KMS加密與S3 SSE的區別

Question

如果我 KMS 加密文件並將該文件推送到 S3 存儲桶與使用 SSE KMS 加密將文件放入 S3 存儲桶有什么區別嗎？

Answer 1

第一：KMS Encrypt操作只接受 4K 的數據，所以它不是通用的解決方案。

使用 S3 服務器端加密，S3 后端將生成一個密鑰，使用該密鑰加密數據，使用 KMS 加密密鑰，然后存儲加密的數據和加密的密鑰。 當您讀取數據時，它會進行相反的操作：使用 KMS 解密密鑰，然后使用解密的密鑰解密數據。

您可以自己實現同樣的事情，將加密的密鑰存儲在 S3 對象的元數據中。 但是，這意味着要自己編寫代碼來進行對象加密，除非您熟悉加密，否則可能會出錯。

客戶端加密有一些有限的用例，但在這些情況下，您將使用 KMS未提供的加密密鑰。