Der AWS SDK für .NET V3 hat das Ende des Supports erreicht.

Wir empfehlen Ihnen, auf V4 zu AWS SDK für .NET migrieren. Weitere Einzelheiten und Informationen zur Migration finden Sie in unserer Ankündigung zum Ende des Supports.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Migration des Amazon S3-Verschlüsselungsclients (V1 auf V2)

Dieses Thema zeigt, wie Sie Ihre Anwendungen von Version 1 (V1) des Amazon Simple Storage Service (Amazon S3) Verschlüsselungsclients auf Version 2 (V2) migrieren und die Anwendungsverfügbarkeit während des gesamten Migrationsprozesses sicherstellen.

Objekte, die mit dem V2-Client verschlüsselt wurden, können mit dem V1-Client nicht entschlüsselt werden. Um die Migration zum neuen Client zu erleichtern, ohne alle Objekte auf einmal erneut verschlüsseln zu müssen, wurde ein "V1-transitional" -Client bereitgestellt. Dieser Client kann sowohl V1- als auch Objekte entschlüsseln, verschlüsselt V2-encrypted Objekte jedoch nur im Format. V1-compatible Der V2-Client kann sowohl V1- als auch V2-encrypted Objekte entschlüsseln (wenn er für V1-Objekte aktiviert ist), verschlüsselt Objekte jedoch nur im Format. V2-compatible

Überblick über die Migration

Diese Migration erfolgt in drei Phasen. Diese Phasen werden hier vorgestellt und später ausführlich beschrieben. Jede Phase muss für alle Clients abgeschlossen sein, die gemeinsame Objekte verwenden, bevor die nächste Phase gestartet wird.

Aktualisieren Sie bestehende Clients auf V1-transitional Clients, um neue Formate lesen zu können

Der V2-Verschlüsselungsclient verwendet Verschlüsselungsalgorithmen, die ältere Versionen des Clients nicht unterstützen. Der erste Schritt der Migration besteht darin, Ihre V1-Entschlüsselungsclients zu aktualisieren, damit sie das neue Format lesen können.

Der V1-transitional Client ermöglicht es Ihren Anwendungen, sowohl V1- V2-encrypted als auch Objekte zu entschlüsseln. Dieser Client ist Teil des Amazon.Extensions.S3.Encryption NuGet Pakets. Führen Sie die folgenden Schritte für jede Ihrer Anwendungen aus, um den V1-transitional Client zu verwenden.

Der V1-transitional Client ist vollständig API-compatible mit dem V1-Client kompatibel, sodass keine weiteren Codeänderungen erforderlich sind.

Migrieren Sie V1-transitional Clients zu V2-Clients, um neue Formate zu schreiben

Der V2-Client ist Teil des Amazon.Extensions.S3.Encryption NuGet Pakets. Er ermöglicht Ihren Anwendungen, sowohl V1- als auch V2-encrypted Objekte zu entschlüsseln (sofern dies konfiguriert ist), verschlüsselt Objekte jedoch nur im V2-compatible Format.

Nachdem Sie Ihre vorhandenen Clients auf das neue Verschlüsselungsformat aktualisiert haben, können Sie Ihre Anwendungen sicher auf die V2-Verschlüsselungs- und Entschlüsselungsclients aktualisieren. Führen Sie für jede Ihrer Anwendungen die folgenden Schritte aus, um den V2-Client zu verwenden:

Beispiel: KMS zu KMS+Kontext

Pre-migration

using System.Security.Cryptography;
using Amazon.S3.Encryption;

var encryptionMaterial = new EncryptionMaterials("1234abcd-12ab-34cd-56ef-1234567890ab");
var configuration = new AmazonS3CryptoConfiguration()
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClient(configuration, encryptionMaterial);

Post-migration

using System.Security.Cryptography;
using Amazon.Extensions.S3.Encryption;
using Amazon.Extensions.S3.Encryption.Primitives;

var encryptionContext = new Dictionary<string, string>();
var encryptionMaterial = new EncryptionMaterialsV2("1234abcd-12ab-34cd-56ef-1234567890ab", KmsType.KmsContext, encryptionContext);
var configuration = new AmazonS3CryptoConfigurationV2(SecurityProfile.V2AndLegacy)
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClientV2(configuration, encryptionMaterial);

Beispiel: Symmetrischer Algorithmus (zu Key Wrap) AES-CBC AES-GCM

StorageMode kann ObjectMetadata oder InstructionFile sein.

Pre-migration

using System.Security.Cryptography;
using Amazon.S3.Encryption;

var symmetricAlgorithm = Aes.Create();
var encryptionMaterial = new EncryptionMaterials(symmetricAlgorithm);
var configuration = new AmazonS3CryptoConfiguration()
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClient(configuration, encryptionMaterial);

Post-migration

using System.Security.Cryptography;
using Amazon.Extensions.S3.Encryption;
using Amazon.Extensions.S3.Encryption.Primitives;

var symmetricAlgorithm = Aes.Create();
var encryptionMaterial = new EncryptionMaterialsV2(symmetricAlgorithm, SymmetricAlgorithmType.AesGcm);
var configuration = new AmazonS3CryptoConfigurationV2(SecurityProfile.V2AndLegacy)
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClientV2(configuration, encryptionMaterial);

Beispiel: Asymmetrischer Algorithmus (RSA to RSA-OAEP-SHA1 Key Wrap)

StorageMode kann ObjectMetadata oder InstructionFile sein.

Pre-migration

using System.Security.Cryptography;
using Amazon.S3.Encryption;

var asymmetricAlgorithm = RSA.Create();
var encryptionMaterial = new EncryptionMaterials(asymmetricAlgorithm);
var configuration = new AmazonS3CryptoConfiguration()
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClient(configuration, encryptionMaterial);

Post-migration

using System.Security.Cryptography;
using Amazon.Extensions.S3.Encryption;
using Amazon.Extensions.S3.Encryption.Primitives;

var asymmetricAlgorithm = RSA.Create();
var encryptionMaterial = new EncryptionMaterialsV2(asymmetricAlgorithm, AsymmetricAlgorithmType.RsaOaepSha1);
var configuration = new AmazonS3CryptoConfigurationV2(SecurityProfile.V2AndLegacy)
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClientV2(configuration, encryptionMaterial);

Aktualisieren Sie die V2-Clients so, dass sie V1-Formate nicht mehr lesen

Irgendwann werden alle Objekte mit einem V2-Client verschlüsselt oder erneut verschlüsselt worden sein. Nach Abschluss dieser Konvertierung können Sie die V1-Kompatibilität in den V2-Clients deaktivieren, indem Sie die SecurityProfile Eigenschaft auf setzenSecurityProfile.V2, wie im folgenden Codeausschnitt gezeigt.

//var configuration = new AmazonS3CryptoConfigurationV2(SecurityProfile.V2AndLegacy);
var configuration = new AmazonS3CryptoConfigurationV2(SecurityProfile.V2);