背景 - 我正在尝试为我们的一个存储桶设置跨区域复制。我们的存储桶目前通过 KMS CMK（客户管理的密钥）加密。我们知道 AWS KMS 是特定于区域的。
我已经能够毫无问题地复制未加密的对象。
问题 - 当对象（已加密）被复制到目前未加密的目标存储桶时，目标存储桶中的对象是否会被解密。因为我们知道 CMK 密钥在目标区域不可用？
【问题讨论】：
标签： amazon-web-services amazon-s3 amazon-kms
您从中复制的 S3 服务将需要使用该区域的 CMK 解密数据密钥，然后使用目标区域的 CMK 构造一个新信封。无需解密实际数据。
如果您要跨账户进行复制，则源账户需要使用目标账户的 CMK 进行加密，但目标账户不需要使用源账户的 CMK 进行解密。这表明源存储桶所在的 S3 服务是在复制之前构建新信封的服务——这既是逻辑又是安全的做法。 (https://docs.aws.amazon.com/AmazonS3/latest/userguide/replication-config-for-kms-objects.html#replication-kms-cross-acct-scenario)
因此，在传输过程中，复制的对象使用 TLS 和 KMS 进行加密。
（披露：我受雇于 AWS）
【讨论】：