Criptografia de Dados do Serviço Object Storage

Usando cabeçalhos opcionais de API, você pode fornecer sua própria chave de criptografia AES de 256 bits que é usada para criptografar e decriptografar objetos de upload e download feitos no serviço Object Storage:

• Ao fazer upload de um objeto, você fornece a chave de criptografia. O serviço Object Storage criptografa o objeto usando essa chave e a exclui imediatamente.
• Quando quer fazer download de um objeto, você informa a mesma chave que foi usada para criptografar o objeto e o serviço Object Storage decriptografa e retorna o objeto para você.

Você gerencia as chaves de criptografia e o serviço Object Storage gerencia a criptografia e decriptografia.

Noções básicas do escopo e das restrições que dizem respeito à chave SSE-C:

• Uma chave SSE-C não pode ser associada a um bucket e só pode ser usada para criptografar objetos individuais.
• Você pode criptografar objetos com o uso de sua própria chave de criptografia, utilizando solicitações pré-autenticadas. Para recuperar um objeto criptografado SSE-C usando uma solicitação pré-autenticada, especifique sua chave de criptografia.
• Para excluir ou renomear um objeto criptografado SSE-C, não é necessário especificar sua chave de criptografia.
• Você só pode especificar um kmsKeyId ou um sseCustomerKey no payload da solicitação ReencryptObject, não ambos. Se o payload da solicitação estiver vazio, o objeto será criptografado usando a chave de criptografia designada ao bucket. O mecanismo de criptografia de bucket pode ser uma chave principal de criptografia gerenciada pela Oracle ou pelo serviço Vault.
• Você só pode usar as APIs do serviço Object Storage e a CLI para fornecer chaves SSE-C. Não é possível usar a Console para fazer upload ou recuperar objetos usando uma chave fornecida pelo cliente.
• A API de Compatibilidade com Amazon S3 também suporta SSE-C.

Se quiser usar suas próprias chaves para criptografia do servidor, especifique os três seguintes cabeçalhos de solicitação com as informações da chave de criptografia:

Para CopyObject:

Se o objeto de origem for criptografado com uma chave SSE-C, especifique também os três cabeçalhos a seguir para que o serviço Object Storage possa decriptografar o objeto.

Você também pode usar suas próprias chaves de criptografia para criptografar objetos usando a CLI.

Você pode fornecer sua própria chave de criptografia usando o parâmetro opcional --encryption-key-file filename para os seguintes comandos:

• oci os object put
• oci os object get
• oci os object head
• oci os object resume-put
• oci os object bulk-upload
• oci os object bulk-download
• oci os object copy
• oci os object reencrypt

filename aponta para um arquivo que contém a string codificada por base64 da chave de criptografia AES-256. Nenhum outro parâmetro é necessário. O serviço Object Storage decodifica a chave para calcular o hash SHA256 da chave de criptografia.

Se o objeto de origem for criptografado com uma chave SSE-C, especifique também o parâmetro opcional --source-encryption-key-file filename para os seguintes comandos:

• oci os object copy
• oci os object reencrypt

filename aponta para um arquivo que contém a string codificada por base64 da chave de criptografia de origem AES-256. Nenhum outro parâmetro é necessário. O serviço Object Storage decodifica a chave para calcular o hash SHA256 da chave de criptografia de origem.

Para obter informações sobre como usar a CLI, consulte Interface de Linha de Comando (CLI). Para obter uma lista completa de flags e opções disponíveis para comandos da CLI, consulte a Referência da Linha de Comando.

Você pode usar suas próprias chaves de criptografia no Vault para criptografar objetos usando a CLI.

Você pode fornecer sua própria chave de criptografia usando o parâmetro opcional --opc-sse-kms-key-id target_key_id para os seguintes comandos:

• oci os object put
• oci os object copy

target_key_id é o OCID de uma chave existente no Vault a ser usada para criptografar o objeto.

Exemplo para fazer upload de um objeto para o bucket usando uma chave no serviço Vault:

oci os object put -bn "MyKeyBucket" --name "MyObjectName" --file "InputFile" --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"

Uploading object  [####################################]  100%
{
  "etag": "cadb9f8a-3292-45e6-a1e8-f075699fb619",
  "last-modified": "Tue, 13 Jul 2021 05:52:47 GMT",
  "opc-content-md5": "9KJsgOK/X5C1sARb2tkhVA=="
}

Um exemplo para executar um upload multiparte usando uma chave no serviço Vault:

oci os object put --bucket-name MyBucket --name MyObjectName --file  ~/path/to/file  --parallel-upload-count 10 --part-size 500 --opc-sse-kms-key-id ocid1.key.oc1.region1.sea..exampleuniqueID
Upload ID: 813bb394-377d-d5cf-cb3f-31b025346199
Split file into 1 parts for upload.
Uploading object  [####################################]  100%
{
"etag": "a55f1c69-1cf4-4134-9113-7a866bac712f",
"last-modified": "Wed, 29 May 2024 21:54:55 GMT",
"opc-multipart-md5": "sAVJt/6nEVizTbwRblZZSg==-1"
}

Um exemplo para copiar um objeto usando uma chave no serviço Vault:

oci os object copy --bucket-name MyBucket1 --destination-bucket MyBucket2 --source-object-name MyObjectName --opc-sse-kms-key-id ocid1.key.oc1.region1.sea..exampleuniqueID
{
"opc-work-request-id": "115e230c-04b8-4dc6-89eb-7e1269b4ab47"
}

Para obter informações sobre como usar a CLI, consulte Interface de Linha de Comando (CLI). Para obter uma lista completa de flags e opções disponíveis para comandos da CLI, consulte a Referência da Linha de Comando.

Se quiser usar suas próprias chaves no serviço Vault para criptografia do servidor, especifique o seguinte cabeçalho de solicitação com o OCID da chave no serviço Vault:

Para obter informações sobre como usar a API e assinar solicitações, consulte a documentação da API REST e Credenciais de Segurança. Para obter informações sobre SDKs, consulte SDKs e a CLI.