我们的企业在亚马逊S3上存储了不同类型的数据，包括视频和图表。有哪些选择可以确保亚马逊S3 bucket的安全，并且加密我们的数据?

亚马逊S3 bucket和对象可以通过互联网访问。AWS安全控制用来保护其他的资源，比如安全群组和网络访问控制列表，但不保护S3中的数据。但是也有一些方法可以保护S3中的数据的机密性、完整性和可用性。

默认方式下，创建于亚马逊简单存储服务(S3)的对象只能够为创建它们的人访问。所有者可以授权其他人以粗粒度和细粒度的方式访问。比如一位所有者可以让数据集公开使用，每一个人都可以用这个对象的URL来访问。

或者所有者可以使用S3策略和身份及访问管理用户和群组，允许有限的用户集访问。S3策略也可以基于网络连接属性限制运行。如果你只希望企业网络的用户访问S3中的对象，指定所有的连接都从一个可信任的IP地址范围发出。其他地址尝试访问则会被拒绝。

如果你希望确保从S3下载下来的数据是加密的，拒绝访问任何不适SSL加密的连接。

还有一些方法可以用来在S3中实现加密。如果你使用AWS Key Management Service，就可以使用服务器端加密，允许亚马逊Web服务(AWS)管理加密密钥。为了管理你自己的密钥，你需要使用服务器端加密密钥，并且在企业内部保存。第三种选择是在将数据发送到AWS之前加密数据。在这种场景中，你要管理加密流程的所有方面。

对于在S3中保护数据而言，审计是一个重要的安全流程。存储管理员可以配置亚马逊S3 bucket来记录所有的请求特定bucket的细节。他们可以在其他的亚马逊S3 bucket中存储日志文件，并且用不同的访问控制授权来最小化干预。

本文作者：张培颖

来源：51CTO