将桶配置为将 S3 桶密钥与 SSE-KMS 结合使用于新对象

在 S3 控制台中，您可以为新桶或现有桶启用或禁用 S3 桶密钥。S3 控制台中的对象从桶配置中继承其 S3 桶密钥设置。当您为桶启用 S3 桶密钥时，您上传到桶的新对象将利用 S3 桶密钥进行 SSE-KMS 加密。

在启用了 S3 桶密钥的桶中上传，复制或修改对象

如果您在启用了 S3 桶密钥的桶中上传、修改或复制对象，则该对象的 S3 桶密钥设置可能会更新以与桶配置保持一致。

如果对象已启用 S3 桶密钥，则在复制或修改对象时，该对象的 S3 桶密钥设置不会更改。但是，如果您修改或复制未启用 S3 桶密钥的对象，并且目标桶具有 S3 桶密钥配置，则该对象将继承目标桶的 S3 桶密钥设置。例如，如果源对象尚未启用 S3 桶密钥，但目标桶已启用 S3 桶密钥，则为该对象启用 S3 桶密钥。

您可以使用 PutBucketEncryption 为桶启用或禁用 S3 桶密钥。要使用 PutBucketEncryption 配置 S3 桶密钥，请使用 ServerSideEncryptionRule 数据类型，其中包括使用 SSE-KMS 进行的原定设置加密。您还可以通过客户托管密钥的 KMS 密钥 ID 来选择使用客户托管密钥。 

有关更多信息和示例语法，请参阅 putbucKetenCryption 。

以下示例使用 Amazon SDK for Java，通过 SSE-KMS 和 S3 桶密钥启用原定设置桶加密。

以下示例使用 Amazon CLI，通过 SSE-KMS 和 S3 桶密钥启用原定设置桶加密。将 user input placeholders 替换为您自己的信息。

aws s3api put-bucket-encryption --bucket DOC-EXAMPLE-BUCKET --server-side-encryption-configuration '{
        "Rules": [
            {
                "ApplyServerSideEncryptionByDefault": {
                    "SSEAlgorithm": "aws:kms",
                    "KMSMasterKeyID": "KMS-Key-ARN"
                },
                "BucketKeyEnabled": true
            }
        ]
    }'

有关使用 Amazon CloudFormation 配置 S3 桶密钥的更多信息，请参阅《Amazon CloudFormation 用户指南》中的 AWS::S3::Bucket ServerSideEncryptionRule。