¿Debo usar una clave de AWS KMS administrada o una clave de AWS KMS administrada por el cliente para cifrar mis objetos en Amazon S3?

Resolución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulta Solución de problemas para la AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Elige una clave en función del nivel de control que necesites. AWS KMS administra la clave de AWS KMS aws/s3 predeterminada por ti, pero tú tienes el control total sobre una clave administrada por el cliente.

Cuándo usar la clave de KMS aws/s3 predeterminada

Utiliza la clave de KMS aws/s3 predeterminada en los siguientes casos:

• Utilizas entidades principales de AWS Identity and Access Management (IAM) para los objetos de S3 que están en la misma cuenta de AWS que la clave de AWS KMS.
• No deseas administrar las políticas de la clave de AWS KMS.

Para usar la clave de AWS KMS aws/s3 para cifrar un objeto, define el método de cifrado como SSE-KMS durante la carga, pero no especifiques ninguna clave. Ejecuta el siguiente comando cpde la AWS CLI:

aws s3 cp ./mytextfile.txt s3://DOC-EXAMPLE-BUCKET/ --sse aws:kms

Nota: Sustituye DOC-EXAMPLE-BUCKET por el nombre del bucket de S3.

Cuándo usar una clave administrada por el cliente

Utiliza una clave administrada por el cliente en los siguientes casos:

• Deseas crear, rotar, desactivar o definir controles de acceso para la clave.
• Quieres conceder acceso entre cuentas a tus objetos de S3.
  Nota: Puedes configurar la política de una clave administrada por el cliente para permitir el acceso desde otra cuenta.

Para usar una clave administrada por el cliente para cifrar un objeto, define el método de cifrado como SSE-KMS durante la carga. Además, especifica la clave administrada por el cliente como clave (--sse-kms-key-id). Ejecuta el siguiente comando cp:

aws s3 cp ./mytextfile.txt s3://DOC-EXAMPLE-BUCKET/ --sse aws:kms --sse-kms-key-id testkey

Nota: Sustituye mytextfile.txt por el nombre del archivo y DOC-EXAMPLE-BUCKET por el nombre del bucket de Amazon S3 y testkey por el ID de clave.

Para controlar el acceso a la clave administrada por el cliente, modifica la política de claves. Para obtener más información, consulta Creación de una política de claves.

Cuándo usar el cifrado SSE-S3

Puedes usar el cifrado de claves administradas de Amazon S3 (SSE-S3) en lugar del cifrado de AWS KMS. El cifrado de AWS KMS ofrece controles de seguridad sólidos, pero debes usar el cifrado SSE-S3 predeterminado en los siguientes casos:

• Cuando designas un bucket como destino para el registro de acceso al servidor de Amazon S3, debes utilizar el cifrado SSE-S3.
  Nota: No puedes usar el cifrado de AWS KMS para los buckets de destino del registro de acceso al servidor.
• Para los informes de trabajos de operaciones por lotes de Amazon S3, Amazon S3 cifra los informes de finalización con el cifrado SSE-S3.
• Los objetos que requieren acceso público anónimo (lectura pública) deben usar el cifrado SSE-S3 en lugar del cifrado de AWS KMS. Para obtener más información, consulta ¿Cómo soluciono el error "Requests require AWS Signature Version 4" cuando intento acceder a objetos de Amazon S3 que se han cifrado con claves administradas por AWS KMS?

Información relacionada

Protección de los datos con el cifrado del servidor

Uso del cifrado del servidor con claves de AWS KMS (SSE-KMS)