/ /

配置 S3 加密

Atlas Data Federation可以查询和分析AWS S3 存储桶中的未加密数据，无需额外配置。但是，要使用 $out 读取加密数据或写入S3 存储桶， Data Federation可能需要额外权限，具体取决于您的 S3加密设置。

下表描述了针对每种类型的 AWS S3加密，联合数据库实例读取加密数据和使用 $out 将数据写入S3 所需的配置。

AWS S3 加密类型

所需的 Data Federation 配置

AES-256

默认下， Atlas Data Federation支持读取和写入使用 AES-256 AWS 托管密钥在 S3 存储桶中加密的数据。无需额外配置。

使用 Amazon S3 托管的 SSE

Atlas Data Federation默认支持读取和写入使用 SSE 和Amazon S3 托管密钥在 S3 存储桶中加密的数据。无需额外配置。

客户托管的对称客户主密钥

默认下， Atlas Data Federation无法访问权限使用 SSE客户数托管对称客户数主密钥在 S3 存储桶中加密的数据。对于读取和写入，您必须在分配给您的 IAM角色的策略中添加类似于以下内容的权限：

{
   "Effect": "Allow",
   "Action": [
      "kms:GenerateDataKey",
      "kms:decrypt"
   ],
   "Resource": [
      "arn:aws:kms:<aws-region>:<role-ID>:key/<master-key>"
   ]
 }

要修改AWS IAM 角色信任策略，请执行以下操作：

登录到 AWS 管理控制台并导航到 Identity and Access Management (IAM) 服务页面。
从左侧导航中选择Roles ，然后单击要修改的 IAM 角色。
选择 Trust Relationships 标签页。
单击Edit trust relationship按钮并编辑Policy Document 。