SSE-S3 — ключи Amazon, проще; SSE-KMS — CMK с аудитом и политиками; SSE-C — клиент передаёт свой ключ (редко, сложнее ops). Для enterprise чаще SSE-KMS.
Разбор
- KMS request costs на горячих мелких объектах.
- Bucket keys снижают нагрузку KMS для S3.
- Запрет неутверждённых ключей политикой.
- Клиентское шифрование до загрузки — ещё один слой.
Итог
SSE-KMS — баланс контроля и удобства для большинства прод-бакетов.
