Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Provider di materiali KMS diretto

Il Direct KMS Materials Provider (Direct KMS Provider) protegge gli elementi della tabella con un sistema AWS KMS keyche non esce mai AWS Key Management Service(AWS KMS) in modo non crittografato. Questo provider di materiali crittografici restituisce una chiave di crittografia e una chiave di firma univoche per ogni item della tabella. A questo scopo, richiama AWS KMS ogni volta che effettui la crittografia o la decrittografia di un item.

Se stai elaborando elementi DynamoDB ad alta frequenza e su larga scala, potresti superare i AWS KMS requests-per-secondlimiti, causando ritardi nell'elaborazione. Se devi superare un limite, crea un caso nel AWS SupportCentro. Potresti anche prendere in considerazione l'utilizzo di un fornitore di materiali crittografici con un riutilizzo limitato delle chiavi, come il fornitore più recente.

Per utilizzare il Direct KMS Provider, il chiamante deve disporreAccount AWS, almeno unoAWS KMS key, dell'autorizzazione per chiamare GenerateDataKeye decrittografare le operazioni su. AWS KMS key AWS KMS keyDeve essere una chiave di crittografia simmetrica; il client di crittografia DynamoDB non supporta la crittografia asimmetrica. Se utilizzi una tabella globale DynamoDB, potresti voler specificare una chiave AWS KMSmultiregionale. Per informazioni dettagliate, consultare Come utilizzarlo.

Il Direct KMS Provider è uno dei numerosi fornitori di materiali crittografici (CMP) supportati dal client di crittografia DynamoDB. Per informazioni sugli altri CMP, consulta Fornitore di materiali crittografici.

Per il codice di esempio, consulta:

Come utilizzarlo

Per creare un provider KMS diretto, utilizza il parametro key ID per specificare una chiave KMS di crittografia simmetrica nel tuo account. Il valore del parametro key ID può essere l'ID chiave, l'ARN della chiave, il nome dell'alias o l'alias ARN di. AWS KMS key Per i dettagli sugli identificatori chiave, consulta Identificatori chiave nella Guida per gli sviluppatori. AWS Key Management Service

Il Direct KMS Provider richiede una chiave KMS di crittografia simmetrica. Non è possibile utilizzare una chiave KMS asimmetrica. Tuttavia, puoi utilizzare una chiave KMS multiregionale, una chiave KMS con materiale chiave importato o una chiave KMS in un archivio chiavi personalizzato. È necessario disporre delle autorizzazioni kms: GenerateDataKey e kms:Decrypt sulla chiave KMS. Pertanto, è necessario utilizzare una chiave gestita dal cliente, non una chiave KMS AWS gestita o AWS di proprietà.

Il client di crittografia DynamoDB per Python determina la regione per la chiamata AWS KMS dalla regione nel valore del parametro ID chiave, se ne include una. Altrimenti, utilizza la regione nel AWS KMS client, se ne viene specificata una, o la regione configurata inAWS SDK for Python (Boto3). Per informazioni sulla selezione della regione in Python, consulta Configurazione nel riferimento API AWS SDK for Python (Boto3).

Il client di crittografia DynamoDB per Java determina la regione per le chiamate AWS KMS dalla regione del AWS KMS client, se il client specificato include una regione. Altrimenti, utilizza la regione configurata inAWS SDK for Java. Per informazioni sulla selezione della regione inAWS SDK for Java, consulta la Regione AWSselezione nella Guida per gli AWS SDK for Java sviluppatori.

Java

// Replace the example key ARN and Region with valid values for your application
final String keyArn = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab'
final String region = 'us-west-2'
      
final AWSKMS kms = AWSKMSClientBuilder.standard().withRegion(region).build();
final DirectKmsMaterialProvider cmp = new DirectKmsMaterialProvider(kms, keyArn);

Python

L'esempio seguente utilizza la chiave ARN per specificare ilAWS KMS key. Se l'identificatore di chiave non include unRegione AWS, il client di crittografia DynamoDB ottiene la regione dalla sessione Botocore configurata, se presente, o dai valori predefiniti di Boto.

# Replace the example key ID with a valid value
kms_key = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab'
kms_cmp = AwsKmsCryptographicMaterialsProvider(key_id=kms_key)

Se utilizzi tabelle globali Amazon DynamoDB, ti consigliamo di crittografare i dati con una chiave multiregionale. AWS KMS Le chiavi multiregionali sono diverse Regioni AWS e possono essere utilizzate AWS KMS keys in modo intercambiabile perché hanno lo stesso ID chiave e lo stesso materiale chiave. Per i dettagli, consulta Utilizzo di chiavi multiregionali nella Guida per gli AWS Key Management Service sviluppatori.

Per utilizzare una chiave multiregionale con il client di crittografia DynamoDB, crea una chiave multiregionale e replicala nelle regioni in cui viene eseguita l'applicazione. Quindi configura il Direct KMS Provider per utilizzare la chiave multiregionale nella regione in cui chiama il DynamoDB Encryption Client. AWS KMS

L'esempio seguente configura il client di crittografia DynamoDB per crittografare i dati nella regione Stati Uniti orientali (Virginia settentrionale) (us-east-1) e decrittografarli nella regione Stati Uniti occidentali (Oregon) (us-west-2) utilizzando una chiave multiregionale.

Java

In questo esempio, il client di crittografia DynamoDB ottiene la regione per le chiamate AWS KMS dalla regione del AWS KMS client. Il keyArn valore identifica una chiave multiregionale nella stessa regione.

// Encrypt in us-east-1

// Replace the example key ARN and Region with valid values for your application
final String usEastKey = 'arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab'
final String region = 'us-east-1'
      
final AWSKMS kms = AWSKMSClientBuilder.standard().withRegion(region).build();
final DirectKmsMaterialProvider cmp = new DirectKmsMaterialProvider(kms, usEastKey);

// Decrypt in us-west-2

// Replace the example key ARN and Region with valid values for your application
final String usWestKey = 'arn:aws:kms:us-west-2:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab'
final String region = 'us-west-2'
      
final AWSKMS kms = AWSKMSClientBuilder.standard().withRegion(region).build();
final DirectKmsMaterialProvider cmp = new DirectKmsMaterialProvider(kms, usWestKey);

Python

In questo esempio, il client di crittografia DynamoDB ottiene la regione per le chiamate AWS KMS dalla regione nella chiave ARN.

# Encrypt in us-east-1

# Replace the example key ID with a valid value
us_east_key = 'arn:aws:kms:us-east-1:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab'
kms_cmp = AwsKmsCryptographicMaterialsProvider(key_id=us_east_key)

# Decrypt in us-west-2

# Replace the example key ID with a valid value
us_west_key = 'arn:aws:kms:us-west-2:111122223333:key/mrk-1234abcd12ab34cd56ef1234567890ab'
kms_cmp = AwsKmsCryptographicMaterialsProvider(key_id=us_west_key)

Come funziona

Direct KMS Provider restituisce chiavi di crittografia e firma protette da un codice AWS KMS key specificato dall'utente, come illustrato nel diagramma seguente.

Ottenere materiali di crittografia

Questa sezione descrive nei dettagli gli input, gli output e l'elaborazione del provider KMS diretto al momento della ricezione di una richiesta di materiali di crittografia dal componente di crittografia dell'item.

Ottenere materiali di decrittografia

Questa sezione descrive nei dettagli gli input, gli output e l'elaborazione del provider KMS diretto al momento della ricezione di una richiesta di materiali di decrittografia dal componente di crittografia dell'item.