オブジェクト・ストレージ・データの暗号化

オプションのAPIヘッダーを使用すると、オブジェクト・ストレージとの間でアップロードおよびダウンロードされたオブジェクトの暗号化および復号化に使用される独自の256ビットAES暗号化キーを指定できます:

• オブジェクトをアップロードする場合、暗号化キーを指定します。オブジェクト・ストレージは、そのキーを使用してオブジェクトを暗号化し、すぐにキーを削除します。
• オブジェクトをダウンロードする場合、オブジェクトの暗号化に使用したものと同じキーを指定すると、オブジェクト・ストレージによってオブジェクトが復号化され、ユーザーに返されます。

ユーザーは暗号化キーを管理し、オブジェクト・ストレージは暗号化と復号化を管理します。

SSE-Cに関する次の範囲および制約について理解します:

• SSE-Cキーは、バケットに関連付けることはできず、個々のオブジェクトの暗号化にのみ使用できます。
• 事前認証済リクエストを使用して、独自の暗号化キーでオブジェクトを暗号化できます。事前認証済リクエストを使用してSSE-Cで暗号化されたオブジェクトを取得するには、暗号化キーを指定する必要があります。
• SSE-Cで暗号化されたオブジェクトを削除または名前変更するには、暗号化キーを指定する必要はありません。
• ReencryptObjectリクエスト・ペイロードでは、kmsKeyIdまたはsseCustomerKeyのいずれかのみを指定でき、両方は指定できません。リクエスト・ペイロードが空の場合、オブジェクトはバケットに割り当てられた暗号化キーを使用して暗号化されます。バケット暗号化メカニズムは、Oracleまたはボールト・サービスのいずれかによって管理されるマスター暗号化キーです。
• SSE-Cキーを提供するには、オブジェクト・ストレージAPIおよびCLIのみを使用できます。コンソールを使用して、顧客提供のキーでオブジェクトをアップロードまたは取得することはできません。
• SSE-Cは、Amazon S3 Compatibility APIでもサポートされています。

サーバー側暗号化に独自のキーを使用する場合は、次の3つのリクエスト・ヘッダーを暗号化キー情報とともに指定します:

CopyObjectの場合:

ソース・オブジェクトがSSE-Cキーで暗号化されている場合、オブジェクト・ストレージがオブジェクトを復号化できるように、次の3つのヘッダーも指定する必要があります。

CLIを使用して、独自の暗号化キーでオブジェクトを暗号化することもできます。

次のコマンドにオプションのパラメータ--encryption-key-file filenameを使用して、独自の暗号化キーを指定できます:

• oci os object put
• oci os object get
• oci os object head
• oci os object resume-put
• oci os object bulk-upload
• oci os object bulk-download
• oci os object copy
• oci os object reencrypt

filenameは、AES-256暗号化キーのbase64エンコード文字列を含むファイルを示します。他のパラメータは不要です。オブジェクト・ストレージは、キーをデコードして暗号化キーのSHA256ハッシュを計算します。

ソース・オブジェクトがSSE-Cキーで暗号化されている場合、次のコマンドにオプション・パラメータ--source-encryption-key-file filenameも指定する必要があります:

• oci os object copy
• oci os object reencrypt

filenameは、AES-256ソース暗号化キーのbase64エンコード文字列を含むファイルを示します。他のパラメータは不要です。オブジェクト・ストレージは、キーをデコードしてソース暗号化キーのSHA256ハッシュを計算します。

CLIの使用の詳細は、コマンド・ライン・インタフェース(CLI)を参照してください。CLIコマンドで使用できるフラグおよびオプションの完全なリストは、コマンドライン・リファレンスを参照してください。

CLIを使用して、Vault内の独自の暗号化キーでオブジェクトを暗号化できます。

次のコマンドにオプションのパラメータ--opc-sse-kms-key-id <target_key_id>を使用して、独自の暗号化キーを指定できます:

• oci os object put
• oci os object copy

<target_key_id>は、オブジェクトの暗号化に使用されるOCI Vault内の既存のキーのOCIDです。

Vault内のキーを使用してオブジェクトをバケットにアップロードする例:

oci os object put -bn "MyKeyBucket" --name "MyObjectName" --file "InputFile" --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"

Uploading object  [####################################]  100%
{
  "etag": "cadb9f8a-3292-45e6-a1e8-f075699fb619",
  "last-modified": "Tue, 13 Jul 2021 05:52:47 GMT",
  "opc-content-md5": "9KJsgOK/X5C1sARb2tkhVA=="
}

Vault内のキーを使用してマルチパート・アップロードを実行する例:

oci os object put --namespace MyNamespace --bucket-name MyBucket --file ~/path/to/file --name MyObject --parallel-upload-count 10 --part-size 500
Upload ID: 277ffff5-e1b5-e81d-5f81-c374a8f33998 --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"
Split file into 10 parts for upload.
Uploading object ################################### 100%
{ "etag": "861c8341-74d8-4142-8da4-28e1ce7783ba", "last-modified": "Wed, 25 Sep 2019 19:59:15 GMT", "opc-multipart-md5": "9Qn1eyou2yMiyOO9Bc7o1A==-12" } 

Vault内のキーを使用してオブジェクトをコピーする例:

oci os object put --namespace MyNamespace --bucket-name MyBucket --file ~/path/to/file --name MyObject --parallel-upload-count 10 --part-size 500
Upload ID: 277ffff5-e1b5-e81d-5f81-c374a8f33998 --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"
Split file into 10 parts for upload.
Uploading object ################################### 100%
{ "etag": "861c8341-74d8-4142-8da4-28e1ce7783ba", "last-modified": "Wed, 25 Sep 2019 19:59:15 GMT", "opc-multipart-md5": "9Qn1eyou2yMiyOO9Bc7o1A==-12" } 

CLIの使用の詳細は、コマンド・ライン・インタフェース(CLI)を参照してください。CLIコマンドで使用できるフラグおよびオプションの完全なリストは、コマンドライン・リファレンスを参照してください。

サーバー側暗号化にVault内の独自のキーを使用する場合は、次のリクエスト・ヘッダーをVault内のキーのOCIDとともに指定します:

APIの使用およびリクエストの署名の詳細は、REST APIのドキュメントおよびセキュリティ資格証明を参照してください。SDKの詳細は、SDKおよびCLIを参照してください。