Бакет S3 содержит конфиденциальные данные, зашифрованные с помощью ключа KMS. Нескольким другим аккаунтам AWS требуется разрешение на вызов GetObject для этого бакета. Как можно гарантировать, что все запросы на получение объектов используют шифрование при передаче?

Правильный ответ — прикрепить политику бакета на основе ресурсов, которая запрещает доступ, когда условие aws:SecureTransport имеет значение false. Это гарантирует, что все запросы к бакету S3 будут использовать шифрование при передаче (HTTPS), поскольку запросы, выполненные по незашифрованному соединению (HTTP), будут отклонены. Неправильный вариант "Прикрепить политику бакета на основе ресурсов, которая разрешает доступ, когда условие aws:SecureTransport имеет значение false" неверен, так как это разрешит, а не запретит незашифрованный трафик. Неправильный вариант "Добавить политику роли в других аккаунтах, которая запрещает доступ, когда aws:SecureTransport имеет значение false" неверен, потому что политики ролей определяют разрешения для принципала, а не для ресурса. Политика бакета является правильным местом для применения таких ограничений. Неправильный вариант "Прикрепить политику на основе ресурсов к ключу KMS, которая запрещает доступ, когда aws:SecureTransport имеет значение false" неверен, так как политика ключа KMS контролирует доступ к самому ключу, а не к способу передачи данных в S3.