本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
在 Amazon S3 中加密文件网关存储的对象
S3 文件网关支持对其存储在 Amazon S3 中的数据使用以下服务器端加密方法：
-
SSE-S3— 默认情况下，上传到 Amazon S3 存储桶的所有新对象都使用服务器端加密和 Amazon S3 托管密钥。有关更多信息，请参阅《Amazon Simple Storage Service 用户指南》中的使用 Amazon S3 托管密钥的服务器端加密。
-
SSE-KMS— 您可以将文件共享配置为使用服务器端加密和 Amazon Key Management Service (Amazon KMS) 托管密钥。 Amazon KMS 是一项结合了安全、高度可用的硬件和软件的服务，可提供针对云端扩展的密钥管理系统。有关更多信息，请参阅什么是 Amazon 密钥管理服务？在Amazon Key Management Service 开发者指南中。
-
DSSE-KMS— 使用 Amazon KMS 密钥的 Dual-layer 服务器端加密在对象上传到 Amazon S3 时对对象进行两层加密。这有助于满足多层加密的合规性标准。有关更多信息，请参阅《亚马逊简单存储服务用户指南》中的对 Amazon KMS 密钥使用双层服务器端加密。
注意
使用 DSSE-KMS 和 Amazon KMS 钥匙需额外付费。有关更多信息，请参阅Amazon KMS 定价
。
创建新文件共享时，您可以使用 Storage Gateway 控制台或 Storage Gateway API 来指定加密方法。有关控制台操作步骤，请参阅使用自定义配置创建 NFS 文件共享或使用自定义配置创建 SMB 文件共享。有关相应 API 命令的信息，请参阅CreateNFSFileShare或CreateSMBFileShare《Amazon 存储网关 API 参考》。
您还可以使用 Storage Gateway 控制台或 Storage Gateway API 更新现有文件共享的加密设置。有关控制台操作步骤，请参阅更改现有文件共享的服务器端加密方法。有关相应 API 命令的信息，请参阅UpdateNFSFileShare或UpdateSMBFileShare《Amazon 存储网关 API 参考》。
注意
更新加密方法后，网关将使用新方法来处理其在 Amazon S3 中创建的所有新对象以及将来更新或修改的任何存储对象。现有 Amazon S3 对象仅在通过网关更新或修改时才会采用新的加密方法。
重要
确保您的文件共享使用的加密类型，与其数据存储到的 Amazon S3 存储桶使用的加密类型相同。
如果您将文件网关配置 DSSE-KMS 为使用 SSE-KMS 或进行加密，则必须手动向与文件共享关联的 IAM 角色添加kms:Encryptkms:ReEncrypt*kms:GenerateDataKey、、、和kms:DescribeKey权限。kms:Decrypt有关更多信息，请参阅使用存储网关的 Identity-Based 策略（IAM 策略）。