Cifratura dei dati di storage degli oggetti

Utilizzando intestazioni API opzionali, puoi fornire la tua chiave di cifratura AES a 256 bit utilizzata per cifrare e decifrare gli oggetti caricati e scaricati dallo storage degli oggetti:

• Quando si carica un oggetto, fornire la chiave di cifratura. Lo storage degli oggetti esegue la cifratura dell'oggetto utilizzando tale chiave ed elimina immediatamente la chiave.
• Quando desideri scaricare un oggetto, fornisci la stessa chiave utilizzata per cifrare gli oggetti e le decifrazioni dello storage degli oggetti e restituisci l'oggetto all'utente.

Puoi gestire le chiavi di cifratura e lo storage degli oggetti gestisce la cifratura e la decifrazione.

Comprendere l'ambito e i vincoli relativi a SSE-C riportati di seguito.

• Una chiave SSE-C non può essere associata a un bucket e può essere utilizzata solo per cifrare singoli oggetti.
• Puoi cifrare gli oggetti utilizzando la tua chiave di cifratura utilizzando le richieste preautenticate. Per recuperare un oggetto cifrato SSE-C utilizzando una richiesta preautenticata, è necessario specificare la chiave di cifratura.
• Per eliminare o rinominare un oggetto cifrato SSE-C, non è necessario specificare la chiave di cifratura.
• È possibile specificare solo un valore kmsKeyId o un valore sseCustomerKey nel payload della richiesta ReencryptObject, non entrambi. Se il payload della richiesta è vuoto, l'oggetto viene cifrato utilizzando la chiave di cifratura assegnata al bucket. Il meccanismo di cifratura del bucket può essere una chiave di cifratura master gestita da Oracle o dal servizio Vault.
• Per fornire le chiavi SSE-C, è possibile utilizzare solo le interfacce API di storage degli oggetti e l'interfaccia CLI. Non è possibile utilizzare la console per caricare o recuperare gli oggetti utilizzando una chiave fornita dal cliente.
• Anche l'API di compatibilità Amazon S3 supporta SSE-C.

Se si desidera utilizzare le proprie chiavi per la cifratura lato server, specificare le tre intestazioni di richiesta riportate di seguito con le informazioni relative alle chiavi di cifratura.

Per CopyObject:

Se l'oggetto di origine viene cifrato con una chiave SSE-C, è necessario specificare anche le tre intestazioni seguenti in modo che lo storage degli oggetti possa decifrare l'oggetto.

È anche possibile utilizzare le proprie chiavi di cifratura per cifrare gli oggetti mediante l'interfaccia CLI.

È possibile fornire la propria chiave di cifratura utilizzando il parametro opzionale --encryption-key-file filename per i seguenti comandi:

• oci os object put
• oci os object get
• oci os object head
• oci os object resume-put
• oci os object bulk-upload
• oci os object bulk-download
• oci os object copy
• oci os object reencrypt

filename punta a un file contenente la stringa con codifica base64 della chiave di cifratura AES-256. Non sono richiesti altri parametri. Lo storage degli oggetti decodifica la chiave per calcolare l'hash SHA256 della chiave di cifratura.

Se l'oggetto di origine è cifrato con una chiave SSE-C, è necessario specificare anche il parametro facoltativo --source-encryption-key-file filename per i seguenti comandi:

• oci os object copy
• oci os object reencrypt

filename punta a un file contenente la stringa con codifica base64 della chiave di cifratura di origine AES-256. Non sono richiesti altri parametri. Lo storage degli oggetti decodifica la chiave per calcolare l'hash SHA256 della chiave di cifratura di origine.

Per informazioni sull'uso dell'interfaccia CLI, vedere Command Line Interface (CLI). Per un elenco completo dei flag e delle opzioni disponibili per i comandi CLI, vedere il documento Command Line Reference.

È possibile utilizzare le proprie chiavi di cifratura nel vault per cifrare gli oggetti mediante l'interfaccia CLI.

È possibile fornire la propria chiave di cifratura utilizzando il parametro opzionale --opc-sse-kms-key-id target_key_id per i seguenti comandi:

• oci os object put
• oci os object copy

target_key_id è l'OCID di una chiave esistente nel vault da utilizzare per cifrare l'oggetto.

Un esempio per caricare un oggetto nel bucket utilizzando una chiave nel vault:

oci os object put -bn "MyKeyBucket" --name "MyObjectName" --file "InputFile" --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"

Uploading object  [####################################]  100%
{
  "etag": "cadb9f8a-3292-45e6-a1e8-f075699fb619",
  "last-modified": "Tue, 13 Jul 2021 05:52:47 GMT",
  "opc-content-md5": "9KJsgOK/X5C1sARb2tkhVA=="
}

Un esempio per eseguire un caricamento multiparte utilizzando una chiave nel vault:

oci os object put --bucket-name MyBucket --name MyObjectName --file  ~/path/to/file  --parallel-upload-count 10 --part-size 500 --opc-sse-kms-key-id ocid1.key.oc1.region1.sea..exampleuniqueID
Upload ID: 813bb394-377d-d5cf-cb3f-31b025346199
Split file into 1 parts for upload.
Uploading object  [####################################]  100%
{
"etag": "a55f1c69-1cf4-4134-9113-7a866bac712f",
"last-modified": "Wed, 29 May 2024 21:54:55 GMT",
"opc-multipart-md5": "sAVJt/6nEVizTbwRblZZSg==-1"
}

Esempio di copia di un oggetto mediante una chiave nel vault:

oci os object copy --bucket-name MyBucket1 --destination-bucket MyBucket2 --source-object-name MyObjectName --opc-sse-kms-key-id ocid1.key.oc1.region1.sea..exampleuniqueID
{
"opc-work-request-id": "115e230c-04b8-4dc6-89eb-7e1269b4ab47"
}

Per informazioni sull'uso dell'interfaccia CLI, vedere Command Line Interface (CLI). Per un elenco completo dei flag e delle opzioni disponibili per i comandi CLI, vedere il documento Command Line Reference.

Se si desidera utilizzare le proprie chiavi nel vault per la cifratura lato server, specificare l'intestazione di richiesta seguente con l'OCID della chiave nel vault:

Per informazioni sull'uso dell'API e delle richieste di firma, consulta la documentazione dell'API REST e le credenziali di sicurezza. Per informazioni sugli SDK, vedere SDK e l'interfaccia CLI.