Cifrado de datos de Object Storage

Con las cabeceras de API opcionales, puede proporcionar su propia clave de cifrado AES de 256 bits que se utiliza para cifrar y descifrar objetos cargados y descargados en Object Storage.

• Al cargar un objeto, proporcione la clave de cifrado. Object Storage cifra el objeto con esa clave y suprime inmediatamente la clave.
• Cuando desea descargar un objeto, debe proporcionar la misma clave que se utilizó para cifrar el objeto y Object Storage descifrará y le devolverá el objeto.

El usuario gestiona las claves de cifrado y el Object Storage gestiona el cifrado y el descifrado.

Comprenda el siguiente ámbito y las restricciones relacionados con SSE-C:

• Una clave SSE-C no se puede asociar a un cubo y solo se puede utilizar para cifrar objetos individuales.
• Puede cifrar objetos utilizando su propia clave de cifrado mediante solicitudes autenticadas previamente. Para recuperar un objeto cifrado por SSE-C mediante una solicitud autenticada previamente, debe especificar su clave de cifrado.
• Para suprimir o cambiar el nombre de un objeto cifrado por SSE-C, no es necesario especificar la clave de cifrado.
• Solo puede especificar kmsKeyId o sseCustomerKey en la carga útil de solicitud de ReencryptObject, no ambas. Si la carga útil de solicitud está vacía, el objeto se cifra mediante la clave de cifrado asignada al cubo. El mecanismo de cifrado del cubo puede ser una clave de cifrado maestra gestionada por Oracle o el servicio de almacén de claves.
• Solo puede utilizar las API de Object Storage y la CLI para proporcionar claves SSE-C. No puede utilizar la consola para cargar o recuperar objetos mediante una clave proporcionada por un cliente.
• La API de compatibilidad de Amazon S3 también soporta SSE-C.

Si desea utilizar sus propias claves para el cifrado de servidor, especifique las tres cabeceras de solicitud siguientes con la información de clave de cifrado:

Para CopyObject:

Si el objeto de origen está cifrado con una clave SSE-C, también debe especificar las tres cabeceras siguientes para que Object Storage pueda descifrar el objeto.

También puede utilizar sus propias claves de cifrado para cifrar objetos mediante la CLI.

Puede proporcionar su propia clave de cifrado con el parámetro opcional --encryption-key-file filename para los siguientes comandos:

• oci os object put
• oci os object get
• oci os object head
• oci os object resume-put
• oci os object bulk-upload
• oci os object bulk-download
• oci os object copy
• oci os object reencrypt

filename apunta a un archivo que contiene la cadena codificada en base64 de la clave de cifrado AES-256. No son necesarios otros parámetros. Object Storage descodifica la clave para calcular el hash de SHA256 de la clave de cifrado.

Si el objeto de origen está cifrado con una clave SSE-C, también debe especificar el parámetro opcional --source-encryption-key-file filename para los siguientes comandos:

• oci os object copy
• oci os object reencrypt

filename apunta a un archivo que contiene la cadena codificada en base64 de la clave de cifrado de origen AES-256. No son necesarios otros parámetros. Object Storage descodifica la clave para calcular el hash SHA256 de la clave de cifrado de origen.

Para obtener información sobre el uso de la CLI, consulte Interfaz de línea de comandos (CLI). Para obtener una lista completa de los indicadores y las opciones disponibles para los comandos de la CLI, consulte Referencia de la línea de comandos.

Puede utilizar sus propias claves de cifrado en Vault para cifrar objetos mediante la CLI.

Puede proporcionar su propia clave de cifrado mediante el parámetro opcional --opc-sse-kms-key-id target_key_id para los siguientes comandos:

• oci os object put
• oci os object copy

target_key_id es el OCID de una clave existente en el almacén de claves que se utilizará para cifrar el objeto.

Ejemplo para cargar un objeto en el cubo utilizando una clave de Vault:

oci os object put -bn "MyKeyBucket" --name "MyObjectName" --file "InputFile" --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"

Uploading object  [####################################]  100%
{
  "etag": "cadb9f8a-3292-45e6-a1e8-f075699fb619",
  "last-modified": "Tue, 13 Jul 2021 05:52:47 GMT",
  "opc-content-md5": "9KJsgOK/X5C1sARb2tkhVA=="
}

Ejemplo para realizar una carga en varias partes utilizando una clave de Vault:

oci os object put --bucket-name MyBucket --name MyObjectName --file  ~/path/to/file  --parallel-upload-count 10 --part-size 500 --opc-sse-kms-key-id ocid1.key.oc1.region1.sea..exampleuniqueID
Upload ID: 813bb394-377d-d5cf-cb3f-31b025346199
Split file into 1 parts for upload.
Uploading object  [####################################]  100%
{
"etag": "a55f1c69-1cf4-4134-9113-7a866bac712f",
"last-modified": "Wed, 29 May 2024 21:54:55 GMT",
"opc-multipart-md5": "sAVJt/6nEVizTbwRblZZSg==-1"
}

Ejemplo para copiar un objeto utilizando una clave en Vault:

oci os object copy --bucket-name MyBucket1 --destination-bucket MyBucket2 --source-object-name MyObjectName --opc-sse-kms-key-id ocid1.key.oc1.region1.sea..exampleuniqueID
{
"opc-work-request-id": "115e230c-04b8-4dc6-89eb-7e1269b4ab47"
}

Para obtener información sobre el uso de la CLI, consulte Interfaz de línea de comandos (CLI). Para obtener una lista completa de los indicadores y las opciones disponibles para los comandos de la CLI, consulte Referencia de la línea de comandos.

Si desea utilizar sus propias claves en Vault para el cifrado de servidor, especifique la siguiente cabecera de solicitud con el OCID de la clave de Vault:

Para obtener más información sobre el uso de la API y la firma de solicitudes, consulte la documentación de la API de REST y Credenciales de seguridad. Para obtener información sobre los SDK, consulte Los SDK y la CLI.