Cryptage des données Object Storage

A l'aide des en-têtes d'API facultatifs, vous pouvez fournir votre propre clé de cryptage AES 256 bits qui est utilisée pour crypter et décrypter les objets téléchargés vers le serveur et téléchargés en local à partir d'Object Storage.

• Lorsque vous téléchargez un objet vers le serveur, vous fournissez la clé de cryptage. Object Storage crypte l'objet à l'aide de cette clé et la supprime immédiatement.
• Lorsque vous souhaitez télécharger un objet en local, vous fournissez la même clé que celle utilisée pour crypter l'objet, puis Object Storage le décrypte et vous le renvoie.

Vous gérez les clés de cryptage et Object Storage gère le cryptage ainsi que le décryptage.

Familiarisez-vous avec la portée et les contraintes suivantes concernant SSE-C :

• Une clé SSE-C ne peut pas être associée à un bucket et peut uniquement être utilisée pour crypter des objets individuels.
• Vous pouvez crypter des objets avec votre propre clé de cryptage à l'aide de demandes pré-authentifiées. Pour extraire un objet crypté SSE-C à l'aide d'une demande pré-authentifiée, vous devez indiquer votre clé de cryptage.
• Pour supprimer ou renommer un objet crypté SSE-C, vous n'avez pas besoin d'indiquer votre clé de cryptage.
• Vous avez la possibilité d'indiquer uniquement kmsKeyId ou sseCustomerKey dans la charge utile de la demande ReencryptObject, mais pas les deux. Si la charge utile de la demande est vide, l'objet est crypté à l'aide de la clé de cryptage affectée au bucket. Le mécanisme de cryptage de bucket peut être une clé de cryptage maître gérée par Oracle ou le service Vault.
• Vous pouvez uniquement utiliser les API Object Storage et l'interface de ligne de commande pour fournir des clés SSE-C. Vous ne pouvez pas utiliser la console pour télécharger vers le serveur ou extraire des objets à l'aide d'une clé fournie par le client.
• L'API de compatibilité Amazon S3 prend également en charge SSE-C.

Si vous souhaitez utiliser vos propres clés pour le cryptage côté serveur, indiquez les trois en-têtes de demande suivants avec les informations de clé de cryptage :

Pour CopyObject :

Si l'objet source est crypté avec une clé SSE-C, vous devez également indiquer les trois en-têtes suivants afin qu'Object Storage puisse décrypter l'objet.

Vous pouvez également utiliser vos propres clés de cryptage pour crypter les objets à l'aide de l'interface de ligne de commande.

Vous pouvez fournir votre propre clé de cryptage à l'aide du paramètre facultatif --encryption-key-file filename pour les commandes suivantes :

• oci os object put
• oci os object get
• oci os object head
• oci os object resume-put
• oci os object bulk-upload
• oci os object bulk-download
• oci os object copy
• oci os object reencrypt

filename pointe vers un fichier contenant la chaîne codée base64 de la clé de cryptage AES-256. Aucun autre paramètre n'est requis. Object Storage décode la clé pour calculer le hachage SHA256 de la clé de cryptage.

Si l'objet source est crypté avec une clé SSE-C, vous devez également indiquer le paramètre facultatif --source-encryption-key-file filename pour les commandes suivantes :

• oci os object copy
• oci os object reencrypt

filename pointe vers un fichier contenant la chaîne encodée base64 de la clé de cryptage source AES-256. Aucun autre paramètre n'est requis. Object Storage décode la clé pour calculer le hachage SHA256 de la clé de cryptage source.

Pour plus d'informations sur l'utilisation de l'interface de ligne de commande, reportez-vous à Interface de ligne de commande (CLI). Afin d'obtenir la liste complète des indicateurs et des options disponibles pour les commandes de l'interface de ligne de commande, reportez-vous à Référence de ligne de commande.

Vous pouvez utiliser vos propres clés de cryptage dans Vault pour crypter des objets à l'aide de l'interface de ligne de commande.

Vous pouvez indiquer votre propre clé de cryptage à l'aide du paramètre facultatif --opc-sse-kms-key-id <id_clé_cible> pour les commandes suivantes :

• oci os object put
• oci os object copy

<target_key_id> est l'OCID de la clé existante dans OCI Vault à utiliser pour crypter l'objet.

Exemple de téléchargement d'un objet vers le bucket à l'aide d'une clé dans Vault :

oci os object put -bn "MyKeyBucket" --name "MyObjectName" --file "InputFile" --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"

Uploading object  [####################################]  100%
{
  "etag": "cadb9f8a-3292-45e6-a1e8-f075699fb619",
  "last-modified": "Tue, 13 Jul 2021 05:52:47 GMT",
  "opc-content-md5": "9KJsgOK/X5C1sARb2tkhVA=="
}

Exemple d'exécution d'un téléchargement multipart à l'aide d'une clé dans Vault :

oci os object put --namespace MyNamespace --bucket-name MyBucket --file ~/path/to/file --name MyObject --parallel-upload-count 10 --part-size 500
Upload ID: 277ffff5-e1b5-e81d-5f81-c374a8f33998 --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"
Split file into 10 parts for upload.
Uploading object ################################### 100%
{ "etag": "861c8341-74d8-4142-8da4-28e1ce7783ba", "last-modified": "Wed, 25 Sep 2019 19:59:15 GMT", "opc-multipart-md5": "9Qn1eyou2yMiyOO9Bc7o1A==-12" } 

Exemple de copie d'un objet à l'aide d'une clé dans Vault :

oci os object put --namespace MyNamespace --bucket-name MyBucket --file ~/path/to/file --name MyObject --parallel-upload-count 10 --part-size 500
Upload ID: 277ffff5-e1b5-e81d-5f81-c374a8f33998 --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"
Split file into 10 parts for upload.
Uploading object ################################### 100%
{ "etag": "861c8341-74d8-4142-8da4-28e1ce7783ba", "last-modified": "Wed, 25 Sep 2019 19:59:15 GMT", "opc-multipart-md5": "9Qn1eyou2yMiyOO9Bc7o1A==-12" } 

Pour plus d'informations sur l'utilisation de l'interface de ligne de commande, reportez-vous à Interface de ligne de commande (CLI). Afin d'obtenir la liste complète des indicateurs et des options disponibles pour les commandes de l'interface de ligne de commande, reportez-vous à Référence de ligne de commande.

Si vous voulez utiliser vos propres clés dans Vault pour le cryptage côté serveur, indiquez l'en-tête de demande suivant avec l'OCID de la clé dans Vault :

Pour plus d'informations sur l'utilisation de l'API et la signature des demandes, reportez-vous à la documentation relative à l'API REST et à Informations d'identification de sécurité. Pour plus d'informations sur les kits SDK, reportez-vous à Kits SDK et interface de ligne de commande.