如何在 S3 加密中启用 AWS 托管密钥 (aws/s3) 作为 AWS KMS 密钥答案

【问题标题】：How to enable AWS managed key (aws/s3) as a AWS KMS key in S3 encryption如何在 S3 加密中启用 AWS 托管密钥 (aws/s3) 作为 AWS KMS 密钥
【发布时间】：2022-02-10 21:36:50
【问题描述】：

如何在使用云形成的 S3 加密中启用 AWS 托管密钥 (aws/s3) 作为 AWS KMS 密钥？我有以下代码，但我不确定是否应该将密钥作为 arn 传递

MyBucket:
    Type: AWS::S3::Bucket
    Properties:
      BucketName:
      BucketEncryption:
        ServerSideEncryptionConfiguration:
          - ServerSideEncryptionByDefault:
              SSEAlgorithm: aws:kms
              KMSMasterKeyID: !GetAtt ARN?
      VersioningConfiguration:
        Status: Enabled

【问题讨论】：

它接受密钥 ID 或 ARN。如果您在同一个 CF 堆栈模板中创建 KMS 密钥并调用它，例如 MyEncryptionKey，则只需使用 KMSMasterKeyID: !Ref MyEncryptionKey

标签： amazon-web-services amazon-s3 amazon-cloudformation

【解决方案1】：

您可以通过修改 Amazon S3 Bucket ServerSideEncryptionByDefault 属性为 SSEAlgorithm 指定 AES256 来使用 S3 托管密钥 (SSE-S3) 的服务器端加密

MyBucket:
    Type: AWS::S3::Bucket
    Properties:
      BucketName:
      BucketEncryption:
        ServerSideEncryptionConfiguration:
          - ServerSideEncryptionByDefault:
              SSEAlgorithm: AES256 
      VersioningConfiguration:
        Status: Enabled

【讨论】：

当然，这将配置 SSE-S3 而不是 SSE-KMS。这可能是可以接受的，但它对密钥、访问和审计的控制较少。
我误解了他的问题，因为我看到了 aws/S3 并假设他想使用 AWS S3 托管密钥。