Un bucket S3 contiene dati sensibili crittografati con una chiave KMS. Diversi altri account AWS necessitano dell'autorizzazione per chiamare GetObject sul bucket. Come puoi assicurarti che tutte le richieste di recupero degli oggetti utilizzino la crittografia in transito?

La risposta corretta è allegare una policy del bucket basata sulle risorse che nega l'accesso quando la condizione aws:SecureTransport è falsa. Questa policy impone che tutte le richieste al bucket S3 utilizzino connessioni crittografate (HTTPS), garantendo la sicurezza dei dati in transito. Le policy del bucket sono il meccanismo appropriato per controllare l'accesso a livello di bucket S3. L'opzione che consente l'accesso quando aws:SecureTransport è falsa è errata perché permetterebbe connessioni non sicure. Aggiungere una policy di ruolo negli altri account non è sufficiente, in quanto le policy di identità (ruoli) non possono imporre requisiti di trasporto sicuro a livello di servizio S3 per tutte le richieste. Allegare una policy alla chiave KMS è inappropriato perché la chiave KMS gestisce la crittografia a riposo, non la crittografia in transito.