データ所有者が暗号化してからS3へ送る

暗号化では、保存時・転送時、鍵の所有と利用、復号主体、マスキングの可逆性を分けて考える。

クライアント側暗号化で暗号化してからS3へアップロードする

Client-side encryptionはクライアントで暗号化・復号する。

S3 SSEだけで管理者の平文閲覧を常に防ぐ

SSEはS3側の保存時暗号化である。

ファイル名をランダム化する

名前秘匿は暗号化ではない。

CloudTrailでアップロード本文を暗号化する

CloudTrailはAPIイベントを記録する。