Un bucket de S3 contiene datos sensibles cifrados con una clave KMS. Varias otras cuentas de AWS necesitan permiso para llamar a GetObject en el bucket. ¿Cómo puede asegurarse de que todas las solicitudes para recuperar objetos utilicen cifrado en tránsito?

Para asegurar que todas las solicitudes a S3 utilicen cifrado en tránsito (HTTPS/TLS), se debe adjuntar una política de bucket basada en recursos que deniegue explícitamente las solicitudes que no utilicen transporte seguro. La condición aws:SecureTransport evalúa si la solicitud se realizó a través de un canal cifrado. Si esta condición es false, la política denegará el acceso, forzando el uso de HTTPS. Las otras opciones son incorrectas porque: Permitir el acceso cuando aws:SecureTransport sea falso haría lo contrario, permitiendo el acceso inseguro. Una política de rol en las otras cuentas no puede forzar el cifrado en tránsito para el bucket de S3; solo puede controlar las acciones que el rol puede realizar. Una política basada en recursos en la clave KMS no controla el cifrado en tránsito para S3; solo gestiona el acceso a la clave KMS en sí.