在现有 s3 存储桶上启用默认加密是否需要对存储桶用户进行任何 IAM 更改？

Question

我想为现有存储桶启用默认加密（Amazon S3 托管加密密钥 (SSE-S3)）。未来的对象将被加密，但要加密现有的对象，我需要复制它们或重新上传它们。

我想知道，由于我使用 SSE-S3 对存储桶进行默认加密，我是否需要进行任何 IAM 更改以允许存储桶用户访问现有对象和未来对象？或者在存储桶上启用默认加密 (SSE-S3) 不需要任何 IAM 更改，因为在静态存储数据之前应用加密？

感谢您的帮助。

Answer 1

如果您使用SSE-S3（Amazon S3 托管加密密钥），则无需执行任何操作。您可以通过存储桶策略强制执行此加密，因为默认的 SSE-S3 存储桶加密可以由您的用户基于每个对象进行覆盖。

但是，如果您选择SSE-KMS作为您自己的 CMK（而不是 AWS 的 CMK）的默认值，那么您的用户/实例/lambda 也需要拥有访问 CMK 的权限。