使用OSS完全托管的密钥加密每个Object。为了提升安全性，OSS还会使用定期轮转的主密钥对加密密钥本身进行加密。该方式适合于批量数据的加解密。

OSS使用默认托管的KMS CMK生成不同的密钥来加密不同的Object，并且在下载时自动解密。首次使用时，OSS会在KMS平台创建一个OSS托管的CMK。

配置方式如下：

• 配置Bucket默认加密方式

  配置Bucket默认加密方式为KMS，指定加密算法为AES256或SM4，但不指定具体的CMK ID。此后，所有上传至此Bucket的Object都会被加密。

• 为指定Object配置加密方式

  上传Object或修改Object的meta信息时，在请求中携带x-oss-server-side-encryption参数，并设置参数值为KMS。此时，OSS将使用默认托管的KMS CMK，并通过AES256加密算法加密Object。如需修改加密算法为SM4，您还需增加x-oss-server-side-data-encryption参数，并指定值为SM4。更多详情，请参见PutObject。

您在KMS控制台使用BYOK材料生成CMK后，OSS可使用指定的KMS CMK生成不同的密钥来加密不同的Object，并将加密Object的CMK ID记录到Object的元数据中，只有具有解密权限的用户下载Object时才会自动解密。

• 具有对目标Bucket的管理权限。
• 具有PutBucketEncryption和GetBucketEncryption权限。
• 若设置加密方式为SSE-KMS，且指定了CMK ID，还需要ListKeys、Listalias、ListAliasesByKeyId以及DescribeKeys权限。此场景下的RAM Policy授权策略如下：

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "kms:List*",
          "kms:DescribeKey"    
        ],
        "Resource": [
          "acs:kms:*:1416614965936597:*" //示例表示允许调用该账号下所有的KMS密钥，如果仅允许使用某个CMK，此处可输入对应的CMK ID。
        ]
      }
    ]
  }

• 具有目标Bucket的上传文件权限。
• 若设置加密方式为KMS，并指定了CMK ID，还需要ListKeys、Listalias、ListAliasesByKeyId、DescribeKeys、GenerateDataKey以及kms:Decrypt权限。此场景下的RAM Policy授权策略如下：

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "kms:List*",
          "kms:DescribeKey",
          "kms:GenerateDataKey",
          "kms:Decrypt"
        ],
        "Resource": [
          "acs:kms:*:1416614965936597:*"//示例表示允许调用该账号下所有的KMS密钥，如果仅允许使用某个CMK，此处可输入对应的CMK ID。
        ]
      }
    ]
  }

• 具有目标Bucket的文件访问权限。
• 若设置加密方式为KMS，并指定了CMK ID，还需要Decrypt权限。此场景下的RAM Policy授权策略如下：

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
      "kms:Decrypt"
        ],
        "Resource": [
          "acs:kms:*:1416614965936597:*"//示例表示具有当前所有KMS的解密权限。若要针对某个KMS密钥进行解密，此处可输入对应的CMK ID。
        ]
      }
    ]
  }