AWS 跨區域復制和 AWS KMS 客戶托管密鑰

Question

背景- 我正在嘗試為我們的一個存儲桶設置跨區域復制。 我們的存儲桶目前通過 KMS CMK（客戶管理的密鑰）加密。 我們知道 AWS KMS 是特定於區域的。

我已經能夠毫無問題地復制未加密的對象。

問題- 當對象（已加密）被復制到目前未加密的目標存儲桶時，目標存儲桶中的對象是否會被解密。 因為我們知道 CMK 密鑰在目標區域不可用？

Answer 1

您從中復制的 S3 服務將需要使用該區域的 CMK 解密數據密鑰，然后使用目標區域的 CMK 構造一個新信封。 無需解密實際數據。

如果您跨賬戶進行復制，則源賬戶需要使用目標賬戶的 CMK 進行加密，但目標賬戶不需要使用源賬戶的 CMK 進行解密。 這表明源存儲桶所在的 S3 服務是在復制之前構建新信封的服務——這既是邏輯又是安全的做法。 （ https://docs.aws.amazon.com/AmazonS3/latest/userguide/replication-config-for-kms-objects.html#replication-kms-cross-acct-scenario ）

因此，在傳輸過程中，復制的對象使用 TLS 和 KMS 進行加密。

（披露：我受雇於 AWS）