Código de exemplo para o DynamoDB Encryption Client para Python

Comece criando uma instância de uma tabela padrão do DynamoDB com o nome da tabela.

table_name='test-table'
table = boto3.resource('dynamodb').Table(table_name)

Crie uma instância do provedor de materiais criptográficos (CMP) que você selecionou.

Este exemplo usa o KMSProvedor Direto, mas você pode usar qualquer um compatívelCMP. Para criar um KMS provedor direto, especifique um AWS KMS key. Este exemplo usa o Amazon Resource Name (ARN) do AWS KMS key, mas você pode usar qualquer identificador de chave válido.

kms_key_id='arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab'
kms_cmp = AwsKmsCryptographicMaterialsProvider(key_id=kms_key_id)

As Ações de atributos informam ao criptografador de itens quais ações executar em cada atributo de item. O objeto AttributeActions neste exemplo criptografa e assina todos os itens exceto o atributo test, que é ignorado.

Não especifique ações de atributo para os atributos de chave primária ao usar uma classe auxiliar do cliente. A classe EncryptedTable assina, mas nunca criptografa os atributos de chave primária.

actions = AttributeActions(
    default_action=CryptoAction.ENCRYPT_AND_SIGN,
    attribute_actions={'test': CryptoAction.DO_NOTHING}
)

Crie a tabela criptografada usando a tabela padrão, o KMS Provedor Direto e as ações do atributo. Essa etapa conclui a configuração.

encrypted_table = EncryptedTable(
    table=table,
    materials_provider=kms_cmp,
    attribute_actions=actions
)

Ao chamar o método put_item no encrypted_table, os itens da tabela são criptografados, assinados e adicionados à tabela do DynamoDB de maneira transparente.

Primeiro, defina o item da tabela.

plaintext_item = {
    'partition_attribute': 'value1',
    'sort_attribute': 55
    'example': 'data',
    'numbers': 99,
    'binary': Binary(b'\x00\x01\x02'),
    'test': 'test-value'
}

Em seguida, coloque-o na tabela.

encrypted_table.put_item(Item=plaintext_item)

Comece criando uma instância de um recurso de tabela padrão do DynamoDB com o nome da tabela.

table_name='test-table'
table = boto3.resource('dynamodb').Table(table_name)

Crie uma instância do provedor de materiais criptográficos (CMP) que você selecionou.

Este exemplo usa o KMSProvedor Direto, mas você pode usar qualquer um compatívelCMP. Para criar um KMS provedor direto, especifique um AWS KMS key. Este exemplo usa o Amazon Resource Name (ARN) do AWS KMS key, mas você pode usar qualquer identificador de chave válido.

kms_key_id='arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab'
kms_cmp = AwsKmsCryptographicMaterialsProvider(key_id=kms_key_id)

Para obter informações sobre a tabela do DynamoDB, crie uma instância da TableInfoclasse auxiliar. Ao trabalhar diretamente com o criptografador de item, você precisa criar uma instância TableInfo e chamar seus métodos. As classes auxiliares do cliente fazem isso para você.

O refresh_indexed_attributes método de TableInfo usa a operação do DescribeTableDynamoDB para obter informações precisas e em tempo real sobre a tabela. Isso inclui sua chave primária e seus índices secundários locais e globais. O chamador precisa ter permissão para chamar DescribeTable.

table_info = TableInfo(name=table_name)
table_info.refresh_indexed_attributes(table.meta.client)

O Contexto de criptografia do DynamoDB contém informações sobre a estrutura da tabela e de como ela é criptografada e assinada. Este exemplo cria um contexto de criptografia do DynamoDB explicitamente, pois interage com o criptografador de item. As classes auxiliares do cliente criam o contexto de criptografia do DynamoDB para você.

Para obter a chave de partição e a chave de classificação, você pode usar as propriedades da classe TableInfoauxiliar.

index_key = {
    'partition_attribute': 'value1',
    'sort_attribute': 55
}

encryption_context = EncryptionContext(
    table_name=table_name,
    partition_key_name=table_info.primary_index.partition,
    sort_key_name=table_info.primary_index.sort,
    attributes=dict_to_ddb(index_key)
)

As Ações de atributos informam ao criptografador de itens quais ações executar em cada atributo de item. O objeto AttributeActions neste exemplo criptografa e assina todos os itens, exceto para os atributos de chave primária, que são assinados, mas não criptografados, e o atributo test, que é ignorado.

Ao interagir diretamente com o criptografador de item, e a ação padrão ser ENCRYPT_AND_SIGN, você deve especificar uma ação alternativa para a chave primária. Você pode usar o método set_index_keys, que utiliza SIGN_ONLY para a chave primária ou usa DO_NOTHING se é o padrão.

Para especificar a chave primária, este exemplo usa as chaves de índice no TableInfoobjeto, que são preenchidas por uma chamada para o DynamoDB. Esta técnica é mais segura do que nomes de chave primária de hard-code.

actions = AttributeActions(
    default_action=CryptoAction.ENCRYPT_AND_SIGN,
    attribute_actions={'test': CryptoAction.DO_NOTHING}
)
actions.set_index_keys(*table_info.protected_index_keys())

Para configurar o DynamoDB Encryption Client, use os objetos que você acabou de criar em CryptoConfiguma configuração para o item da tabela. As classes auxiliares do cliente criam o CryptoConfig para você.

crypto_config = CryptoConfig(
    materials_provider=kms_cmp,
    encryption_context=encryption_context,
    attribute_actions=actions
)

Essa etapa criptografa e assina o item, mas não o coloca em uma tabela do DynamoDB.

Quando você usa uma classe auxiliar do cliente, seus itens são criptografados e assinados de maneira transparente e, em seguida, adicionados à tabela do DynamoDB quando você chama o método put_item da classe auxiliar. Ao usar o criptografador de item diretamente, as ações de criptografia e colocação são independentes.

Primeiro, crie um item de texto simples.

plaintext_item = {
    'partition_attribute': 'value1',
    'sort_key': 55,
    'example': 'data',
    'numbers': 99,
    'binary': Binary(b'\x00\x01\x02'),
    'test': 'test-value'
}

Em seguida, criptografe e assine o item. O método encrypt_python_item requer o objeto de configuração CryptoConfig.

encrypted_item = encrypt_python_item(plaintext_item, crypto_config)

Essa etapa coloca o item criptografado e assinado na tabela do DynamoDB.

table.put_item(Item=encrypted_item)