Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Chiffrement côté client Amazon S3 avec la AWS SDK for PHP version 3

Avec le chiffrement côté client, les données sont chiffrées et déchiffrées directement dans votre environnement. Cela signifie que ces données sont chiffrées avant d'être transférées vers Amazon S3 et que vous ne comptez pas sur un service externe pour gérer le chiffrement à votre place. Pour les nouvelles implémentations, nous suggérons d'utiliser S3EncryptionClientV2 et de remplacer S3EncryptionMultipartUploaderV2 le obsolète S3EncryptionClient et. S3EncryptionMultipartUploader Il est recommandé que les anciennes implémentations utilisant toujours les versions obsolètes tentent de migrer. S3EncryptionClientV2maintient le support pour le déchiffrement des données chiffrées à l'aide de l'ancienne version. S3EncryptionClient

Le kit AWS SDK for PHP implémente le chiffrement d’enveloppe et utilise OpenSSL pour le chiffrement et le déchiffrement. L’implémentation est interopérable avec d’autres kits SDK qui correspondent à ses fonctions. Elle est également compatible avec le kit SDK du flux de travail asynchrone basé sur les promesses.

Guide de migration

Pour ceux qui essaient de migrer des clients obsolètes vers les nouveaux clients, il existe un guide de migration disponible ici.

Installation

Pour démarrer avec le chiffrement côté client, vous avez besoin des éléments suivants :

Avant d'exécuter un exemple de code, configurez vos AWS informations d'identification. Voir Informations d'identification pour la AWS SDK for PHP version 3.

Chiffrement

Le chargement d'un objet chiffré S3EncryptionClientV2 nécessite trois paramètres supplémentaires en plus des PutObject paramètres standard :

use Aws\S3\S3Client;
use Aws\S3\Crypto\S3EncryptionClientV2;
use Aws\Kms\KmsClient;
use Aws\Crypto\KmsMaterialsProviderV2;

 // Let's construct our S3EncryptionClient using an S3Client
 $encryptionClient = new S3EncryptionClientV2(
     new S3Client([
         'profile' => 'default',
         'region' => 'us-east-1',
         'version' => 'latest',
     ])
 );

 $kmsKeyId = 'kms-key-id';
 $materialsProvider = new KmsMaterialsProviderV2(
     new KmsClient([
         'profile' => 'default',
         'region' => 'us-east-1',
         'version' => 'latest',
     ]),
     $kmsKeyId
 );

 $bucket = 'the-bucket-name';
 $key = 'the-file-name';
 $cipherOptions = [
     'Cipher' => 'gcm',
     'KeySize' => 256,
     // Additional configuration options
 ];

 $result = $encryptionClient->putObject([
     '@MaterialsProvider' => $materialsProvider,
     '@CipherOptions' => $cipherOptions,
     '@KmsEncryptionContext' => ['context-key' => 'context-value'],
     'Bucket' => $bucket,
     'Key' => $key,
     'Body' => fopen('file-to-encrypt.txt', 'r'),
 ]);

Déchiffrement

Le téléchargement et le déchiffrement d'un objet comportent quatre paramètres supplémentaires, dont deux sont obligatoires, en plus des paramètres standard. GetObject Le client détectera les options de chiffrement de base pour vous.

$result = $encryptionClient->getObject([
    '@KmsAllowDecryptWithAnyCmk' => true,
    '@SecurityProfile' => 'V2_AND_LEGACY',
    '@MaterialsProvider' => $materialsProvider,
    '@CipherOptions' => $cipherOptions,
    'Bucket' => $bucket,
    'Key' => $key,
]);

Configuration du chiffrement

Stratégies de métadonnées

Vous avez également la possibilité de fournir une instance d'une classe qui implémente Aws\Crypto\MetadataStrategyInterface. Cette interface simple gère l'enregistrement et le chargement de Aws\Crypto\MetadataEnvelope qui contient vos supports de chiffrement d'enveloppe. Le kit SDK fournit deux classes qui implémentent ceci : Aws\S3\Crypto\HeadersMetadataStrategy et Aws\S3\Crypto\InstructionFileMetadataStrategy. HeadersMetadataStrategy est utilisé par défaut.

$strategy = new InstructionFileMetadataStrategy(
    $s3Client
);

$encryptionClient->putObject([
    '@MaterialsProvider' => $materialsProvider,
    '@MetadataStrategy' => $strategy,
    '@KmsEncryptionContext' => [],
    '@CipherOptions' => $cipherOptions,
    'Bucket' => $bucket,
    'Key' => $key,
    'Body' => fopen('file-to-encrypt.txt', 'r'),
]);

$result = $encryptionClient->getObject([
    '@KmsAllowDecryptWithAnyCmk' => false,
    '@MaterialsProvider' => $materialsProvider,
    '@SecurityProfile' => 'V2',
    '@MetadataStrategy' => $strategy,
    '@CipherOptions' => $cipherOptions,
    'Bucket' => $bucket,
    'Key' => $key,
]);

Les constantes de nom de classe HeadersMetadataStrategy et InstructionFileMetadataStrategy peuvent également être fournies en appelant ::class.

$result = $encryptionClient->putObject([
    '@MaterialsProvider' => $materialsProvider,
    '@MetadataStrategy' => HeadersMetadataStrategy::class,
    '@CipherOptions' => $cipherOptions,
    'Bucket' => $bucket,
    'Key' => $key,
    'Body' => fopen('file-to-encrypt.txt', 'r'),
]);

Téléchargements en plusieurs parties

Il est également possible d'exécuter un chargement partitionné avec un chiffrement côté client. Aws\S3\Crypto\S3EncryptionMultipartUploaderV2prépare le flux source pour le chiffrement avant le téléchargement. Sa création s'appuie sur une expérience similaire à l'utilisation de Aws\S3\MultipartUploader et de Aws\S3\Crypto\S3EncryptionClientV2. S3EncryptionMultipartUploaderV2 peut traiter la même option '@MetadataStrategy' que S3EncryptionClientV2, ainsi que toutes les configurations '@CipherOptions' disponibles.

$kmsKeyId = 'kms-key-id';
$materialsProvider = new KmsMaterialsProviderV2(
    new KmsClient([
        'region' => 'us-east-1',
        'version' => 'latest',
        'profile' => 'default',
    ]),
    $kmsKeyId
);

$bucket = 'the-bucket-name';
$key = 'the-upload-key';
$cipherOptions = [
    'Cipher' => 'gcm'
    'KeySize' => 256,
    // Additional configuration options
];

$multipartUploader = new S3EncryptionMultipartUploaderV2(
    new S3Client([
        'region' => 'us-east-1',
        'version' => 'latest',
        'profile' => 'default',
    ]),
    fopen('large-file-to-encrypt.txt', 'r'),
    [
        '@MaterialsProvider' => $materialsProvider,
        '@CipherOptions' => $cipherOptions,
        'bucket' => $bucket,
        'key' => $key,
    ]
);
$multipartUploader->upload();