Voxel Media 使用 SSE-KMS 和客户管理的 CMK 在 Amazon S3 中托管了一个包含数十亿小对象的数据湖。最近，KMS 请求费用飙升，并且在大量的 PUT/GET 突发期间偶尔会出现限流。他们必须保留 SSE-KMS。在不改变合规性态势的情况下，减少 KMS 请求和成本最有效的改变是什么？

启用 S3 Bucket Keys 是最有效的解决方案。当启用 S3 Bucket Keys 时，S3 会生成一个桶级别的密钥，该密钥在一段时间内用于加密桶中的多个对象。这意味着 KMS 只需为这个桶级别的密钥进行一次解密操作，而不是为每个对象都进行一次解密操作，从而显著减少了对 KMS 的请求数量和相关成本，同时保持了 SSE-KMS 的合规性。 切换到 SSE-S3 虽然可以消除 KMS 请求，但它不符合题目中“必须保留 SSE-KMS”的要求。申请更高的 KMS 请求配额可以解决限流问题，但不能减少请求数量和成本。使用客户端加密并由 KMS 管理密钥会增加客户端的复杂性，并且仍然需要为每个对象或每个数据密钥进行 KMS 调用，可能无法显著减少总体的 KMS 请求量。