16上でmountした。KMSについては以下のドキュメントが詳しいが要は暗号化の際に煩雑な鍵の管理をAWSにお願いできる仕組み。このS3バケットは記事公開時点で削除済み。いうフォーマットで書く。KMSの鍵IDを環境変数に設定した。AWSSSEKMSID='********'そしてmountする。あたりをきちんと設定しないと読み書きできない、ハマった。フォアグラウンド実行。S3バケットに入っているJPEG画像はこれ。「ぱくたそ」からお借りした。cat_plain.jpg*その時のコンソールログ。[path=/cat_plain.jpg]アップロード前のチェックサムがこれ。cat.jpgmountしたS3バケットから読み取りテスト兼ねてチェックサムを取得してみる。一致しているので正しく読み取れていることがわかる。bucket/cat.jpgファイル読み取り時のコンソールログ。[path=/cat.jpg][fd=7]今度はS3バケットにファイルを書き込んでみる。適当にファイルを作りチェックサムを取得。rand.txtマウントポイントにコピーする。コピー後のチェックサムが一致しているので正しくコピーできたことがわかる。bucket/rand.txt書き込み時のコンソールログ。[path=/rand.txt][fd=7]こちらはチェックサム取得時のコンソールログ。[path=/rand.txt][fd=7]以上、ちょっとハマったができてみるとあっさり暗号化したS3バケットが扱えた。「これをprovisioningするの時間がないなー」とか思ってたら斜め後ろのベテランエンジニアがサクッとitamaeのrecipeにしてくれた。