在现有 s3 存储桶上启用默认加密是否需要对存储桶用户进行任何 IAM 更改？

Question

我想为现有存储桶启用默认加密（Amazon S3 托管的加密密钥 (SSE-S3)）。 未来的对象将被加密，但要加密现有对象，我需要复制它们或重新上传它们。

我想知道，当我使用 SSE-S3 对存储桶进行默认加密时，我是否需要进行任何 IAM 更改以允许存储桶用户访问现有对象和未来对象？ 或者在存储桶上启用默认加密 (SSE-S3) 不需要任何 IAM 更改，因为在 rest 存储数据之前应用了加密？

谢谢您的帮助。

Answer 1

如果您使用的是SSE-S3 （Amazon S3 托管的加密密钥），那么您无需执行任何操作。 您可以通过存储桶策略强制执行此加密，因为您的用户可以基于每个对象覆盖默认的 SSE-S3 存储桶加密。

但是，如果您选择SSE-KMS作为您自己的 CMK（不是 AWS 的默认值）的默认设置，那么您的用户/inctances/lambdas 也需要具有访问 CMK 的权限。