-server-side-encryption-aws-kms-key-id, Amazon S3 utilizza la Chiave gestita da AWS (aws/s3) per proteggere i dati. Se desideri utilizzare una chiave gestita dal cliente, devi fornire l'intestazione x-amz-server-side-encryption-aws-kms-key-id della chiave gestita dal cliente.
Importante
Quando utilizzi una chiave KMS AWS KMS key per la crittografia lato server in Amazon S3, devi scegliere una chiave KMS di crittografia simmetrica. Amazon S3 supporta solo chiavi KMS di crittografia simmetrica. Per ulteriori informazioni sulle chiavi, consulta Chiavi KMS di crittografia simmetrica nella Guida per gli sviluppatori di AWS Key Management Service .
Chiavi bucket S3 (x-amz-server-side-encryption-aws-bucket-key-enabled)
Puoi utilizzare l'intestazione della x-amz-server-side-encryption-aws-bucket-key-enabled richiesta per abilitare o disabilitare una S3 Bucket Key a livello di oggetto. S3 Bucket Keys riduce i costi delle AWS KMS richieste diminuendo il traffico delle richieste da Amazon S3 a. AWS KMS Per ulteriori informazioni, consulta Riduzione del costo di SSE-KMS con le chiavi bucket Amazon S3.
Se specifichi l'intestazione x-amz-server-side-encryption:aws:kms ma non fornisci l'intestazione x-amz-server-side-encryption-aws-bucket-key-enabled, per crittografare l'oggetto saranno utilizzate le impostazioni della chiave bucket S3 per il bucket di destinazione. Per ulteriori informazioni, consulta Configurazione di una chiave bucket S3 a livello di oggetto .
Per utilizzare i seguenti AWS CLI comandi di esempio, user input
placeholders
Quando caricate un nuovo oggetto o copiate un oggetto esistente, potete specificare l'uso della crittografia lato server con AWS KMS chiavi per crittografare i dati. Per fare ciò, aggiungi l'intestazione --server-side-encryption aws:kms alla richiesta. Utilizza il --ssekms-key-id per aggiungere la AWS KMS chiave gestita dal cliente che hai creato. Se specifichiexample-key-id--server-side-encryption
aws:kms, ma non fornisci un ID di AWS KMS chiave, Amazon S3 utilizzerà una chiave AWS gestita.
aws s3api put-object --bucketDOC-EXAMPLE-BUCKET--keyexample-object-key--server-side-encryption aws:kms --ssekms-key-idexample-key-id--ssekms-encryption-contextexample-encryption-context--bodyfilepath
Puoi abilitare o disabilitare S3 Bucket Keys sulle tue copy-object operazioni put-object OO aggiungendo o. --bucket-key-enabled --no-bucket-key-enabled S3 Bucket Keys può ridurre i costi delle AWS KMS richieste diminuendo il traffico delle richieste da Amazon S3 a. AWS KMS Per ulteriori informazioni, consulta Ridurre il costo di SSE-KMS con S3 Bucket Keys.
aws s3api put-object --bucketDOC-EXAMPLE-BUCKET--keyexample-object-key--server-side-encryption aws:kms --bucket-key-enabled --bodyfilepath
È possibile copiare un oggetto da un bucket di origine a un nuovo bucket e specificare la crittografia SSE-KMS.
aws s3api copy-object --copy-sourceDOC-EXAMPLE-BUCKET/example-object-key--bucketDOC-EXAMPLE-BUCKET2--keyexample-object-key--server-side-encryption aws:kms --sse-kms-key-idexample-key-id--ssekms-encryption-contextexample-encryption-context
Quando usi AWS gli SDK, puoi richiedere che Amazon S3 venga AWS KMS keys utilizzato per la crittografia lato server. Gli esempi seguenti mostrano come utilizzare SSE-KMS con gli SDK per Java e.NET. AWS Per informazioni su altri SDK, consulta Codice di esempio e librerie
Importante
Quando utilizzi una chiave KMS AWS KMS key per la crittografia lato server in Amazon S3, devi scegliere una chiave KMS di crittografia simmetrica. Amazon S3 supporta solo chiavi KMS di crittografia simmetrica. Per ulteriori informazioni sulle chiavi, consulta Chiavi KMS di crittografia simmetrica nella Guida per gli sviluppatori di AWS Key Management Service .
Operazione CopyObject
Quando copi gli oggetti, puoi aggiungere le stesse proprietà della richiesta (ServerSideEncryptionMethod e ServerSideEncryptionKeyManagementServiceKeyId) per richiedere che Amazon S3 utilizzi una AWS KMS key. Per ulteriori informazioni sulla copia di oggetti, consulta la sezione Copiare, spostare e rinominare oggetti.
Operazione PUT
URL prefirmati
