Blocco o sblocco SSE-C per un bucket per uso generico

A partire da aprile 2026, Amazon S3 disabilita automaticamente la crittografia lato server con chiavi fornite dal cliente () per tutti i nuovi bucket generici. SSE-C Amazon S3 è inoltre disabilitato SSE-C per i bucket esistenti negli account senza oggetti crittografati. SSE-C Ciò significa che, per impostazione predefinita, le richieste di caricamento di oggetti utilizzando SSE-C vengono rifiutate con un errore HTTP AccessDenied 403.

SSE-C richiede di fornire la chiave di crittografia con ogni richiesta di lettura o scrittura di oggetti crittografati, rendendo difficile la condivisione dell'accesso con altri utenti, ruoli o AWS servizi che operano sui dati. La maggior parte dei carichi di lavoro utilizza invece la crittografia lato server con chiavi gestite da Amazon S3 (SSE-S3) o chiavi AWS KMS (). SSE-KMS

Se il carico di lavoro lo richiede SSE-C, puoi abilitarlo esplicitamente aggiornando la configurazione di crittografia predefinita per il tuo bucket. Al contrario, se hai bucket esistenti in cui SSE-C è ancora consentito, puoi bloccarli per evitare nuovi caricamenti. SSE-C

Se SSE-C è bloccato per un bucket PutObject CopyObjectPostObject, qualsiasi richiesta di replica o caricamento in più parti che specifichi la SSE-C crittografia verrà rifiutata con un errore HTTP 403. AccessDenied Gli oggetti SSE-C crittografati esistenti nel bucket non sono interessati, puoi comunque leggerli con GetObject o fornendo le intestazioni richieste. HeadObject SSE-C

Questa impostazione è un parametro dell'PutBucketEncryptionAPI e può essere aggiornata anche utilizzando la console S3, la AWS CLI o gli SDK. AWS Devi disporre dell'autorizzazione s3:PutEncryptionConfiguration.

Permissions

Usa l'PutBucketEncryptionAPI o la console S3, AWS gli SDK o la AWS CLI per bloccare o sbloccare i tipi di crittografia per un bucket generico. È necessario disporre delle seguenti autorizzazioni:

Usa l'GetBucketEncryptionAPI o la console S3, AWS gli SDK o la AWS CLI per visualizzare i tipi di crittografia bloccati per un bucket generico. È necessario disporre delle seguenti autorizzazioni:

Considerazioni prima di bloccare SSE-C la crittografia

Dopo aver bloccato SSE-C un bucket, si applica il seguente comportamento di crittografia:

Se desideri verificare se stai utilizzando la SSE-C crittografia in uno dei tuoi bucket prima di bloccare questo tipo di crittografia, puoi utilizzare strumenti come monitorare l'accesso AWS CloudTrail ai tuoi dati. Questo post del blog mostra come verificare i metodi di crittografia per il caricamento di oggetti in tempo reale. Puoi anche fare riferimento a questo articolo di Re:POST per guidarti nell'interrogazione dei report di S3 Inventory per vedere se hai oggetti crittografati. SSE-C

Fasi

Puoi bloccare o sbloccare la crittografia lato server con chiavi (SSE-C) fornite dal cliente per un bucket generico utilizzando la console Amazon S3, (), l'API REST di Amazon S3 e gli AWS Command Line Interface SDK.AWS CLI AWS

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockedEncryptionTypes": {
        "EncryptionType": ["SSE-C"]
      }
    }]
  }'

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockedEncryptionTypes": {
        "EncryptionType": ["NONE"]
      }
    }]
  }'