全面强制启用默认加密
强制使用加密，确保永远不会存储未受保护的数据。
全面强制启用默认加密 是 CoddyKit 上的免费 AWS Security Academy 课时。 这是第 2 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 AWS Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 AWS Security Academy 课程共包含 4 节课。
默认设置为何重要
依靠人员记住启用加密，必然会留下漏洞。稳妥的做法是将加密设为默认设置，并阻止任何未加密的操作。
这样，合规性不再依赖于希望，而是通过结构化方式在整个账户中强制执行。
S3 默认加密
现在，每个 S3 存储桶都会应用默认加密；即使上传者未提出要求，对象也会在服务器端加密。
您可以将默认设置为使用特定密钥的 SSE-KMS，这样所有新对象都会受到保护并可供审计，无需为每次上传单独配置。
拒绝未加密的上传
如果要进一步加强保护，可以通过存储桶策略拒绝任何未请求所需加密方式的 PutObject 操作。
这样会拒绝试图绕过加密的写入操作，确保没有任何数据以未受保护的状态写入。这是敏感存储桶中常见的模式。
{
"Effect": "Deny",
"Principal": "*",
"Action": "s3:PutObject",
"Resource": "arn:aws:s3:::secure-bucket/*",
"Condition": { "StringNotEquals": { "s3:x-amz-server-side-encryption": "aws:kms" } }
}默认启用 EBS 加密
您可以按区域启用默认 EBS 加密。
启用后，该区域中的每个新 EBS 卷和快照都会自动使用您选择的 KMS 密钥进行加密，从而避免意外启动未加密卷所造成的漏洞。
使用 SCP 强制执行
服务控制策略（SCP）可以在整个组织范围内强制执行加密。
SCP 可以拒绝在任何成员账户中创建未加密 RDS 实例或卷等操作。由于 SCP 会限制权限，因此任何人都无法绕过它，即使是管理员也不例外。
使用 Config 检测不合规情况
AWS Config 规则会持续检查资源是否已加密。
- 规则会标记未加密的卷、存储桶和数据库。
- 结合自动修复后，规则可以自动修复或报告配置偏差。
这比一次性的设置检查提供了持续保障。
要求使用特定密钥
默认设置不仅可以要求“任意加密”，还可以要求使用特定的 KMS 密钥。
策略通过条件要求使用特定的密钥 ARN，确保数据使用由您的团队控制并审计的密钥加密，而不是使用 AWS 默认托管密钥。
同时采用预防性与检测性控制
最强的安全态势需要将两者结合起来：
- 预防性控制（SCP、存储桶策略和默认设置）会阻止创建未加密资源。
- 检测性控制（Config、Security Hub）会发现任何遗漏的资源。
深度防御同样适用于加密。
在 CI/CD 中执行加密
在部署之前检查基础设施即代码模板，将强制执行左移。
工具和自定义策略检查会验证 CloudFormation 或 Terraform 是否设置了加密，因此不合规的资源会在流水线阶段而不是生产环境中被阻止。
同时强制执行 TLS 与静态加密
默认加密通常指静态加密，但您还应强制执行传输中加密。
使用 aws:SecureTransport 条件的 S3 存储桶策略可以拒绝任何未通过 TLS 发出的请求。将此设置与默认静态加密结合起来，可以确保数据无论是在存储时还是传输过程中都受到保护。
整合各项强制措施
完整的策略是：为 S3 和 EBS 启用默认加密，通过SCP 和存储桶策略拒绝创建未加密资源，并使用 Config 和 Security Hub 进行验证。
这样，加密就从可选项变成了必然要求。
快速检查
选择最强的强制措施。
回顾
您已经学习了如何强制执行默认加密。
- 在 S3 和 EBS 上启用默认加密，可以自动保护数据。
- SCP 和存储桶策略会在整个组织范围内拒绝创建未加密资源。
- Config 和 Security Hub会检测任何遗漏的资源。
常见问题解答
「全面强制启用默认加密」课时是免费的吗？
是的 — 「全面强制启用默认加密」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 AWS Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 AWS Security Academy 课程共包含 4 节课。
「全面强制启用默认加密」这节课中我会学到什么？
强制使用加密，确保永远不会存储未受保护的数据。 你通过在浏览器中直接运行的动手代码来练习 AWS Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 AWS Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 AWS Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 2 节课，共 4 节。
「全面强制启用默认加密」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 AWS Security Academy 课中编写并运行代码吗？
能。每节 AWS Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。