![为什么有人会禁用 S3 KMS“存储桶密钥”选项?](https://linux22.com/image/780014/%E4%B8%BA%E4%BB%80%E4%B9%88%E6%9C%89%E4%BA%BA%E4%BC%9A%E7%A6%81%E7%94%A8%20S3%20KMS%E2%80%9C%E5%AD%98%E5%82%A8%E6%A1%B6%E5%AF%86%E9%92%A5%E2%80%9D%E9%80%89%E9%A1%B9%EF%BC%9F.png)
按照文档:
Amazon S3 存储桶密钥可降低使用 AWS Key Management Service (SSE-KMS) 进行 Amazon S3 服务器端加密的成本。通过减少从 Amazon S3 到 AWS KMS 的请求流量,这一新的 SSE 存储桶级密钥可将 AWS KMS 请求成本降低高达 99%。只需在 AWS 管理控制台中单击几下,无需对客户端应用程序进行任何更改,即可将存储桶配置为使用 S3 存储桶密钥对新对象进行基于 AWS KMS 的加密。
文档指出了启用该功能之前要注意的几个场景,但没有列出为什么要禁用它的任何原因......那么为什么它甚至是一个选项呢?
我想不出任何用户希望禁用此功能的用例(如果他们已经在使用 KMS)。有什么想法吗?
答案1
此存储桶密钥受 AWS 控制。使用 S3 存储桶的 AWS 客户无法控制密钥何时轮换或禁用等。AWS 可以非常方便地管理所有与密钥相关的活动,而无需客户担心,而且 AWS 使用的密钥非常强大。
组织的信息安全 (InfoSec) 团队可能要求所有加密都由组织控制的密钥执行。AWS 控制的密钥可能不够好。在这种情况下,InfoSec 团队可能会规定必须使用客户管理的密钥,从而排除您询问的密钥类型。