Este conteúdo foi traduzido por máquina para sua conveniência e a Huawei Cloud não pode garantir que o conteúdo foi traduzido com precisão. Para exibir o conteúdo original, use o link no canto superior direito para mudar para a página em inglês.

Nesta página

Mostrar todos

Central de ajuda/ Object Storage Service/ Referência de API/ As API/ Encriptação do lado do servidor/ Encriptação do lado do servidor (SSE-KMS)

Encriptação do lado do servidor (SSE-KMS)

Atualizado em 2022-11-14 GMT+08:00

Ver PDF

No modo SSE-KMS, o OBS usa as chaves fornecidas pelo KMS para encriptação do lado do servidor. Quando um objeto criptografado usando SSE-KMS é adicionado a um bucket em uma região pela primeira vez, o OBS cria uma chave mestra do cliente (CMK) padrão, que é usada para criptografar e descriptografar as chaves fornecidas pelo KMS. O modo SSE-KMS não suporta as chaves criadas pelos clientes. A ACL e a política do bucket não permitem acesso autorizado entre locatários a objetos criptografados usando SSE-KMS.

Dois cabeçalhos são adicionados para suportar SSE-KMS no modo SSE-KMS.

Você também pode configurar o método de encriptação padrão para um bucket para criptografar objetos no bucket. Quando a encriptação padrão é ativada para um bucket, qualquer solicitação de upload de objetos sem o cabeçalho de encriptação especificado acionará a encriptação padrão do bucket para os objetos carregados. Para obter mais informações sobre a configuração de encriptação de bucket, consulte Configuração da encriptação de um bucket.

**Tabela 1** Campos de cabeçalho usados no modo SSE-KMS
Elemento	Descrição
x-obs-server-side-encryption	Indica que SSE-KMS é usado. Os objetos são criptografados usando SSE-KMS. Tipo: string Exemplo: x-obs-server-side-encryption:kms
x-obs-server-side-encryption-kms-key-id	Indica o ID da chave mestra de um objeto criptografado. Este cabeçalho é usado no modo SSE-KMS. Se o cliente não fornecer o ID da chave mestra, o ID da chave mestra padrão será usado. Tipo: string Os dois formatos a seguir são suportados: 1. regionID:domainID:key/key_id 2. key_id regionID é o ID da região à qual a chave pertence. domainID é o ID da conta do locatário ao qual a chave pertence. key_id é o ID da chave criado emDEW. Exemplo: 1. x-obs-server-side-encryption-kms-key-id: **região:domainiddomainiddomainiddoma0001:key/4f1cd4de-ab64-4807-920a-47fc42e7f0d0** ou 2. x-obs-server-side-encryption-kms-key-id:4f1cd4de-ab64-4807-920a-47fc42e7f0d0

Operações de API às quais os cabeçalhos recém-adicionados se aplicam:

Operação PUT para fazer upload de objetos
Operação POST para upload de objetos (x-obs-server-side-encryption e x-obs-server-side-encryption-kms-key-id precisam ser colocados na tabela em vez do campo de cabeçalho)
PutObject-Copy (os cabeçalhos recém-adicionados se aplicam aos objetos de destino)
Operações de API para iniciar uma tarefa de upload de várias partes

O OBS suporta políticas de bucket. Você pode usar uma política de bucket para implementar a encriptação do lado do servidor em todos os objetos armazenados em um bucket. Por exemplo, se a solicitação de upload de objeto de um locatário não contém o cabeçalho x-obs-server-side-encryption:"kms" para encriptação do lado do servidor (SSE-KMS), a política de bucket a seguir rejeitará a solicitação de upload.

{
"Statement":[{
"Sid":"DenyUnEncryptedObjectUploads",
"Effect":"Deny",
"Principal":"*",
"Action":"PutObject",
"Resource":"YourBucket/*",
"Condition":{
"StringNotEquals":{
"x-obs-server-side-encryption":"kms"
}
}
}
}

Solicitação de exemplo 1

Use a chave padrão para encriptar o objeto carregado.

PUT /encryp1 HTTP/1.1
User-Agent: curl/7.29.0
Host: examplebucket.obs.region.myhuaweicloud.com
Accept: */*
Date: Wed, 06 Jun 2018 09:08:21 GMT
Authorization: OBS H4IPJX0TQTHTHEBQQCEC:f3/7eS6MFbW3JO4+7I5AtyAQENU=
x-obs-server-side-encryption:kms
Content-Length: 5242
Expect: 100-continue

[5242 Byte object contents]

Resposta de exemplo 1

HTTP/1.1 200 OK
Server: OBS
x-obs-request-id: 8DF400000163D45AA81D038B6AE4C482
ETag: "d8bffdfbab5345d91ac05141789d2477"
x-obs-server-side-encryption: kms
x-obs-server-side-encryption-kms-key-id: region:783fc6652cf246c096ea836694f71855:key/522d6070-5ad3-4765-9737-9312ddc72cdb
x-obs-id-2: 32AAAUJAIAABAAAQAAEAABAAAQAAEAABCTv7cHmAnGfBAGXUHeibUsiETTNqlCqC
Date: Wed, 06 Jun 2018 09:08:21 GMT
Content-Length: 0

Solicitação de exemplo 2

Use uma chave especificada para encriptar o objeto carregado.

PUT /encryp1 HTTP/1.1
User-Agent: curl/7.29.0
Host: examplebucket.obs.region.myhuaweicloud.com
Accept: */*
Date: Wed, 06 Jun 2018 09:08:50 GMT
Authorization: OBS H4IPJX0TQTHTHEBQQCEC:f3/PWjkXYTYGs5lPOctTNEI2QENU=
x-obs-server-side-encryption:kms
x-obs-server-side-encryption-kms-key-id: 522d6070-5ad3-4765-43a7-a7d1-ab21f498482d
Content-Length: 5242
Expect: 100-continue

[5242 Byte object contents]

Resposta de exemplo 2

HTTP/1.1 200 OK
Server: OBS
x-obs-request-id: 8DF400000163D45AA81D038B6AE4C482
ETag: "d8bffdfbab5345d91ac05141789d2477"
x-obs-server-side-encryption: kms
x-obs-server-side-encryption-kms-key-id: region:783fc6652cf246c096ea836694f71855:key/522d6070-5ad3-4765-43a7-a7d1-ab21f498482d
x-obs-id-2: 32AAAUJAIAABAdiAEAABA09AEAABCTv7cHmAn12BAG83ibUsiET5eqlCqg
Date: Wed, 06 Jun 2018 09:08:50 GMT
Content-Length: 0

Solicitação de exemplo 3

Copie um objeto comum e salve-o como um objeto encriptado encriptando-o usando uma chave especificada.

PUT /destobject HTTP/1.1
User-Agent: curl/7.29.0
Host: examplebucket.obs.region.myhuaweicloud.com
x-obs-server-side-encryption:kms
x-obs-server-side-encryption-kms-key-id: region:783fc6652cf246c096ea836694f71855:key/522d6070-5ad3-4765-9737-9312ddc72cdb
Accept: */*
Date: Wed, 06 Jun 2018 09:10:29 GMT
Authorization: OBS H4IPJX0TQTHTHEBQQCEC:SH3uTrElaGWarVI1uTq325kTVCI=
x-obs-copy-source: /bucket/srcobject1

Resposta de exemplo 3

HTTP/1.1 200 OK
Server: OBS
x-obs-request-id: BB78000001648480AF3900CED7F15155
ETag: "d8bffdfbab5345d91ac05141789d2477"
x-obs-server-side-encryption: kms
x-obs-server-side-encryption-kms-key-id: region:783fc6652cf246c096ea836694f71855:key/522d6070-5ad3-4765-9737-9312ddc72cdb
x-obs-id-2: oRAXhgwdTLc9wKVHqTLSmQB7I35D+32AAAUJAIAABAAAQAAEAABAAAQAAEAABCS
Date: Wed, 06 Jun 2018 09:10:29 GMT
Content-Length: 0

Solicitação de exemplo 4

Carregue a assinatura no URL e carregue o objeto encriptado.

PUT /destobject?AccessKeyId=UI3SN1SRUQE14OYBKTZB&Expires=1534152518&x-obs-server-side-encryption=kms&Signature=chvmG7%2FDA%2FDCQmTRJu3xngldJpg%3D HTTP/1.1
User-Agent: curl/7.29.0
Host: examplebucket.obs.region.myhuaweicloud.com
Accept: */*
Date: Wed, 06 Jun 2018 09:10:29 GMT

Resposta de exemplo 4

HTTP/1.1 200 OK
Server: OBS
x-obs-request-id: BB78000001648480AF3900CED7F15155
ETag: "d8bffdfbab5345d91ac05141789d2477"
x-obs-server-side-encryption: kms
x-obs-server-side-encryption-kms-key-id: region:783fc6652cf246c096ea836694f71855:key/522d6070-5ad3-4765-9737-9312ddc72cdb
x-obs-id-2: oRAXhgwdTLc9wKVHqTLSmQB7I35D+32AAAUJAIAABAAAQAAEAABAAAQAAEAABCS
Date: Wed, 06 Jun 2018 09:10:29 GMT
Content-Length: 0

Tópico principal: Encriptação do lado do servidor

Tópico anterior: Visão geral da encriptação do lado do servidor

Próximo tópico: Encriptação do lado do servidor (SSE-C)

Feedback

Esta página foi útil?

Sim Não

Deixar um comentário

Obrigado por seus comentários. Estamos trabalhando para melhorar a documentação.

O sistema está ocupado. Tente novamente mais tarde.

Quais dos seguintes problemas você encontrou?

O conteúdo é inconsistente com a UI do produto

Descrições pouco claras

Falta de exemplos ou código

Passos incorretos

Não encontro o que preciso

Falta de melhores práticas

Feedback (opcional)

0/500

Selecione pelo menos um tipo de problema e insira seus comentários ou sugestões.

Insira um máximo de 500 caracteres.

Enviar Cancelar