Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

为存储在 Amazon S3 中的项目配置服务器端加密 CodePipeline

可以使用两种方法为 Amazon S3 构件配置服务器端加密：

如果使用默认的 S3 密钥，则无法更改或删除此 Amazon 托管式密钥。如果您使用客户托管密钥 Amazon KMS 来加密或解密 S3 存储桶中的项目，则可以根据需要更改或轮换此客户托管密钥。

Amazon S3 支持存储桶策略，如果您要对所有存储在存储桶中的对象执行服务器端加密，则可以使用这些策略。例如，如果请求不包含用于请求服务器端加密（SSE-KMS）的 s3:PutObject 标头，则下面的存储桶策略将拒绝所有人的上传对象（x-amz-server-side-encryption）权限。

{
    "Version": "2012-10-17",
    "Id": "SSEAndSSLPolicy",
    "Statement": [
        {
            "Sid": "DenyUnEncryptedObjectUploads",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::codepipeline-us-west-2-89050EXAMPLE/*",
            "Condition": {
                "StringNotEquals": {
                    "s3:x-amz-server-side-encryption": "aws:kms"
                }
            }
        },
        {
            "Sid": "DenyInsecureConnections",
            "Effect": "Deny",
            "Principal": "*",
            "Action": "s3:*",
            "Resource": "arn:aws:s3:::codepipeline-us-west-2-89050EXAMPLE/*",
            "Condition": {
                "Bool": {
                    "aws:SecureTransport": "false"
                }
            }
        }
    ]
}

有关服务器端加密的更多信息 Amazon KMS，请参阅使用服务器端加密保护数据和使用存储在 Amazon Key Management Service (SSE- KMS) 中的 KMS 密钥使用服务器端加密保护数据。

有关的更多信息 Amazon KMS，请参阅《Amazon Key Management Service 开发人员指南》。

查看你的 Amazon 托管式密钥

当您使用创建管道向导创建第一个管道时，系统将在您创建管道的同一区域为您创建一个 S3 存储桶。存储桶用于存储管道项目。当管道运行时，构件会放入 S3 存储桶并从中检索。默认情况下， CodePipeline 使用服务器端加密，并 Amazon KMS 使用 Amazon 托管式密钥 适用于 Amazon S3 的（aws/s3密钥）。 Amazon 托管式密钥 这是创建并存储在您的 Amazon 账户中。从 S3 存储桶检索项目时， CodePipeline 使用相同的 SSE-KMS 进程来解密该项目。

使用 Amazon CloudFormation 或，为 S3 存储桶配置服务器端加密 Amazon CLI

使用 Amazon CloudFormation 或创建管道时，必须手动配置服务器端加密。 Amazon CLI 使用上面的示例桶策略，然后创建您自己的客户管理的密钥。您也可以使用自己的密钥，而不是 Amazon 托管式密钥。选择自己的密钥的一些理由包括：

加密最佳实践建议不要广泛重复使用加密密钥。作为最佳实践，请定期轮换您的密钥。要为您的 Amazon KMS 密钥创建新的加密材料，您可以创建客户托管密钥，然后更改应用程序或别名以使用新的客户托管密钥。或者，您可以为现有客户管理的密钥启用自动密钥轮换。

要轮换客户管理的密钥，请参阅轮换密钥。