DynamoDB Encryption Client for Java 사용

이 주제에서는 다른 프로그래밍 언어 구현에서는 찾을 수 없는 Java의 DynamoDB Encryption Client 기능 중 일부를 설명합니다.

DynamoDB 암호화 클라이언트를 사용한 프로그래밍에 대한 자세한 내용은 Java 예제, 의 예제 및 DynamoDB 암호화 클라이언트용 Javadoc을 참조하십시오. aws-dynamodb-encryption-java repository GitHub

항목 암호화기: 및 D AttributeEncryptor ynamoDBEncryptor

Java의 DynamoDB 암호화 클라이언트에는 하위 수준 D와 라는 두 개의 항목 암호화기가 있습니다. ynamoDBEncryptor AttributeEncryptor

AttributeEncryptor는 DynamoDB 암호화 ynamoDBMapper 클라이언트에서 AWS SDK for Java D와 함께 D를 사용하는 데 도움이 되는 도우미 클래스입니다. DynamoDB Encryptor DynamoDBMapper와 함께 AttributeEncryptor를 사용하면 사용자가 항목을 저장할 때 항목을 사용자 모르게 암호화하고 서명합니다. 또한 사용자가 항목을 로드할 때 항목을 사용자 모르게 확인하고 복호화합니다.

저장 동작 구성

AttributeEncryptor 및 DynamoDBMapper를 사용하여 서명만 있거나 암호화 및 서명된 속성이 있는 테이블 항목을 추가하거나 교체할 수 있습니다. 이러한 작업의 경우 다음 예와 같이 PUT 저장 동작을 사용하도록 구성하는 것이 좋습니다. 그렇지 않으면 데이터를 복호화하지 못할 수 있습니다.

DynamoDBMapperConfig mapperConfig = DynamoDBMapperConfig.builder().withSaveBehavior(SaveBehavior.PUT).build();
DynamoDBMapper mapper = new DynamoDBMapper(ddb, mapperConfig, new AttributeEncryptor(encryptor));

테이블 항목에서 모델링된 속성만 업데이트하는 기본 저장 동작을 사용하는 경우 모델링되지 않은 속성은 서명에 포함되지 않으며 테이블 쓰기에 의해 변경되지 않습니다. 따라서 모델링되지 않은 속성을 포함하지 않기 때문에 나중에 모든 속성을 읽을 때 서명이 검증되지 않습니다.

CLOBBER 저장 동작을 사용할 수도 있습니다. 이 동작은 낙관적 잠금을 비활성화하고 테이블의 항목을 덮어쓴다는 점을 제외하면 PUT 저장 동작과 동일합니다.

서명 오류를 방지하기 위해 DynamoDB Encryption Client는 AttributeEncryptor를 저장 동작이 CLOBBER 또는 PUT로 구성되지 않은 DynamoDBMapper와 함께 사용하는 경우 런타임 예외를 발생시킵니다.

이 코드가 예제에 사용된 것을 보려면 D 사용 ynamoDBMapper 및 의 리포지토리에 AwsKmsEncryptedObject있는.java 예제를 참조하십시오. aws-dynamodb-encryption-java GitHub

Java의 속성 작업

속성 작업은 암호화 및 서명되는 속성 값, 서명만 되는 속성 값 및 무시되는 속성 값을 결정합니다. 속성 작업을 지정하는 데 사용하는 방법은 DynamoDBMapper 및 AttributeEncryptor 또는 하위 수준 D를 사용하는지 여부에 따라 달라집니다. ynamoDBEncryptor

// Attributes are encrypted and signed
@DynamoDBAttribute(attributeName="Description")

// Partition keys are signed but not encrypted
@DynamoDBHashKey(attributeName="Title")

// Sort keys are signed but not encrypted
@DynamoDBRangeKey(attributeName="Author")

// Sign only
@DoNotEncrypt

// Do nothing; not encrypted or signed
@DoNotTouch

// Sign only (override the default)
@DoNotEncrypt
@DynamoDBAttribute(attributeName="PublicationYear")

// Do nothing (override the default)
@DoNotTouch
@DynamoDBAttribute(attributeName="ISBN")

ENCRYPT
SIGN

final EnumSet<EncryptionFlags> signOnly = EnumSet.of(EncryptionFlags.SIGN);
final EnumSet<EncryptionFlags> encryptAndSign = EnumSet.of(EncryptionFlags.ENCRYPT, EncryptionFlags.SIGN);
final Map<String, Set<EncryptionFlags>> actions = new HashMap<>();

for (final String attributeName : record.keySet()) {
  switch (attributeName) {
    case partitionKeyName: // no break; falls through to next case
    case sortKeyName:
      // Partition and sort keys must not be encrypted, but should be signed
      actions.put(attributeName, signOnly);
      break;
    case "test":
      // Don't encrypt or sign
      break;
    default:
      // Encrypt and sign everything else
      actions.put(attributeName, encryptAndSign);
      break;
  }
}

// Encrypt the plaintext record
final Map<String, AttributeValue> encrypted_record = encryptor.encryptRecord(record, actions, encryptionContext);

테이블 이름 재정의

DynamoDB Encryption Client에서 DynamoDB 테이블의 이름은 암호화 및 복호화 메서드에 전달되는 DynamoDB 암호화 컨텍스트의 요소입니다. 테이블 항목을 암호화하거나 서명할 때 테이블 이름을 포함한 DynamoDB 암호화 컨텍스트는 암호화 텍스트에 암호로 바인딩됩니다. decrypt 방법에 전달된 DynamoDB 암호화 컨텍스트가 encrypt 방법에 전달된 DynamoDB 암호화 컨텍스트와 일치하지 않으면 복호화 작업이 실패합니다.

테이블을 백업하거나 point-in-time 복구를 수행할 때와 같이 테이블 이름이 변경되는 경우가 있습니다. 이러한 항목의 서명을 복호화하거나 확인할 때 원래 테이블 이름을 포함하여 항목을 암호화하고 서명하는 데 사용된 것과 동일한 DynamoDB 암호화 컨텍스트를 전달해야 합니다. 현재 테이블 이름은 필요하지 않습니다.

DynamoDBEncryptor를 사용하는 경우 DynamoDB 암호화 컨텍스트를 수동으로 결합합니다. 그러나 DynamoDBMapper를 사용하는 경우 AttributeEncryptor는 현재 테이블 이름을 포함하여 DynamoDB 암호화 컨텍스트를 만듭니다. AttributeEncryptor에서 다른 테이블 이름으로 암호화 컨텍스트를 만들도록 지정하려면 EncryptionContextOverrideOperator를 사용합니다.

예를 들어, 다음 코드는 암호화 자료 제공자 (CMP) 및 의 DynamoDBEncryptor 인스턴스를 만듭니다. 그런 다음 DynamoDBEncryptor의 setEncryptionContextOverrideOperator 메서드를 호출합니다. 하나의 테이블 이름을 재정의하는 overrideEncryptionContextTableName 연산자를 사용합니다. 이 방법으로 구성되면 AttributeEncryptor는 oldTableName 대신 newTableName을 포함하는 DynamoDB 암호화 컨텍스트를 생성합니다. 전체 EncryptionContextOverridesWithDynamoDBMapper예제는.java를 참조하십시오.

final DirectKmsMaterialProvider cmp = new DirectKmsMaterialProvider(kms, keyArn);
final DynamoDBEncryptor encryptor = DynamoDBEncryptor.getInstance(cmp);

encryptor.setEncryptionContextOverrideOperator(EncryptionContextOperators.overrideEncryptionContextTableName(
                oldTableName, newTableName));

항목을 복호화하고 확인하는 DynamoDBMapper의 load 메서드를 호출할 때 원래 테이블 이름을 지정합니다.

mapper.load(itemClass, DynamoDBMapperConfig.builder()
                .withTableNameOverride(DynamoDBMapperConfig.TableNameOverride.withTableNameReplacement(oldTableName))
                .build());

여러 테이블 이름을 재정의하는 overrideEncryptionContextTableNameUsingMap 연산자를 사용할 수도 있습니다.

테이블 이름 재정의 연산자는 일반적으로 데이터를 복호화하고 서명을 확인할 때 사용됩니다. 그러나 암호화 및 서명 시 DynamoDB 암호화 컨텍스트의 테이블 이름을 다른 값으로 설정하는 데 사용할 수 있습니다.

DynamoDBEncryptor를 사용하는 경우 테이블 이름 재정의 연산자를 사용하지 마십시오. 대신 원래 테이블 이름으로 암호화 컨텍스트를 만들고 복호화 메서드에 제출하십시오.