AWS IoT Analytics导出至公共S3桶自动加密问题咨询

问题根源 #

IoT Analytics导出数据集到S3时，默认会强制启用服务器端加密（SSE-S3），这个设置的优先级比桶级的加密禁用配置更高，所以会忽略你在桶上的设置，自动给生成的文件加密。

具体操作步骤 #

1. 用AWS CLI修改数据集导出配置 #

控制台确实没有这个选项，必须通过CLI来调整：

• 先获取当前数据集的配置，执行这条命令：

  aws iotanalytics describe-dataset --dataset-name 你的数据集名称
  

• 把返回结果里的contentDeliveryRules部分复制出来，添加encryptionConfiguration字段并设置disableServerSideEncryption为true，修改后的配置示例如下：

  {
    "datasetName": "你的数据集名称",
    "contentDeliveryRules": [
      {
        "entryName": "你的规则名称",
        "destination": {
          "s3DestinationConfiguration": {
            "bucket": "你的S3桶名称",
            "keyPrefix": "你的前缀路径（如果有）",
            "roleArn": "你的IAM角色ARN",
            "encryptionConfiguration": {
              "disableServerSideEncryption": true
            }
          }
        }
      }
    ]
  }
  

• 把修改后的JSON保存成update-dataset.json文件，再执行更新命令：

  aws iotanalytics update-dataset --cli-input-json file://update-dataset.json
  

2. 验证效果 #

等IoT Analytics下次自动更新数据集后，去S3桶里检查文件：

• 点开文件的属性，看"加密"部分是否显示"无服务器端加密"
• 直接访问文件链接，确认能正常公开访问

3. 注意事项 #

• 执行CLI命令的IAM账号得有iotanalytics:UpdateDataset权限
• 之后修改数据集其他配置时，别把这个加密配置覆盖了
• 手动上传的文件还是会遵循桶级设置，不受这个配置影响

内容的提问来源于stack exchange，提问作者Popsicle