Amazon web services 具有数据敏感对象名称的AWS S3对象

我们将S3对象的名称命名为员工的生日。这是愚蠢的。我们希望避免使用敏感数据创建对象名称。使用S3用户定义的元数据存储敏感数据是否安全，或者添加拒绝操作S3:Getobject的S3 bucket策略是否安全。哪个有效？

如你所述；使用敏感数据创建对象名称不是一个好主意；但是没关系。。。也不错。。我建议删除S3策略中的listAllObjects（）权限。策略应该只允许getObject（），这意味着任何人只有在知道对象名称时才能获取对象；i、 e.调用api时，api已经知道用户的DOB

---

具有listAllObjects（）权限；调用者可以列出bucket中的所有对象并获取用户的DOB。

对象键和用户元数据不应用于敏感数据。对象键背后的原因显而易见，但元数据可能不那么明显

• 每次提取对象时，都会在HTTP头中返回元数据。这不能被禁用，但可以通过CloudFront和Lambda@Edge响应触发器，可用于在通过CloudFront下载对象时编辑元数据；但是,
• 元数据不会加密存储在S3中，即使对象本身是加密的

对象标记也不适用于敏感数据，因为它们也不是加密存储的。对象标记对于标记包含敏感数据的对象很有用，因为可以在策略中使用标记来控制对象的访问权限，但这仅在对象本身包含敏感数据时才相关

---

如果“敏感”指的是“专有”而不是“个人”，则标签可以是数据的可接受位置。。。从业务角度来看，这些数据可能是敏感的，但不需要加密存储，例如创建对象的特定软件版本的标识。（我使用这种策略是为了，如果以后确定某个版本的代码有bug，我可以确定哪些对象可能受到了影响，因为它们是由该版本生成的）。您可能希望将此信息保留为专有信息，但在这种情况下它不会“敏感”。

如果您的s3存储桶用于存储私有数据，并且您允许公众访问该存储桶，这始终是一个坏主意-这基本上是一种隐蔽的安全性

你不需要改变你现有的s3结构，你可以只锁定你的应用程序，然后通过cloudfront签名的URL提供数据

基本上，在您当前注入S3URL的代码中，您可以调用aws api，从S3URL和策略创建签名url，并将此新url发送给最终用户。这将屏蔽S3URL，您可以强制执行其他限制，如链接的有效期、强制要求特定的头或限制对特定ip的访问等。您还可以获得cdn边缘缓存，并降低成本

---

根据您所在的行业，可以对生日等个人身份信息进行监管。重新设计您的系统和策略，以便始终保护此信息，使其不受公司外部以及不应访问此数据的员工的影响。