Object Storage-Datenverschlüsselung

Mit optionalen API-Headern können Sie einen eigenen 256-Bit-AES-Verschlüsselungsschlüssel angeben, mit dem Objekte verschlüsselt und entschlüsselt werden, die aus Object Storage hochgeladen und heruntergeladen werden:

• Wenn Sie ein Objekt hochladen, geben Sie den Verschlüsselungsschlüssel an. Object Storage verschlüsselt das Objekt mit diesem Schlüssel und löscht den Schlüssel sofort.
• Wenn Sie ein Objekt herunterladen möchten, geben Sie denselben Schlüssel an, mit dem das Objekt verschlüsselt wurde. Daraufhin entschlüsselt Object Storage das Objekt und gibt es an Sie zurück.

Sie verwalten die Verschlüsselungsschlüssel, und Object Storage verwaltet die Verschlüsselung und Entschlüsselung.

Machen Sie sich mit Geltungsbereich und Constraints in Bezug auf SSE-C vertraut:

• Ein SSE-C-Schlüssel kann keinem Bucket zugeordnet und nur zur Verschlüsselung einzelner Objekte verwendet werden.
• Sie können Objekte mit Ihrem eigenen Verschlüsselungsschlüssel mit vorab authentifizierten Anforderungen verschlüsseln. Um ein SSE-C-verschlüsseltes Objekt mit einer vorab authentifizierten Anforderung abzurufen, müssen Sie Ihren Verschlüsselungsschlüssel angeben.
• Um ein SSE-C-verschlüsseltes Objekt zu löschen oder umzubenennen, müssen Sie Ihren Verschlüsselungsschlüssel nicht angeben.
• Sie können nur kmsKeyId oder sseCustomerKey in der ReencryptObject-Anforderungs-Payload angeben, nicht beides. Wenn die Anforderungs-Payload leer ist, wird das Objekt mit dem Verschlüsselungsschlüssel verschlüsselt, der dem Bucket zugewiesen ist. Der Bucket-Verschlüsselungsmechanismus kann ein von Oracle verwalteter Masterverschlüsselungsschlüssel oder der Vault-Service sein.
• Sie können SSE-C-Schlüssel nur über die Object Storage-APIs und die Befehlszeilenschnittstelle (CLI) bereitstellen. Sie können über die Konsole keine Objekte mit einem vom Kunden bereitgestellten Schlüssel hochladen oder abrufen.
• Die Amazon S3-Kompatibilitäts-API unterstützt auch SSE-C.

Wenn Sie Ihre eigenen Schlüssel für serverseitige Verschlüsselung verwenden möchten, geben Sie die folgenden drei Anforderungsheader mit den Verschlüsselungsschlüsselinformationen an:

Für CopyObject:

Wenn das Quellobjekt mit einem SSE-C-Schlüssel verschlüsselt ist, müssen Sie auch die folgenden drei Header angeben, damit Object Storage das Objekt entschlüsseln kann.

Sie können auch Objekte über die Befehlszeilenschnittstelle (CLI) mit eigenen Verschlüsselungsschlüsseln verschlüsseln.

Sie können Ihren eigenen Verschlüsselungsschlüssel mit dem optionalen Parameter --encryption-key-file filename für die folgenden Befehle angeben:

• oci os object put
• oci os object get
• oci os object head
• oci os object resume-put
• oci os object bulk-upload
• oci os object bulk-download
• oci os object copy
• oci os object reencrypt

filename verweist auf eine Datei, die die base64-codierte Zeichenfolge des AES-256-Verschlüsselungsschlüssels enthält. Es sind keine weiteren Parameter erforderlich. Object Storage decodiert den Schlüssel zur Berechnung des SHA256-Hashs des Verschlüsselungsschlüssels.

Wenn das Quellobjekt mit einem SSE-C-Schlüssel verschlüsselt ist, müssen Sie auch den optionalen Parameter --source-encryption-key-file filename für die folgenden Befehle angeben:

• oci os object copy
• oci os object reencrypt

filename verweist auf eine Datei, die die base64-codierte Zeichenfolge des AES-256-Quellverschlüsselungsschlüssels enthält. Es sind keine weiteren Parameter erforderlich. Object Storage decodiert den Schlüssel zur Berechnung des SHA256-Hashs des Quellverschlüsselungsschlüssels.

Informationen zur Verwendung der CLI finden Sie unter Befehlszeilenschnittstelle (CLI). Eine vollständige Liste der Flags und Optionen, die für CLI-Befehle verfügbar sind, finden Sie in der Befehlszeilenreferenz.

Sie können Objekte über die CLI mit eigenen Verschlüsselungsschlüsseln in Vault verschlüsseln.

Sie können Ihren eigenen Verschlüsselungsschlüssel mit dem optionalen Parameter --opc-sse-kms-key-id target_key_id für die folgenden Befehle angeben:

• oci os object put
• oci os object copy

target_key_id ist die OCID eines vorhandenen Schlüssels im Vault, mit dem das Objekt verschlüsselt werden soll.

Beispiel zum Hochladen eines Objekts in den Bucket mit einem Schlüssel in Vault:

oci os object put -bn "MyKeyBucket" --name "MyObjectName" --file "InputFile" --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"

Uploading object  [####################################]  100%
{
  "etag": "cadb9f8a-3292-45e6-a1e8-f075699fb619",
  "last-modified": "Tue, 13 Jul 2021 05:52:47 GMT",
  "opc-content-md5": "9KJsgOK/X5C1sARb2tkhVA=="
}

Beispiel für einen Multipart-Upload mit einem Schlüssel in Vault:

oci os object put --bucket-name MyBucket --name MyObjectName --file  ~/path/to/file  --parallel-upload-count 10 --part-size 500 --opc-sse-kms-key-id ocid1.key.oc1.region1.sea..exampleuniqueID
Upload ID: 813bb394-377d-d5cf-cb3f-31b025346199
Split file into 1 parts for upload.
Uploading object  [####################################]  100%
{
"etag": "a55f1c69-1cf4-4134-9113-7a866bac712f",
"last-modified": "Wed, 29 May 2024 21:54:55 GMT",
"opc-multipart-md5": "sAVJt/6nEVizTbwRblZZSg==-1"
}

Beispiel zum Kopieren eines Objekts mit einem Schlüssel in Vault:

oci os object copy --bucket-name MyBucket1 --destination-bucket MyBucket2 --source-object-name MyObjectName --opc-sse-kms-key-id ocid1.key.oc1.region1.sea..exampleuniqueID
{
"opc-work-request-id": "115e230c-04b8-4dc6-89eb-7e1269b4ab47"
}

Informationen zur Verwendung der CLI finden Sie unter Befehlszeilenschnittstelle (CLI). Eine vollständige Liste der Flags und Optionen, die für CLI-Befehle verfügbar sind, finden Sie in der Befehlszeilenreferenz.

Wenn Sie Ihre eigenen Schlüssel in Vault für serverseitige Verschlüsselung verwenden möchten, geben Sie den folgenden Anforderungsheader mit der OCID des Schlüssels in Vault an:

Informationen zur Verwendung der API und zu Signieranforderungen finden Sie unter REST-API-Dokumentation und Sicherheitszugangsdaten. Informationen zu SDKs finden Sie unter SDKs und die CLI.