Criptografia de Dados do Serviço Object Storage

Usando cabeçalhos opcionais de API, você pode fornecer sua própria chave de criptografia AES de 256 bits que é usada para criptografar e decriptografar objetos de upload e download feitos no serviço Object Storage:

• Ao fazer upload de um objeto, você fornece a chave de criptografia. O serviço Object Storage criptografa o objeto usando essa chave e a exclui imediatamente.
• Quando quer fazer download de um objeto, você informa a mesma chave que foi usada para criptografar o objeto e o serviço Object Storage decriptografa e retorna o objeto para você.

Você gerencia as chaves de criptografia e o serviço Object Storage gerencia a criptografia e decriptografia.

Noções básicas do escopo e das restrições que dizem respeito à chave SSE-C:

• Uma chave SSE-C não pode ser associada a um bucket e só pode ser usada para criptografar objetos individuais.
• Você pode criptografar objetos com o uso de sua própria chave de criptografia, utilizando solicitações pré-autenticadas. Para recuperar um objeto criptografado SSE-C usando uma solicitação pré-autenticada, especifique sua chave de criptografia.
• Para excluir ou renomear um objeto criptografado SSE-C, não é necessário especificar sua chave de criptografia.
• Você só pode especificar um kmsKeyId ou um sseCustomerKey no payload da solicitação ReencryptObject, não ambos. Se o payload da solicitação estiver vazio, o objeto será criptografado usando a chave de criptografia designada ao bucket. O mecanismo de criptografia de bucket pode ser uma chave principal de criptografia gerenciada pela Oracle ou pelo serviço Vault.
• Você só pode usar as APIs do serviço Object Storage e a CLI para fornecer chaves SSE-C. Não é possível usar a Console para fazer upload ou recuperar objetos usando uma chave fornecida pelo cliente.
• A API de Compatibilidade com Amazon S3 também suporta SSE-C.

Se quiser usar suas próprias chaves para criptografia do servidor, especifique os três seguintes cabeçalhos de solicitação com as informações da chave de criptografia:

Para CopyObject:

Se o objeto de origem for criptografado com uma chave SSE-C, especifique também os três cabeçalhos a seguir para que o serviço Object Storage possa decriptografar o objeto.

Você também pode usar suas próprias chaves de criptografia para criptografar objetos usando a CLI.

Você pode fornecer sua própria chave de criptografia usando o parâmetro opcional --encryption-key-file filename para os seguintes comandos:

• oci os object put
• oci os object get
• oci os object head
• oci os object resume-put
• oci os object bulk-upload
• oci os object bulk-download
• oci os object copy
• oci os object reencrypt

filename aponta para um arquivo que contém a string codificada por base64 da chave de criptografia AES-256. Nenhum outro parâmetro é necessário. O serviço Object Storage decodifica a chave para calcular o hash SHA256 da chave de criptografia.

Se o objeto de origem for criptografado com uma chave SSE-C, especifique também o parâmetro opcional --source-encryption-key-file filename para os seguintes comandos:

• oci os object copy
• oci os object reencrypt

filename aponta para um arquivo que contém a string codificada por base64 da chave de criptografia de origem AES-256. Nenhum outro parâmetro é necessário. O serviço Object Storage decodifica a chave para calcular o hash SHA256 da chave de criptografia de origem.

Para obter informações sobre como usar a CLI, consulte Interface de Linha de Comando (CLI). Para obter uma lista completa de flags e opções disponíveis para comandos da CLI, consulte a Referência da Linha de Comando.

Você pode usar suas próprias chaves de criptografia no Vault para criptografar objetos usando a CLI.

Você pode fornecer sua própria chave de criptografia usando o parâmetro opcional --opc-sse-kms-key-id <target_key_id> para os seguintes comandos:

• oci os object put
• oci os object copy

<target_key_id> é o OCID de uma chave existente no OCI Vault a ser usada para criptografar o objeto.

Exemplo para fazer upload de um objeto para o bucket usando uma chave no serviço Vault:

oci os object put -bn "MyKeyBucket" --name "MyObjectName" --file "InputFile" --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"

Uploading object  [####################################]  100%
{
  "etag": "cadb9f8a-3292-45e6-a1e8-f075699fb619",
  "last-modified": "Tue, 13 Jul 2021 05:52:47 GMT",
  "opc-content-md5": "9KJsgOK/X5C1sARb2tkhVA=="
}

Um exemplo para executar um upload multiparte usando uma chave no serviço Vault:

oci os object put --namespace MyNamespace --bucket-name MyBucket --file ~/path/to/file --name MyObject --parallel-upload-count 10 --part-size 500
Upload ID: 277ffff5-e1b5-e81d-5f81-c374a8f33998 --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"
Split file into 10 parts for upload.
Uploading object ################################### 100%
{ "etag": "861c8341-74d8-4142-8da4-28e1ce7783ba", "last-modified": "Wed, 25 Sep 2019 19:59:15 GMT", "opc-multipart-md5": "9Qn1eyou2yMiyOO9Bc7o1A==-12" } 

Um exemplo para copiar um objeto usando uma chave no serviço Vault:

oci os object put --namespace MyNamespace --bucket-name MyBucket --file ~/path/to/file --name MyObject --parallel-upload-count 10 --part-size 500
Upload ID: 277ffff5-e1b5-e81d-5f81-c374a8f33998 --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"
Split file into 10 parts for upload.
Uploading object ################################### 100%
{ "etag": "861c8341-74d8-4142-8da4-28e1ce7783ba", "last-modified": "Wed, 25 Sep 2019 19:59:15 GMT", "opc-multipart-md5": "9Qn1eyou2yMiyOO9Bc7o1A==-12" } 

Para obter informações sobre como usar a CLI, consulte Interface de Linha de Comando (CLI). Para obter uma lista completa de flags e opções disponíveis para comandos da CLI, consulte a Referência da Linha de Comando.

Se quiser usar suas próprias chaves no serviço Vault para criptografia do servidor, especifique o seguinte cabeçalho de solicitação com o OCID da chave no serviço Vault:

Para obter informações sobre como usar a API e assinar solicitações, consulte a documentação da API REST e Credenciais de Segurança. Para obter informações sobre SDKs, consulte SDKs e a CLI.