機械翻訳について

オブジェクト・ストレージからのインポート中のデータの復号化

Object Storageに格納された暗号化されたファイルから、データを復号化してロードできます。 外部表で使用するオブジェクト・ストレージで暗号化されたデータを復号化することもできます。

このオプションは、ソース・ファイル内のデータが暗号化されている場合に、オンプレミス・データベースからAutonomous Databaseに移行する場合に便利です。

ノート:

このオプションは、4 GB未満のオブジェクト・ストレージ・ファイルでのみサポートされます。

このオプションは、次の手順に適用されます:

  • DBMS_CLOUD.COPY_DATA

  • DBMS_CLOUD.CREATE_EXTERNAL_TABLE

  • DBMS_CLOUD.CREATE_EXTERNAL_PART_TABLE

  • DBMS_CLOUD.CREATE_HYBRID_PART_TABLE

    DBMS_CLOUD.CREATE_HYBRID_PART_TABLEの場合、このオプションはオブジェクト・ストレージ・ファイルにのみ適用されます。

  • DBMS_CLOUD.COPY_COLLECTION

トピック

親トピック: インポート中のデータのエクスポートまたは復号化時のデータの暗号化

DBMS_CRYPTOアルゴリズムを使用したデータの復号化およびロード

暗号化されたファイルをオブジェクト・ストレージから復号化し、データをAutonomous Database上の表にロードするステップを示します(復号化ステップではDBMS_CRYPTOアルゴリズムを使用します)。

前提条件として、ファイルを暗号化してObject Storageにアップロードする必要があります。 この例では、CSVファイルを使用し、ファイルがDBMS_CRYPTO.ENCRYPT_AES256 + DBMS_CRYPTO.CHAIN_CBC + DBMS_CRYPTO.PAD_PKCS5アルゴリズムを使用して暗号化され、クラウド・オブジェクト・ストレージにアップロードされていると想定しています。

ENCRYPTファンクションの詳細は、「ENCRYPTファンクション」を参照してください。

暗号化キーの生成の詳細は、「DBMS_CRYPTO操作上のノート」を参照してください。

オブジェクト・ストレージからAutonomous Databaseの既存の表にデータを復号化してロードするには:

  1. Autonomous Databaseインスタンスに接続します。

    詳細については、「Autonomous Databaseに接続」を参照してください。

  2. DBMS_CLOUD.CREATE_CREDENTIALを使用してCloud Object Storage資格証明を保存します。

    たとえば:

    BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'OBJ_STORE_CRED',
    username        => 'user1@example.com',
    password        => 'password'
  );
END;
/

    usernameおよびpasswordに指定する値は、使用するクラウド・オブジェクト・ストレージ・サービスによって異なります。

    詳細については、「CREATE_CREDENTIALプロシージャ」を参照してください。

    リソース・プリンシパル資格証明を有効にした場合、Oracle Cloud Infrastructureオブジェクト・ストアにアクセスするための資格証明の作成は必要ありません。 詳細については、「リソース・プリンシパルを使用したOracle Cloud Infrastructureリソースへのアクセス」を参照してください。

  3. DBMS_CLOUD.CREATE_CREDENTIALを使用して、キーを格納する資格証明を作成します。 たとえば: 
    BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL (
    credential_name => 'ENC_CRED_NAME',
    username        => 'Any_username',
    password        => 'password'
  );
END;
/

    別の方法として、資格証明を作成して、キーをボールトに格納することもできます。 たとえば: 

    BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL (
    credential_name  => 'ENC_CRED_NAME',
    params           => JSON_OBJECT ('username' value 'Any_username',
                                     'region'    value 'Region',
                                     'secret_id' value 'Secret_id_value'));
END;
/

    ノート:

    キーを格納する資格証明で指定するusernameパラメータは、任意の文字列です。

    これにより、ボールト・シークレット資格証明であるENC_CRED_NAME資格証明が作成され、シークレット(復号化/暗号化キー)はOracle Cloud Infrastructure Vaultにシークレットとして格納されます。

    詳細については、「CREATE_CREDENTIALプロシージャ」を参照してください。

  4. DBMS_CLOUD.COPY_DATAを実行し、復号化メソッドとしてDBMS_CRYPTO暗号化アルゴリズムを指定します。
    BEGIN
 DBMS_CLOUD.COPY_DATA (
   table_name       => 'CSV_COPY_DATA',
   credential_name  => 'OBJ_STORE_CRED',
   file_uri_list    => 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o/encrypted.csv',
   format           => json_object( 'type' value 'csv', 'encryption' value json_object('type' value DBMS_CRYPTO.ENCRYPT_AES256 + DBMS_CRYPTO.CHAIN_CBC + DBMS_CRYPTO.PAD_PKCS5,'credential_name' value 'ENC_CRED_NAME'))
  );
END;
/

    これにより、オブジェクト・ストレージ内のENCRYPTED.CSVファイルが復号化されます。 その後、データがCSV_COPY_DATA表にロードされます。 formatパラメータのencryptionオプション値は、データの復号化に使用するDBMS_CRYPTO暗号化アルゴリズムを指定します。

    暗号化アルゴリズムの詳細は、「DBMS_CRYPTOアルゴリズム」を参照してください。

    この例では、namespace-stringがOracle Cloud Infrastructureオブジェクト・ストレージのネームスペースで、bucketnameがバケット名です。 詳細については、「オブジェクト・ストレージのネームスペースについて」を参照してください。

    パラメータの詳細は、「COPY_DATAプロシージャ」を参照してください。

    使用可能なformatパラメータの詳細は、DBMS_CLOUD.COPY_DATAとともに使用できます。「DBMS_CLOUDパッケージ・フォーマット・オプション」を参照してください。

親トピック: オブジェクト・ストレージからのインポート中のデータの復号化

ユーザー定義関数を使用したデータの復号化およびロード

オブジェクト・ストレージのファイルを復号化し、ユーザー定義の復号化関数を使用してデータを表にロードするステップを示します。

これらのステップの前提条件として、ファイルを暗号化し、ファイルをObject Storageにアップロードする必要があります。 この例では、CSVファイルを使用し、ファイルがDBMS_CRYPTO.ENCRYPT_AES256 + DBMS_CRYPTO.CHAIN_CBC + DBMS_CRYPTO.PAD_PKCS5アルゴリズムを使用して暗号化され、クラウド・オブジェクト・ストレージにアップロードされていると想定しています。

ENCRYPTファンクションの詳細は、「ENCRYPTファンクション」を参照してください。

暗号化キーの生成の詳細は、「DBMS_CRYPTO操作上のノート」を参照してください。

オブジェクト・ストレージからAutonomous Databaseの既存の表にデータを復号化してロードするには:

  1. Autonomous Databaseインスタンスに接続します。

    詳細については、「Autonomous Databaseに接続」を参照してください。

  2. DBMS_CLOUD.CREATE_CREDENTIALを使用してCloud Object Storage資格証明を保存します。

    たとえば:

    BEGIN
  DBMS_CLOUD.CREATE_CREDENTIAL(
    credential_name => 'OBJ_STORE_CRED',
    username        => 'user1@example.com',
    password        => 'password'
  );
END;
/

    usernameおよびpasswordに指定する値は、使用するクラウド・オブジェクト・ストレージ・サービスによって異なります。

    詳細については、「CREATE_CREDENTIALプロシージャ」を参照してください。

    リソース・プリンシパル資格証明を有効にした場合、Oracle Cloud Infrastructureオブジェクト・ストアにアクセスするための資格証明の作成は必要ありません。 詳細については、「リソース・プリンシパルを使用したOracle Cloud Infrastructureリソースへのアクセス」を参照してください。

  3. ユーザー定義関数復号化コールバック関数を作成します。

    たとえば:

    CREATE OR REPLACE FUNCTION decryption_func (data IN BLOB)
RETURN BLOB
IS
  l_decrypted_data     BLOB;
  response             DBMS_CLOUD_TYPES.resp;
  l_response_json      JSON_ARRAY_T;
  l_response_json_obj  JSON_OBJECT_T;
  l_secret_id          VARCHAR2(4000) := '<secret_ocid>';
  l_key                VARCHAR2(4000);
BEGIN
   response := DBMS_CLOUD.send_request (
                credential_name => 'OCI$RESOURCE_PRINCIPAL',
                uri             => 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o/' || l_secret_id,
                method          => 'GET');
  l_response_json_obj := JSON_OBJECT_T.parse (DBMS_CLOUD.get_response_text(response));
  l_key := UTL_RAW.cast_to_varchar2 (UTL_ENCODE.base64_decode(UTL_RAW.cast_to_raw (l_response_json_obj.get_object('secretBundleContent').get_string('content'))));
 
  DBMS_LOB.createtemporary (l_decrypted_data, TRUE, DBMS_LOB.CALL);
  DBMS_CRYPTO.decrypt (
      dst => l_decrypted_data,
      src => data,
      typ => DBMS_CRYPTO.ENCRYPT_AES256 + DBMS_CRYPTO.CHAIN_CBC + DBMS_CRYPTO.PAD_PKCS5,
      key => l_key
    );
  RETURN l_decrypted_data;
END decryption_func;
/

    これにより、DECRYPTION_FUNC復号化関数が作成されます。 このファンクションは、ユーザーが指定したキーを持つストリームまたはブロック暗号を使用してデータを復号化します。 この例でユーザーが指定したキーは、Oracle Cloud Infrastructure Vaultに格納され、Oracle Cloud Infrastructure VaultサービスへのRESTコールを行うことで動的に取得されます。

  4. DBMS_CLOUD.COPY_DATAを実行し、formatオプションencryptionを指定して、データを復号化するために作成したユーザー定義関数を指定します。
    BEGIN
 DBMS_CLOUD.COPY_DATA (
    table_name      => 'CSV_COPY_DATA',
    credential_name => 'OBJ_STORE_CRED',
    file_uri_list   => 'https://objectstorage.us-phoenix-1.oraclecloud.com/n/namespace-string/b/bucketname/o/encrypted.csv',
    format          => json_object(
                         'type' value 'csv',
                         'encryption' value json_object('user_defined_function' value 'admin.decryption_func'))
  );
end;
/

    これにより、オブジェクト・ストレージ内のENCRYPTED.CSVファイルが復号化されます。 その後、データがCSV_COPY_DATA表にロードされます。 formatパラメータのencryptionオプション値は、データの復号化に使用するユーザー定義関数名を指定します。

    ノート:

    ユーザー定義ファンクションに対するEXECUTE権限が必要です。

    この例では、namespace-stringがOracle Cloud Infrastructureオブジェクト・ストレージのネームスペースで、bucketnameがバケット名です。 詳細については、「オブジェクト・ストレージのネームスペースについて」を参照してください。

    パラメータの詳細は、「COPY_DATAプロシージャ」を参照してください。

    使用可能なformatパラメータの詳細は、DBMS_CLOUD.COPY_DATAとともに使用できます。「DBMS_CLOUDパッケージ・フォーマット・オプション」を参照してください。

親トピック: オブジェクト・ストレージからのインポート中のデータの復号化