Java용 DynamoDB Encryption Client 예제 코드 - Amazon DynamoDB Encryption Client

문서의 영문과 번역 사이에 충돌이 있는 경우에는 영문 버전을 따릅니다. 번역 버전은 기계 번역을 사용하여 제공합니다.

Java용 DynamoDB Encryption Client 예제 코드

다음 예제에서는 Java용 DynamoDB Encryption Client를 사용하여 애플리케이션에서 DynamoDB 테이블 항목을 보호하는 방법을 보여줍니다. 더 많은 예를 찾을 수 있으며(그리고 자신의 기여를 할 수 있음) 디렉터리 aws-디나모드b-암호화-자바 GitHub의 리포지토리.

DynamoDBEncryptor 사용

이 예제는 하위 레벨 DynamoDB암호화기 을(를) 통해 직접 KMS 제공업체. Direct KMS Provider는 사용자가 지정한 AWS Key Management Service(AWS KMS) 고객 마스터 키(CMK)로 암호화 자료를 생성 및 보호합니다.

DynamoDBEncryptor과 함께 호환되는 암호화 자료 공급자(CMP)를 사용할 수 있으며, DynamoDBMapperAttributeEncryptor와 함께 Direct KMS Provider를 사용할 수 있습니다.

전체 코드 샘플 참조: AwsKms암호화항목.java

단계 1. Direct KMS Provider 생성

의 인스턴스를 작성합니다. AWS KMS 지정된 지역 의 클라이언트. 그런 다음, 이 클라이언트 인스턴스와 기본 CMK를 사용하여 Direct KMS Provider의 인스턴스를 만듭니다.

이 예제에서는 Amazon 리소스 이름(ARN)을 사용하여 CMK를 식별하지만, 사용자는 모든 유효한 CMK 식별자를 사용할 수 있습니다.

final String cmkArn = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab' final String region = 'us-west-2' final AWSKMS kms = AWSKMSClientBuilder.standard().withRegion(region).build(); final DirectKmsMaterialProvider cmp = new DirectKmsMaterialProvider(kms, cmkArn);
단계 2. 항목을 생성합니다.

이 예제에서는 record 샘플 테이블 항목 을 나타내는 해시 맵.

final String partitionKeyName = "partition_attribute"; final String sortKeyName = "sort_attribute"; final Map<String, AttributeValue> record = new HashMap<>(); record.put(partitionKeyName, new AttributeValue().withS("value1")); record.put(sortKeyName, new AttributeValue().withN("55")); record.put("example", new AttributeValue().withS("data")); record.put("numbers", new AttributeValue().withN("99")); record.put("binary", new AttributeValue().withB(ByteBuffer.wrap(new byte[]{0x00, 0x01, 0x02}))); record.put("test", new AttributeValue().withS("test-value"));
단계 3. DynamoDB암호화기 생성

의 인스턴스를 작성합니다. DynamoDBEncryptor 직접 KMS 공급자와 공유.

final DynamoDBEncryptor encryptor = DynamoDBEncryptor.getInstance(cmp);
단계 4. 생성 DynamoDB 암호화 컨텍스트

DynamoDB 암호화 컨텍스트에는 테이블 구조에 대한 정보와 암호화 및 서명 방법이 들어 있습니다. 사용하시는 경우 DynamoDBMapper, AttributeEncryptor 는 에 대한 암호화 컨텍스트를 생성합니다.

final String tableName = "testTable"; final EncryptionContext encryptionContext = new EncryptionContext.Builder() .withTableName(tableName) .withHashKeyName(partitionKeyName) .withRangeKeyName(sortKeyName) .build();
단계 5. 특성 작업 개체 만들기

속성 작업은 암호화 및 서명되는 항목 속성, 서명되기만 하는 속성, 암호화 및 서명되지 않는 속성을 결정합니다.

Java에서 특성 동작을 지정하려면 특성 이름 및 EncryptionFlags 값 쌍.

예를 들어 다음 Java 코드는 actions 의 모든 특성을 암호화하고 서명하는 해시 맵 record 항목(단, 서명되었지만 암호화되지 않은 파티션 키 및 정렬 키 속성 제외) test 속성, 서명되지 않았거나 암호화되지 않았습니다.

final EnumSet<EncryptionFlags> signOnly = EnumSet.of(EncryptionFlags.SIGN); final EnumSet<EncryptionFlags> encryptAndSign = EnumSet.of(EncryptionFlags.ENCRYPT, EncryptionFlags.SIGN); final Map<String, Set<EncryptionFlags>> actions = new HashMap<>(); for (final String attributeName : record.keySet()) { switch (attributeName) { case partitionKeyName: // fall through to the next case case sortKeyName: // Partition and sort keys must not be encrypted, but should be signed actions.put(attributeName, signOnly); break; case "test": // Neither encrypted nor signed break; default: // Encrypt and sign all other attributes actions.put(attributeName, encryptAndSign); break; } }
단계 6. 항목을 암호화하고 서명합니다.

테이블 항목을 암호화하고 서명하려면 encryptRecord 방법을 사용하여 DynamoDBEncryptor. 테이블 항목 지정(record속성 동작(actions) 및 암호화 컨텍스트(encryptionContext).

final Map<String, AttributeValue> encrypted_record = encryptor.encryptRecord(record, actions, encryptionContext);
단계 7. 품목을 DynamoDB 테이블

마지막으로, 암호화되고 서명된 항목을 DynamoDB 표.

final AmazonDynamoDB ddb = AmazonDynamoDBClientBuilder.defaultClient(); ddb.putItem(tableName, encrypted_record);

DynamoDBMapper 사용

다음 예제에서는 Direct KMS Provider와 함께 DynamoDB 매퍼 헬퍼 클래스를 사용하는 방법을 보여줍니다. Direct KMS Provider는 사용자가 지정한 AWS Key Management Service(AWS KMS) 고객 마스터 키(CMK)로 암호화 자료를 생성 및 보호합니다.

DynamoDBMapper과 함께 호환되는 암호화 자료 공급자(CMP)를 사용할 수 있으며, 하위 수준의 DynamoDBEncryptor와 함께 Direct KMS Provider를 사용할 수 있습니다.

전체 코드 샘플 참조: AwsKms암호화된개체.java

단계 1. Direct KMS Provider 생성

의 인스턴스를 작성합니다. AWS KMS 지정된 지역 의 클라이언트. 그런 다음, 이 클라이언트 인스턴스와 기본 CMK를 사용하여 Direct KMS Provider의 인스턴스를 만듭니다.

이 예제에서는 Amazon 리소스 이름(ARN)을 사용하여 CMK를 식별하지만, 사용자는 모든 유효한 CMK 식별자를 사용할 수 있습니다.

final String cmkArn = 'arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab' final String region = 'us-west-2' final AWSKMS kms = AWSKMSClientBuilder.standard().withRegion(region).build(); final DirectKmsMaterialProvider cmp = new DirectKmsMaterialProvider(kms, cmkArn);
단계 2. DynamoDB 암호화 및 DynamoDB매퍼 생성

이전 단계에서 만든 Direct KMS Provider를 사용하여 DynamoDB Encryptor의 인스턴스를 만듭니다. DynamoDB Mapper를 사용하려면 하위 수준의 DynamoDB Encryptor를 인스턴스화해야 합니다.

그런 다음 DynamoDB 데이터베이스 인스턴스와 매퍼 구성을 만들고 이를 사용하여 DynamoDB Mapper의 인스턴스를 만듭니다.

중요

DynamoDBMapper를 사용하여 서명된(또는 암호화 및 서명된) 항목을 추가하거나 편집하는 경우 다음 예와 같이 모든 속성이 포함된 저장 동작(예: PUT)을 사용하도록 구성합니다. 그렇지 않으면 데이터를 해독하지 못할 수 있습니다.

final DynamoDBEncryptor encryptor = DynamoDBEncryptor.getInstance(cmp) final AmazonDynamoDB ddb = AmazonDynamoDBClientBuilder.standard().withRegion(region).build(); DynamoDBMapperConfig mapperConfig = DynamoDBMapperConfig.builder().withSaveBehavior(SaveBehavior.PUT).build(); DynamoDBMapper mapper = new DynamoDBMapper(ddb, mapperConfig, new AttributeEncryptor(encryptor));
단계 3. 여러분의 DynamoDB 테이블

다음으로 DynamoDB 테이블을 정의합니다. 주석을 사용하여 속성 작업을 지정합니다. 이 예제에서는 DynamoDB 테이블, ExampleTable 및 테이블 항목을 나타내는 DataPoJo 클래스를 만듭니다.

이 샘플 테이블에서는 기본 키 속성이 서명되지만 암호화되지는 않습니다. 이는 @DynamoDBHashKey 주석이 달린 partition_attribute@DynamoDBRangeKey 주석이 달린 sort_attribute에 적용됩니다.

@DynamoDBAttribute 주석이 달린 속성(예: some numbers)은 암호화 및 서명됩니다. DynamoDB Encryption Client에서 정의한 @DoNotEncrypt(기호만 해당) 또는 @DoNotTouch(암호화 또는 서명 안 함) 암호화 주석을 사용하는 속성은 예외입니다. 예를 들어 leave me 속성에 @DoNotTouch 주석이 있으므로 암호화되거나 서명되지 않습니다.

@DynamoDBTable(tableName = "ExampleTable") public static final class DataPoJo { private String partitionAttribute; private int sortAttribute; private String example; private long someNumbers; private byte[] someBinary; private String leaveMe; @DynamoDBHashKey(attributeName = "partition_attribute") public String getPartitionAttribute() { return partitionAttribute; } public void setPartitionAttribute(String partitionAttribute) { this.partitionAttribute = partitionAttribute; } @DynamoDBRangeKey(attributeName = "sort_attribute") public int getSortAttribute() { return sortAttribute; } public void setSortAttribute(int sortAttribute) { this.sortAttribute = sortAttribute; } @DynamoDBAttribute(attributeName = "example") public String getExample() { return example; } public void setExample(String example) { this.example = example; } @DynamoDBAttribute(attributeName = "some numbers") public long getSomeNumbers() { return someNumbers; } public void setSomeNumbers(long someNumbers) { this.someNumbers = someNumbers; } @DynamoDBAttribute(attributeName = "and some binary") public byte[] getSomeBinary() { return someBinary; } public void setSomeBinary(byte[] someBinary) { this.someBinary = someBinary; } @DynamoDBAttribute(attributeName = "leave me") @DoNotTouch public String getLeaveMe() { return leaveMe; } public void setLeaveMe(String leaveMe) { this.leaveMe = leaveMe; } @Override public String toString() { return "DataPoJo [partitionAttribute=" + partitionAttribute + ", sortAttribute=" + sortAttribute + ", example=" + example + ", someNumbers=" + someNumbers + ", someBinary=" + Arrays.toString(someBinary) + ", leaveMe=" + leaveMe + "]"; } }
단계 4. 테이블 항목 암호화 및 저장

이제 테이블 항목을 만들고 DynamoDB Mapper를 사용하여 저장하면 항목이 테이블에 추가되기 전에 자동으로 암호화되고 서명됩니다.

이 예제에서는 record. 테이블에 저장하기 전에 해당 속성은 DataPoJo 클래스. 이 경우 다음을 제외한 모든 속성 PartitionAttribute, SortAttribute, 및 LeaveMe 암호화되고 서명됩니다. PartitionAttributeSortAttributes 은(는) 만 서명되었습니다. LeaveMe 속성은 암호화되거나 서명되지 않습니다.

record 항목을 암호화하고 서명한 다음 ExampleTable에 추가하려면 DynamoDBMapper 클래스의 save 메서드를 호출합니다. DynamoDB Mapper는 PUT 저장 동작을 사용하도록 구성되어 있으므로 항목을 업데이트하는 대신에 동일한 기본 키로 항목을 대체합니다. 이렇게 하면 서명이 일치하고 테이블에서 항목을 가져올 때 해당 항목의 암호를 해독할 수 있습니다.

DataPoJo record = new DataPoJo(); record.setPartitionAttribute("is this"); record.setSortAttribute(55); record.setExample("data"); record.setSomeNumbers(99); record.setSomeBinary(new byte[]{0x00, 0x01, 0x02}); record.setLeaveMe("alone"); mapper.save(record);