Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Migrazione del client di crittografia Amazon S3 (da V2 a V3)

Questo argomento mostra come migrare le applicazioni dalla versione 2 (V2) del client di crittografia Amazon Simple Storage Service (Amazon S3) alla versione 3 (V3) e garantire la disponibilità delle applicazioni durante tutto il processo di migrazione. V3 introduce AES GCM con Key Commitment and Commitment Policies per migliorare la sicurezza e proteggere dalla manomissione delle chiavi di dati.

Panoramica sulla migrazione

La versione 3 del client di crittografia Amazon S3 introduce AES GCM con Key Commitment per una maggiore sicurezza. Questo nuovo algoritmo di crittografia fornisce protezione contro la manomissione delle chiavi di dati e garantisce l'integrità dei dati crittografati. La migrazione alla V3 richiede un'attenta pianificazione per mantenere la disponibilità delle applicazioni e l'accessibilità dei dati durante l'intero processo.

Questa migrazione avviene in due fasi:

1. Aggiorna i client esistenti per leggere nuovi formati. Innanzitutto, distribuisci una versione aggiornata dell' AWS SDK per Ruby nella tua applicazione. Ciò consentirà ai client di crittografia V2 esistenti di decrittografare gli oggetti scritti dai nuovi client V3. Se l'applicazione utilizza più AWS SDK, è necessario aggiornare ciascun SDK separatamente.

2. Esegui la migrazione dei client di crittografia e decrittografia alla V3. Una volta che tutti i client di crittografia V2 sono in grado di leggere i nuovi formati, è possibile migrare i client di crittografia e decrittografia esistenti alle rispettive versioni V3. Ciò include la configurazione delle Commitment Policies e l'aggiornamento del codice per utilizzare le nuove opzioni di configurazione del client.

Se non hai ancora eseguito la migrazione dalla V1 alla V2, devi prima completare la migrazione. Consulta Migrazione del client di crittografia Amazon S3 (da V1 a V2) le istruzioni dettagliate sulla migrazione dalla V1 alla V2.

Comprensione delle funzionalità della V3

La versione 3 del client di crittografia Amazon S3 introduce due funzionalità di sicurezza chiave: Commitment Policies e AES GCM with Key Commitment. La comprensione di queste funzionalità è essenziale per pianificare la strategia di migrazione e garantire la sicurezza dei dati crittografati.

Politiche di impegno

Le politiche di impegno controllano il modo in cui il client di crittografia gestisce l'impegno delle chiavi durante le operazioni di crittografia e decrittografia. L'impegno delle chiavi garantisce che i dati crittografati possano essere decrittografati solo con la chiave esatta utilizzata per crittografarli, proteggendoli da determinati tipi di attacchi crittografici.

Il client di crittografia V3 supporta tre opzioni di Commitment Policy:

FORBID_ENCRYPT_ALLOW_DECRYPT

Questa politica crittografa gli oggetti senza impegno della chiave e consente la decrittografia di entrambi gli oggetti con e senza impegno della chiave.

REQUIRE_ENCRYPT_ALLOW_DECRYPT

Questa politica crittografa gli oggetti con impegno di chiave e consente la decrittografia di entrambi gli oggetti con e senza impegno di chiave.

REQUIRE_ENCRYPT_REQUIRE_DECRYPT

Questa policy crittografa gli oggetti con key commitment e consente la decrittografia solo degli oggetti crittografati con key commitment.

AES GCM con Key Commitment

AES GCM with Key Commitment (ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEY) è un nuovo algoritmo di crittografia introdotto nella V3 che fornisce una maggiore sicurezza proteggendo dalla manomissione delle chiavi di dati. Comprendere come funziona questo algoritmo e quando viene applicato è importante per pianificare la migrazione.

In cosa ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEY differisce dagli algoritmi precedenti

Le versioni precedenti del client di crittografia S3 utilizzavano AES CBC o AES GCM senza l'impegno della chiave per crittografare la chiave di dati nei file di istruzioni. ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEYaggiunge un impegno crittografico al processo di crittografia, che lega i dati crittografati a una chiave specifica. Ciò impedisce a un utente malintenzionato di manomettere la chiave di dati crittografata nel file di istruzioni e di indurre il client a decrittografare i dati con una chiave errata.

Senza l'impegno della chiave, è possibile che un utente malintenzionato modifichi la chiave di dati crittografata in un file di istruzioni in modo da decifrarla in una chiave diversa, consentendo potenzialmente l'accesso non autorizzato o il danneggiamento dei dati. ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEYpreviene questo attacco assicurando che la chiave di dati crittografata possa essere decrittografata solo con la chiave originale utilizzata durante la crittografia.

Compatibilità delle versioni

Gli oggetti crittografati con ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEY possono essere decrittografati solo dalle implementazioni V3 del client di crittografia S3 e da alcune versioni di transizione di V2 che includono il supporto per la lettura dei formati V3. I client V2 senza questo supporto per la transizione non possono decrittografare i file di istruzioni crittografati con. ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEY

Durante la migrazione, puoi utilizzare la FORBID_ENCRYPT_ALLOW_DECRYPT policy di commit per continuare la crittografia senza consentire ALG_AES_256_GCM_HKDF_SHA512_COMMIT_KEY comunque ai tuoi client V3 di leggere gli oggetti crittografati con key commit. Ciò fornisce un percorso di migrazione sicuro in cui è necessario innanzitutto aggiornare tutti i lettori, quindi passare alla crittografia con key commit.

Aggiorna i client esistenti per leggere nuovi formati

Il client di crittografia V3 utilizza algoritmi di crittografia e funzionalità di impegno chiave che i client V2 non supportano per impostazione predefinita. Il primo passo della migrazione consiste nell'aggiornare i client di decrittografia V2 a una versione dell' AWS SDK per Ruby in grado di leggere oggetti crittografati V3. Dopo aver completato questo passaggio, i client V2 dell'applicazione saranno in grado di decrittografare gli oggetti crittografati dai client di crittografia V3.

Per leggere gli oggetti crittografati dai client V3 (quelli che utilizzano le nostre policy di REQUIRE_ENCRYPT_REQUIRE_DECRYPT impegno), è necessario utilizzare la versione 1.93.0 REQUIRE_ENCRYPT_ALLOW_DECRYPT o successiva del gem. aws-sdk-s3 Questa versione include il supporto per la decrittografia di oggetti crittografati con AES GCM con Key Commitment.

Installazione dalla riga di comando

Per i progetti che installano aws-sdk-s3 gem dalla riga di comando, usate l'opzione version per verificare che sia installata la versione minima di 1.208.0.

gem install aws-sdk-s3 -v '>= 1.208.0'

Usare Gemfiles

Per i progetti che utilizzano un Gemfile per gestire le dipendenze, imposta la versione minima del aws-sdk-s3 gem su 1.208.0. Ad esempio:

gem 'aws-sdk-s3', '>= 1.208.0'

Esegui la migrazione dei client di crittografia e decrittografia su V3

Dopo aver aggiornato i client per leggere i nuovi formati di crittografia, è possibile aggiornare le applicazioni ai client di crittografia e decrittografia V3. I passaggi seguenti mostrano come migrare correttamente il codice dalla V2 alla V3.

Prima di aggiornare il codice per utilizzare il client di crittografia V3, assicurati di aver seguito i passaggi precedenti e di utilizzare la versione aws-sdk-s3 gem 1.93.0 o successiva.

Configurazione dei client V3

Il client di crittografia V3 introduce nuove opzioni di configurazione che controllano il comportamento di attivazione delle chiavi e la compatibilità con le versioni precedenti. La comprensione di queste opzioni è essenziale per una migrazione di successo.

commitment_policy

Il commitment_policy parametro controlla il modo in cui il client di crittografia gestisce l'impegno delle chiavi durante le operazioni di crittografia e decrittografia. Questa è l'opzione di configurazione più importante per i client V3.

security_profile

Il security_profile parametro determina il supporto per la lettura di oggetti scritti da versioni precedenti del client di crittografia. Questo parametro è essenziale per mantenere la compatibilità con le versioni precedenti durante la migrazione.

envelope_location

Il envelope_location parametro determina dove vengono archiviati i metadati di crittografia (inclusa la chiave di dati crittografata). Questo parametro influisce sugli oggetti protetti da AES GCM con Key Commitment.

Quando si utilizza:instruction_file, è possibile specificare facoltativamente il instruction_file_suffix parametro per personalizzare il suffisso utilizzato per gli oggetti Instruction File. Il suffisso predefinito è. .instruction

Quando utilizzare ciascuna opzione di configurazione

Durante la migrazione, segui questa strategia di configurazione consigliata:

Perenvelope_location, continua a utilizzare il metodo di archiviazione esistente (:metadatao:instruction_file) a meno che tu non abbia un motivo specifico per modificarlo. Se stai attualmente utilizzando l'archiviazione dei metadati e desideri la sicurezza aggiuntiva di AES GCM con Key Commitment per la chiave di dati, puoi passare a:instruction_file, ma tieni presente che ciò richiederà l'aggiornamento di tutti i client che leggono questi oggetti.

Esegui la migrazione dei client di crittografia e decrittografia alla V3

Dopo aver aggiornato i client per leggere i nuovi formati di crittografia, è possibile aggiornare le applicazioni ai client di crittografia e decrittografia V3. Gli esempi seguenti mostrano come migrare correttamente il codice dalla V2 alla V3.

Utilizzo dei client di crittografia V3

Pre-migration (V2)

require 'aws-sdk-s3'

# Create V2 encryption client with KMS
client = Aws::S3::EncryptionV2::Client.new(
  kms_key_id: kms_key_id,
  key_wrap_schema: :kms_context,
  content_encryption_schema: :aes_gcm_no_padding,
  security_profile: :v2_and_legacy,
  commitment_policy: :forbid_encrypt_allow_decrypt
)

# Encrypt and upload object
client.put_object(bucket: 'my-bucket', key: 'my-object', body: 'secret data')

# Download and decrypt object
resp = client.get_object(bucket: 'my-bucket', key: 'my-object')
decrypted_data = resp.body.read

Durante la migrazione (V3 con compatibilità con le versioni precedenti)

require 'aws-sdk-s3'

# Create V3 encryption client with KMS
client = Aws::S3::EncryptionV3::Client.new(
  kms_key_id: kms_key_id,
  key_wrap_schema: :kms_context,
  content_encryption_schema: :aes_gcm_no_padding,
  security_profile: :v3_and_legacy,
  commitment_policy: :require_encrypt_allow_decrypt
)

# Encrypt and upload object
client.put_object(bucket: 'my-bucket', key: 'my-object', body: 'secret data')

# Download and decrypt object
resp = client.get_object(bucket: 'my-bucket', key: 'my-object')
decrypted_data = resp.body.read

Post-migration (V3)

require 'aws-sdk-s3'

# Create V3 encryption client with KMS
client = Aws::S3::EncryptionV3::Client.new(
  kms_key_id: kms_key_id,
  key_wrap_schema: :kms_context,
  content_encryption_schema: :aes_gcm_no_padding,
  security_profile: :v3,
  # Use the commitment policy (REQUIRE_ENCRYPT_REQUIRE_DECRYPT)
  # This encrypts with key commitment and does not decrypt V2 objects
  commitment_policy: :require_encrypt_require_decrypt
)

# Encrypt and upload object
client.put_object(bucket: 'my-bucket', key: 'my-object', body: 'secret data')

# Download and decrypt object
resp = client.get_object(bucket: 'my-bucket', key: 'my-object')
decrypted_data = resp.body.read

La differenza fondamentale in V3 è l'aggiunta del commitment_policy parametro. Impostandolo in :require_encrypt_require_decrypt modo da garantire che i nuovi oggetti vengano crittografati con key commit e che il client decifri solo gli oggetti crittografati con key commit, fornendo una maggiore sicurezza contro la manomissione delle chiavi di dati.

La put_object chiamata stessa rimane invariata. Tutti i miglioramenti della sicurezza sono configurati a livello di client.

Esempi aggiuntivi

Questa sezione fornisce esempi aggiuntivi per scenari di migrazione specifici e opzioni di configurazione che possono essere utili durante la migrazione da V2 a V3.

File di istruzioni e archiviazione dei metadati

Il client di crittografia S3 può archiviare i metadati di crittografia (inclusa la chiave di dati crittografata) in due posizioni diverse: nelle intestazioni dei metadati dell'oggetto S3 o in un file di istruzioni separato. La scelta del metodo di archiviazione influisce sugli oggetti che beneficiano della protezione AES GCM con Key Commitment.

Archiviazione dei metadati (impostazione predefinita)

Per impostazione predefinita, il client di crittografia memorizza i metadati di crittografia nelle intestazioni dei metadati dell'oggetto S3. Questo è l'approccio consigliato per la maggior parte dei casi d'uso perché mantiene i metadati di crittografia con l'oggetto e non richiede la gestione di oggetti Instruction File separati.

require 'aws-sdk-s3'

# Create V3 encryption client with metadata storage (default)
client = Aws::S3::EncryptionV3::Client.new(
  kms_key_id: kms_key_id,
  key_wrap_schema: :kms_context,
  content_encryption_schema: :aes_gcm_no_padding,
  security_profile: :v3_and_legacy,
  commitment_policy: :require_encrypt_allow_decrypt,
  envelope_location: :metadata # Explicitly set to metadata (this is the default)
)

# Encrypt and upload object
# Encryption metadata is stored in the object's metadata headers
client.put_object(bucket: 'my-bucket', key: 'my-object',body: 'secret data')

Quando si utilizza l'archiviazione dei metadati, AES GCM with Key Commitment non si applica alla chiave di dati crittografata. Tuttavia, la crittografia dei contenuti trae ancora vantaggio dall'impegno chiave quando si utilizza o. commitment_policy: :require_encrypt_allow_decrypt :require_encrypt_require_decrypt

Memorizzazione dei file di istruzioni

In alternativa, è possibile configurare il client di crittografia per archiviare i metadati di crittografia in un oggetto S3 separato chiamato file di istruzioni. Quando si utilizzano i file di istruzioni con V3, la chiave dati crittografata è protetta da AES GCM con Key Commitment, che fornisce una protezione aggiuntiva contro la manomissione della chiave di dati.

require 'aws-sdk-s3'

# Create V3 encryption client with instruction file storage
client = Aws::S3::EncryptionV3::Client.new(
  kms_key_id: kms_key_id,
  key_wrap_schema: :kms_context,
  content_encryption_schema: :aes_gcm_no_padding,
  security_profile: :v3_and_legacy,
  commitment_policy: :require_encrypt_allow_decrypt,
  envelope_location: :instruction_file, # Store metadata in separate instruction file
  instruction_file_suffix: '.instruction' # Optional: customize the suffix (default is '.instruction')
)

# Encrypt and upload object
# Encryption metadata is stored in a separate object: 'my-object.instruction'
client.put_object(bucket: 'my-bucket', key: 'my-object', body: 'secret data')

# When retrieving the object, the client automatically reads the instruction file
resp = client.get_object(bucket: 'my-bucket', key: 'my-object')
decrypted_data = resp.body.read

Durante l'utilizzoenvelope_location: :instruction_file, il client di crittografia crea due oggetti S3:

Il instruction_file_suffix parametro consente di personalizzare il suffisso utilizzato per i file di istruzioni. Il valore predefinito è .instruction.

Quando utilizzare ciascun metodo di archiviazione