Blocage ou déblocage SSE-C pour un godet à usage général

À compter du mois d'avril 2026, Amazon S3 désactive automatiquement le chiffrement côté serveur à l'aide de clés fournies par le client (SSE-C) pour tous les nouveaux compartiments à usage général. Amazon S3 a également été désactivé SSE-C pour les compartiments existants dans les comptes ne contenant aucun objet SSE-C chiffré. Cela signifie que par défaut, les demandes de téléchargement d'objets en utilisant SSE-C sont rejetées avec une AccessDenied erreur HTTP 403.

SSE-C vous oblige à fournir la clé de chiffrement à chaque demande de lecture ou d'écriture d'objets chiffrés, ce qui complique le partage de l'accès avec d'autres utilisateurs, rôles ou AWS services qui opèrent sur vos données. La plupart des charges de travail utilisent plutôt le chiffrement côté serveur avec des clés gérées Amazon S3 (SSE-S3) ou des clés AWS KMS (SSE-KMS).

Si votre charge de travail l'exige SSE-C, vous pouvez l'activer explicitement en mettant à jour la configuration de chiffrement par défaut de votre compartiment. À l'inverse, si des buckets SSE-C sont toujours autorisés, vous pouvez les bloquer pour empêcher de nouveaux SSE-C téléchargements.

Lorsqu'un bucket SSE-C est bloqué PutObject CopyObjectPostObject, toute demande de téléchargement partitionné ou de réplication spécifiant le SSE-C chiffrement sera rejetée avec une AccessDenied erreur HTTP 403. SSE-C Les objets chiffrés existants dans le compartiment ne sont pas affectés, vous pouvez toujours les lire avec GetObject ou HeadObject en fournissant les SSE-C en-têtes requis.

Ce paramètre est un paramètre de l'PutBucketEncryptionAPI et peut également être mis à jour à l'aide de la console S3, de la AWS CLI ou AWS des SDK. Vous devez avoir l'autorisation s3:PutEncryptionConfiguration.

Permissions

Utilisez l'PutBucketEncryptionAPI ou la console S3, AWS les SDK ou la AWS CLI pour bloquer ou débloquer les types de chiffrement pour un compartiment à usage général. Vous devez disposer des autorisations suivantes :

Utilisez l'GetBucketEncryptionAPI ou la console S3, AWS les SDK ou la AWS CLI pour afficher les types de chiffrement bloqués pour un compartiment à usage général. Vous devez disposer des autorisations suivantes :

Considérations avant de bloquer SSE-C le chiffrement

Une fois que vous avez bloqué SSE-C un compartiment, le comportement de chiffrement suivant s'applique :

Si vous souhaitez vérifier si vous utilisez le SSE-C chiffrement dans l'un de vos compartiments avant de bloquer ce type de cryptage, vous pouvez utiliser des outils tels que AWS CloudTraille contrôle de l'accès à vos données. Ce billet de blog explique comment auditer les méthodes de chiffrement pour le téléchargement d'objets en temps réel. Vous pouvez également consulter cet article de Re:Post pour vous guider dans les requêtes des rapports d'inventaire S3 afin de voir si vous possédez des SSE-C objets chiffrés.

Étapes

Vous pouvez bloquer ou débloquer le chiffrement côté serveur à l'aide des clés fournies par le client (SSE-C) pour un compartiment à usage général en utilisant la console Amazon S3, le AWS Command Line Interface (),AWS CLI l'API REST Amazon S3 et les SDK. AWS

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockEncryptionTypes": {
        "EncryptionType": "SSE-C"
      }
    }]
  }'

aws s3api put-bucket-encryption \
  --bucket amzn-s3-demo-bucket \
  --server-side-encryption-configuration '{
    "Rules": [{
      "BlockEncryptionTypes": {
        "EncryptionType": "NONE"
      }
    }]
  }'