翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

DynamoDB 用の クライアントNET側の暗号化ライブラリの使用

このトピックでは、DynamoDB 用の クライアントNET側の暗号化ライブラリのバージョン 3.x の関数とヘルパークラスの一部について説明します。

DynamoDB 用の .NET クライアント側の暗号化ライブラリを使用したプログラミングの詳細については、「」のNET「-dynamodb リポジトリ」の「」例を参照してください GitHub。 aws-database-encryption-sdk

項目エンクリプタ

DynamoDB SDKの AWS Database Encryption は、その中核となる項目エンクリプタです。DynamoDB 用の .NET クライアント側の暗号化ライブラリのバージョン 3.x を使用して、DynamoDB テーブル項目を次の方法で暗号化、署名、検証、復号化できます。

Database Encryption SDK for AWS DynamoDB の属性アクション

属性アクションは、どの属性値が暗号化および署名され、署名のみされ、署名されて暗号化コンテキストに含まれ、無視されるかを決定します。

クライアントNETで属性アクションを指定するには、オブジェクトモデルを使用して属性アクションを手動で定義します。名前と値のペアが属性名と指定されたアクションを表すDictionaryオブジェクトを作成して、属性アクションを指定します。

属性を暗号化して署名するように ENCRYPT_AND_SIGN を指定します。属性に署名するが暗号化はしないように SIGN_ONLY を指定します。属性に署名SIGN_AND_INCLUDE_IN_ENCRYPTION_CONTEXTし、暗号化コンテキストに含めるには、 を指定します。属性に署名することなく、その属性を暗号化することはできません。属性を無視するように DO_NOTHING を指定します。

パーティション属性とソート属性は、 SIGN_ONLYまたは のいずれかである必要がありますSIGN_AND_INCLUDE_IN_ENCRYPTION_CONTEXT。属性を として定義する場合SIGN_AND_INCLUDE_IN_ENCRYPTION_CONTEXT、パーティション属性とソート属性も である必要がありますSIGN_AND_INCLUDE_IN_ENCRYPTION_CONTEXT。

次のオブジェクトモデルはENCRYPT_AND_SIGN、 クライアントで SIGN_ONLY、SIGN_AND_INCLUDE_IN_ENCRYPTION_CONTEXT、、および DO_NOTHING 属性アクションを指定する方法を示しています。NETこの例では、プレフィックス:「」を使用してDO_NOTHING属性を識別します。

var attributeActionsOnEncrypt = new Dictionary<string, CryptoAction>
{
    ["partition_key"] = CryptoAction.SIGN_AND_INCLUDE_IN_ENCRYPTION_CONTEXT, // The partition attribute must be signed
    ["sort_key"] = CryptoAction.SIGN_AND_INCLUDE_IN_ENCRYPTION_CONTEXT, // The sort attribute must be signed
    ["attribute1"] = CryptoAction.ENCRYPT_AND_SIGN,
    ["attribute2"] = CryptoAction.SIGN_ONLY,
    ["attribute3"] = CryptoAction.SIGN_AND_INCLUDE_IN_ENCRYPTION_CONTEXT,
    [":attribute4"] = CryptoAction.DO_NOTHING
};

Database Encryption SDK for AWS DynamoDB の暗号化設定

AWS Database Encryption を使用する場合はSDK、DynamoDB テーブルの暗号化設定を明示的に定義する必要があります。暗号化設定に必要な値は、属性アクションを手動で定義したか、またはアノテーション付きデータクラスを使用して定義したかによって異なります。

次のスニペットでは、DynamoDB SDK用の低レベルの AWS Database Encryption APIと、個別のプレフィックスで定義された許可された署名なし属性を使用して、DynamoDB テーブルの暗号化設定を定義します。

Dictionary<String, DynamoDbTableEncryptionConfig> tableConfigs =
    new Dictionary<String, DynamoDbTableEncryptionConfig>();
DynamoDbTableEncryptionConfig config = new DynamoDbTableEncryptionConfig
{
    LogicalTableName = ddbTableName,
    PartitionKeyName = "partition_key",
    SortKeyName = "sort_key",
    AttributeActionsOnEncrypt = attributeActionsOnEncrypt,
    Keyring = kmsKeyring,
    AllowedUnsignedAttributePrefix = unsignAttrPrefix,
    // Optional: SearchConfig only required if you use beacons
    Search = new SearchConfig
    {
        WriteVersion = 1, // MUST be 1
        Versions = beaconVersions
    }    
};
tableConfigs.Add(ddbTableName, config);

AWS Database Encryption を使用した項目の更新 SDK

AWS Database Encryption SDKは、暗号化された属性または署名された属性を含む項目の ddb:UpdateItem をサポートしていません。暗号化または署名された属性を更新するには、ddb:PutItem を使用する必要があります。PutItem リクエストで既存の項目と同じプライマリキーを指定すると、新しい項目が既存の項目に完全に置き換わります。を使用してCLOBBER、項目を更新した後、保存時にすべての属性をクリアして置き換えることもできます。