オブジェクト・ストレージ・データの暗号化

オプションのAPIヘッダーを使用すると、オブジェクト・ストレージとの間でアップロードおよびダウンロードされたオブジェクトの暗号化および復号化に使用される独自の256ビットAES暗号化キーを指定できます:

• オブジェクトをアップロードする場合、暗号化キーを指定します。オブジェクト・ストレージは、そのキーを使用してオブジェクトを暗号化し、すぐにキーを削除します。
• オブジェクトをダウンロードする場合、オブジェクトの暗号化に使用したものと同じキーを指定すると、オブジェクト・ストレージによってオブジェクトが復号化され、ユーザーに返されます。

ユーザーは暗号化キーを管理し、オブジェクト・ストレージは暗号化と復号化を管理します。

SSE-Cに関する次の範囲および制約について理解します:

• SSE-Cキーは、バケットに関連付けることはできず、個々のオブジェクトの暗号化にのみ使用できます。
• 事前認証済リクエストを使用して、独自の暗号化キーでオブジェクトを暗号化できます。事前認証済リクエストを使用してSSE-Cで暗号化されたオブジェクトを取得するには、暗号化キーを指定する必要があります。
• SSE-Cで暗号化されたオブジェクトを削除または名前変更するには、暗号化キーを指定する必要はありません。
• ReencryptObjectリクエスト・ペイロードでは、kmsKeyIdまたはsseCustomerKeyのいずれかのみを指定でき、両方は指定できません。リクエスト・ペイロードが空の場合、オブジェクトはバケットに割り当てられた暗号化キーを使用して暗号化されます。バケット暗号化メカニズムは、Oracleまたはボールト・サービスのいずれかによって管理されるマスター暗号化キーです。
• SSE-Cキーを提供するには、オブジェクト・ストレージAPIおよびCLIのみを使用できます。コンソールを使用して、顧客提供のキーでオブジェクトをアップロードまたは取得することはできません。
• SSE-Cは、Amazon S3 Compatibility APIでもサポートされています。

サーバー側暗号化に独自のキーを使用する場合は、次の3つのリクエスト・ヘッダーを暗号化キー情報とともに指定します:

CopyObjectの場合:

ソース・オブジェクトがSSE-Cキーで暗号化されている場合、オブジェクト・ストレージがオブジェクトを復号化できるように、次の3つのヘッダーも指定する必要があります。

CLIを使用して、独自の暗号化キーでオブジェクトを暗号化することもできます。

次のコマンドにオプションのパラメータ--encryption-key-file filenameを使用して、独自の暗号化キーを指定できます:

• oci os object put
• oci os object get
• oci os object head
• oci os object resume-put
• oci os object bulk-upload
• oci os object bulk-download
• oci os object copy
• oci os object reencrypt

filenameは、AES-256暗号化キーのbase64エンコード文字列を含むファイルを示します。他のパラメータは不要です。オブジェクト・ストレージは、キーをデコードして暗号化キーのSHA256ハッシュを計算します。

ソース・オブジェクトがSSE-Cキーで暗号化されている場合、次のコマンドにオプション・パラメータ--source-encryption-key-file filenameを指定する必要もあります:

• oci os object copy
• oci os object reencrypt

filenameは、AES-256ソース暗号化キーのbase64エンコード文字列を含むファイルを示します。他のパラメータは不要です。オブジェクト・ストレージは、キーをデコードしてソース暗号化キーのSHA256ハッシュを計算します。

CLIの使用の詳細は、コマンド・ライン・インタフェース(CLI)を参照してください。CLIコマンドで使用できるフラグおよびオプションの完全なリストは、コマンドライン・リファレンスを参照してください。

CLIを使用して、Vault内の独自の暗号化キーでオブジェクトを暗号化できます。

次のコマンドにオプションのパラメータ--opc-sse-kms-key-id target_key_idを使用して、独自の暗号化キーを指定できます:

• oci os object put
• oci os object copy

target_key_idは、オブジェクトの暗号化に使用されるVault内の既存のキーのOCIDです。

Vault内のキーを使用してオブジェクトをバケットにアップロードする例:

oci os object put -bn "MyKeyBucket" --name "MyObjectName" --file "InputFile" --opc-sse-kms-key-id "ocid1.key.region1.sea..exampleuniqueID"

Uploading object  [####################################]  100%
{
  "etag": "cadb9f8a-3292-45e6-a1e8-f075699fb619",
  "last-modified": "Tue, 13 Jul 2021 05:52:47 GMT",
  "opc-content-md5": "9KJsgOK/X5C1sARb2tkhVA=="
}

Vault内のキーを使用してマルチパート・アップロードを実行する例:

oci os object put --bucket-name MyBucket --name MyObjectName --file  ~/path/to/file  --parallel-upload-count 10 --part-size 500 --opc-sse-kms-key-id ocid1.key.oc1.region1.sea..exampleuniqueID
Upload ID: 813bb394-377d-d5cf-cb3f-31b025346199
Split file into 1 parts for upload.
Uploading object  [####################################]  100%
{
"etag": "a55f1c69-1cf4-4134-9113-7a866bac712f",
"last-modified": "Wed, 29 May 2024 21:54:55 GMT",
"opc-multipart-md5": "sAVJt/6nEVizTbwRblZZSg==-1"
}

Vault内のキーを使用してオブジェクトをコピーする例:

oci os object copy --bucket-name MyBucket1 --destination-bucket MyBucket2 --source-object-name MyObjectName --opc-sse-kms-key-id ocid1.key.oc1.region1.sea..exampleuniqueID
{
"opc-work-request-id": "115e230c-04b8-4dc6-89eb-7e1269b4ab47"
}

CLIの使用の詳細は、コマンド・ライン・インタフェース(CLI)を参照してください。CLIコマンドで使用できるフラグおよびオプションの完全なリストは、コマンドライン・リファレンスを参照してください。

サーバー側暗号化にVault内の独自のキーを使用する場合は、次のリクエスト・ヘッダーをVault内のキーのOCIDとともに指定します:

APIの使用およびリクエストの署名の詳細は、REST APIのドキュメントおよびセキュリティ資格証明を参照してください。SDKの詳細は、SDKおよびCLIを参照してください。