Server-side encryption cho hoá đơn trên Amazon S3
Dữ liệu được mã hoá thì không đọc được nếu không có key; vì vậy câu hỏi quan trọng là ai giữ key và ai được phép dùng key.
Mọi object mới trên S3 đều được mã hoá. Quyết định cần đưa ra là bên nào quản lý key và bên nào theo dõi được việc sử dụng key. Mỗi tình huống dưới đây là một yêu cầu thực tế của MFTECH. Chọn tình huống, thay đổi cấu hình và nhấn Chạy để quan sát đường đi của object và các dịch vụ được gọi.
Kiểm toán viên yêu cầu MFTECH cung cấp thông tin: key nào đã mã hoá hoá đơn, principal nào sử dụng key và vào thời điểm nào. MFTECH không muốn tự lưu giữ key. Nhấn Chạy để quan sát kết quả. Thay đổi cấu hình và chạy lại để so sánh.
- Yêu cầu audit hoặc kiểm soát quyền sử dụng key: SSE-KMS.
- Xoay key tự động: customer managed key + automatic rotation (mặc định 365 ngày, cấu hình được từ 90 đến 2560 ngày).
- Chi phí KMS cao: bật S3 Bucket Keys, giữ nguyên SSE-KMS.
- Một key cho nhiều Region: multi-Region keys, chọn khi tạo key (single-Region key không chuyển đổi được; dữ liệu cũ phải được copy để mã hoá lại bằng key mới).
- Mỗi object một key, không cần cấu hình thêm: SSE-S3.
- Key phải được lưu ngoài AWS: SSE-C (từ tháng 4/2026 bị chặn mặc định trên bucket mới, phải bật lại bằng PutBucketEncryption).
Server-side encryption for invoices on Amazon S3
Encrypted data cannot be read without the key, so the key questions are who holds the key and who may use it.
Every new object on S3 is encrypted. The decision to make is who manages the key and who can track key usage. Each scenario below is a real MFTECH requirement. Choose a scenario, change the configuration and press Run to watch the object’s path and the services that are called.
Kiểm toán viên yêu cầu MFTECH cung cấp thông tin: key nào đã mã hoá hoá đơn, principal nào sử dụng key và vào thời điểm nào. MFTECH không muốn tự lưu giữ key. Nhấn Chạy để quan sát kết quả. Thay đổi cấu hình và chạy lại để so sánh.
- Auditing or controlling who can use the key: SSE-KMS.
- Automatic key rotation: customer managed key + automatic rotation (365 days by default, configurable from 90 to 2560 days).
- High KMS cost: turn on S3 Bucket Keys and keep SSE-KMS.
- One key for multiple Regions: multi-Region keys, chosen when the key is created (a single-Region key cannot be converted; existing data must be copied to re-encrypt it under the new key).
- A key per object with no extra configuration: SSE-S3.
- The key must be kept outside AWS: SSE-C (since April 2026 blocked by default on new buckets; it must be re-enabled with PutBucketEncryption).