Blocage ou déblocage du SSE-C pour un compartiment à usage général

À compter du mois d'avril 2026, Amazon S3 désactive automatiquement le chiffrement côté serveur à l'aide de clés fournies par le client (SSE-C) pour tous les nouveaux compartiments à usage général. Amazon S3 a également désactivé le SSE-C pour les compartiments existants dans les comptes ne contenant aucun objet chiffré SSE-C. Cela signifie que par défaut, les demandes de téléchargement d'objets à l'aide de SSE-C sont rejetées avec une erreur HTTP 403AccessDenied.

Le SSE-C vous oblige à fournir la clé de chiffrement à chaque demande de lecture ou d'écriture d'objets chiffrés, ce qui complique le partage de l'accès avec d'autres utilisateurs, rôles ou AWS services qui opèrent sur vos données. La plupart des charges de travail utilisent plutôt le chiffrement côté serveur avec des clés gérées Amazon S3 (SSE-S3) ou des clés KMS ( AWS SSE-KMS).

Si votre charge de travail nécessite le SSE-C, vous pouvez l'activer explicitement en mettant à jour la configuration de chiffrement par défaut de votre bucket. À l'inverse, si vous avez des compartiments dans lesquels le SSE-C est toujours autorisé, vous pouvez le bloquer pour empêcher de nouveaux téléchargements SSE-C.

Lorsque le SSE-C est bloqué pour un bucket PutObject CopyObjectPostObject, toute demande de téléchargement partitionné ou de réplication spécifiant le chiffrement SSE-C sera rejetée avec une erreur HTTP 403. AccessDenied Les objets chiffrés SSE-C existants dans le compartiment ne sont pas affectés. Vous pouvez toujours les lire avec GetObject ou HeadObject en fournissant les en-têtes SSE-C requis.

Ce paramètre est un paramètre de l'PutBucketEncryptionAPI et peut également être mis à jour à l'aide de la console S3, de la AWS CLI ou AWS SDKs. Vous devez avoir l'autorisation s3:PutEncryptionConfiguration.

Permissions

Utilisez l'PutBucketEncryptionAPI AWS SDKs, la console S3 ou la AWS CLI pour bloquer ou débloquer les types de chiffrement pour un compartiment à usage général. Vous devez disposer des autorisations suivantes :

Utilisez l'GetBucketEncryptionAPI AWS SDKs, la console S3 ou la AWS CLI pour afficher les types de chiffrement bloqués pour un compartiment à usage général. Vous devez disposer des autorisations suivantes :

Considérations à prendre en compte avant de bloquer le chiffrement SSE-C

Une fois que vous avez bloqué SSE-C pour un compartiment, le comportement de chiffrement suivant s'applique :

Si vous souhaitez vérifier si vous utilisez le chiffrement SSE-C dans l'un de vos compartiments avant de bloquer ce type de cryptage, vous pouvez utiliser des outils tels que le contrôle de l'accès AWS CloudTrailà vos données. Ce billet de blog explique comment auditer les méthodes de chiffrement pour le téléchargement d'objets en temps réel. Vous pouvez également consulter cet article de Re:Post pour vous guider dans l'interrogation des rapports d'inventaire S3 afin de voir si vous possédez des objets chiffrés SSE-C.

Étapes

Vous pouvez bloquer ou débloquer le chiffrement côté serveur à l'aide de clés fournies par le client (SSE-C) pour un compartiment à usage général en utilisant la console Amazon S3, le () AWS Command Line Interface ,AWS CLI l'API REST Amazon S3 et. AWS SDKs

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockEncryptionTypes": {
        "EncryptionType": "SSE-C"
      }
    }]
  }'

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockEncryptionTypes": {
        "EncryptionType": "NONE"
      }
    }]
  }'