更新对象加密

可以使用 Amazon S3 批量操作对 Amazon S3 对象执行大规模批量操作。批量操作 UpdateObjectEncryption 操作使用单个请求来更新多个 Amazon S3 对象的服务器端加密类型。单个 UpdateObjectEncryption 复制作业可以支持包含多达 200 亿个对象的清单。

通用存储桶支持的所有 Amazon S3 存储类别都支持 UpdateObjectEncryption 操作。您可以使用 UpdateObjectEncryption 操作来将加密的对象从具有 Amazon S3 托管式密钥的服务器端加密（SSE-S3）更改为 Amazon Key Management Service（Amazon KMS）密钥（SSE-KMS），或者应用 S3 存储桶密钥。还可以使用 UpdateObjectEncryption 操作来更改用于加密数据的客户自主管理型 KMS 密钥，这样您就可以遵守自定义密钥轮换标准。

创建批量操作作业时，可以根据您指定的源位置和筛选条件生成对象列表。可以使用 MatchAnyObjectEncryption 筛选条件从存储桶中生成您要更新并包含在清单中的对象的列表。生成的对象列表仅包含具有指定的服务器端加密类型的源存储桶对象。如果您选择 SSE-KMS，则可以选择通过指定特定的 KMS 密钥 ARN 和“存储桶密钥已启用”状态来进一步筛选结果。有关更多信息，请参阅《Amazon S3 API 参考》中的 JobManifestGeneratorFilter 和 SSEKMSFilter。

限制和注意事项

当您使用批量操作 UpdateObjectEncryption 操作时，以下限制和注意事项适用：

有关 UpdateObjectEncryption 的更多信息，请参阅更新现有数据的服务器端加密。

所需的权限

要执行 UpdateObjectEncryption 操作，请将以下 Amazon Identity and Access Management（IAM）策略添加到您的 IAM 主体（用户、角色或组）。要使用此策略，请将 amzn-s3-demo-bucket 替换为包含您要更新其加密的对象的存储桶名称。将 amzn-s3-demo-manifest-bucket 替换为包含清单的存储桶的名称，并将 amzn-s3-demo-completion-report-bucket 替换为要存储完成报告的存储桶的名称。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3BatchOperationsUpdateEncryption",
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectVersion",
                "s3:PutObject",
                "s3:UpdateObjectEncryption"
            ],
            "Resource": [
                 "arn:aws:s3:::amzn-s3-demo-bucket-target"
                "arn:aws:s3:::amzn-s3-demo-bucket-target-target/*"
            ]
        },
        {
            "Sid": "S3BatchOperationsPolicyForManifestFile",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:GetObjectVersion"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket-manifest/*"
            ]
        },
        {
            "Sid": "S3BatchOperationsPolicyForCompletionReport",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket-completion-report/*"
            ]
        },
        {
            "Sid": "S3BatchOperationsPolicyManifestGeneration",
            "Effect": "Allow",
            "Action": [
                "s3:PutInventoryConfiguration"
            ],
            "Resource": [
                "arn:aws:s3:::amzn-s3-demo-bucket-target"
            ]
        },
        {
            "Sid": "AllowKMSOperationsForS3BatchOperations",
            "Effect": "Allow",
            "Action": [
                "kms:Decrypt",
                "kms:GenerateDataKey",
                "kms:Encrypt",
                "kms:ReEncrypt*"
            ],
            "Resource": [                "arn:aws:kms:us-east-1:111122223333:key/01234567-89ab-cdef-0123-456789abcdef"
            ]
        }
    ]
}

有关您必须附加到 S3 批量操作服务主体代表您运行批量操作作业所代入的 IAM 角色的信任策略和权限策略，请参阅授予批处理操作的权限和更新对象加密。