Segment S3 zawiera wrażliwe dane zaszyfrowane kluczem KMS. Kilka innych kont AWS potrzebuje uprawnień do wywołania GetObject na tym segmencie. Jak zapewnić, że wszystkie żądania pobrania obiektów używają szyfrowania w transporcie?

Prawidłowa odpowiedź to dołączenie polityki segmentu opartej na zasobach, która odmawia dostępu, gdy warunek aws:SecureTransport jest fałszywy. Ta polityka wymusza użycie szyfrowania w transporcie (HTTPS) dla wszystkich żądań do segmentu S3, co jest kluczowe dla ochrony wrażliwych danych. Odmowa dostępu, gdy aws:SecureTransport jest fałszywy, oznacza, że tylko bezpieczne połączenia będą dozwolone. Pozostałe opcje są nieprawidłowe: Zezwolenie na dostęp, gdy aws:SecureTransport jest fałszywy, jest sprzeczne z celem wymuszenia szyfrowania w transporcie. Dodanie polityki roli na innych kontach nie jest skuteczne, ponieważ polityki oparte na zasobach (takie jak polityki segmentów S3) są oceniane jako pierwsze i mogą nadpisać uprawnienia ról. Polityka klucza KMS nie kontroluje szyfrowania w transporcie do S3; kontroluje ona użycie samego klucza KMS.