View a markdown version of this page

Migration du client de chiffrement S3 (V1 vers V2) - AWS SDK pour .NET (V4)
Présentation de la migrationMettre à jour les clients existants en V1-transitional clients pour lire les nouveaux formatsMigrer V1-transitional des clients vers des clients V2 pour écrire de nouveaux formatsMettre à jour les clients V2 pour ne plus lire les formats V1

La version 4 (V4) du AWS SDK pour .NET est sortie !

Pour plus d'informations sur les modifications majeures et la migration de vos applications, consultez la rubrique relative à la migration.

Orange button with text "Click here for details".

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Migration du client de chiffrement S3 (V1 vers V2)

Note

Si vous utilisez la version 2 et que vous souhaitez migrer vers la version 4, consultezMigration du client de chiffrement S3 (V2 vers V4).

Cette rubrique explique comment migrer vos applications de la version 1 (V1) du client de chiffrement Amazon Simple Storage Service (S3) vers la version 2 (V2), et comment garantir la disponibilité des applications tout au long du processus de migration.

Les objets chiffrés avec le client V2 ne peuvent pas être déchiffrés avec le client V1. Afin de faciliter la migration vers le nouveau client sans avoir à rechiffrer tous les objets en même temps, un « V1-transitional » client a été fourni. Ce client peut déchiffrer à la fois le V1 et V2-encrypted les objets, mais chiffre les objets uniquement au V1-compatible format. Le client V2 peut déchiffrer à la fois la version V1 et V2-encrypted les objets (lorsqu'elle est activée pour les objets V1), mais chiffre les objets uniquement au V2-compatible format.

Présentation de la migration

Cette migration s'effectue en trois phases. Ces phases sont présentées ici et décrites en détail ultérieurement. Chaque phase doit être terminée pour tous les clients qui utilisent des objets partagés avant le début de la phase suivante.

  1. Mettez à jour les clients existants en V1-transitional clients pour lire les nouveaux formats. Tout d'abord, mettez à jour vos applications pour qu'elles dépendent du V1-transitional client plutôt que du client V1. Le V1-transitional client permet à votre code existant de déchiffrer les objets écrits par les nouveaux clients V2 et les objets écrits au V1-compatible format.

    Note

    Le V1-transitional client est fourni à des fins de migration uniquement. Passez à la mise à niveau vers le client V2 après avoir migré vers le V1-transitional client.

  2. Migrez V1-transitional les clients vers les clients V2 pour écrire de nouveaux formats. Remplacez ensuite tous les V1-transitional clients de vos applications par des clients V2 et définissez le profil de sécurité surV2AndLegacy. La définition de ce profil de sécurité sur les clients V2 permet à ces clients de déchiffrer les objets dont le V1-compatible format a été chiffré.

  3. Mettez à jour les clients V2 pour qu'ils ne lisent plus les formats V1. Enfin, une fois que tous les clients ont été migrés vers la version V2 et que tous les objets ont été chiffrés ou rechiffrés au V2-compatible format, définissez le profil de sécurité V2 sur au V2 lieu de. V2AndLegacy Cela empêche le déchiffrement des objets V1-compatible formatés.

Mettre à jour les clients existants en V1-transitional clients pour lire les nouveaux formats

Le client de chiffrement V2 utilise des algorithmes de chiffrement que les anciennes versions du client ne prennent pas en charge. La première étape de la migration consiste à mettre à jour vos clients de déchiffrement V1 afin qu'ils puissent lire le nouveau format.

Le V1-transitional client permet à vos applications de déchiffrer à la fois le V1 et les V2-encrypted objets. Ce client fait partie du Amazon.Extensions.S3.Encryption NuGet package. Exécutez les étapes suivantes sur chacune de vos applications pour utiliser le V1-transitional client.

  1. Prenez une nouvelle dépendance vis-à-vis du Amazon.Extensions.S3.Encryptionpackage. Si votre projet dépend directement des AWSSDK.KeyManagementServicepackages AWSSDK.S3or, vous devez soit mettre à jour ces dépendances, soit les supprimer afin que leurs versions mises à jour soient intégrées à ce nouveau package.

  2. Modifiez l'usinginstruction appropriée de Amazon.S3.Encryption àAmazon.Extensions.S3.Encryption, comme suit : 

    // using Amazon.S3.Encryption;
  using Amazon.Extensions.S3.Encryption;

  3. Reconstruisez et redéployez votre application.

Le V1-transitional client utilise entièrement API-compatible le client V1, aucune autre modification de code n'est donc requise.

Migrer V1-transitional des clients vers des clients V2 pour écrire de nouveaux formats

Le client V2 fait partie du Amazon.Extensions.S3.Encryption NuGet package. Il permet à vos applications de déchiffrer à la fois le V1 et V2-encrypted les objets (si cela est configuré pour le faire), mais chiffre les objets uniquement au V2-compatible format.

Après avoir mis à jour vos clients existants pour lire le nouveau format de cryptage, vous pouvez procéder à la mise à jour en toute sécurité de vos applications vers les clients de chiffrement et de déchiffrement V2. Pour utiliser le client V2, effectuez les étapes suivantes sur chacune de vos applications :

  1. Remplacez EncryptionMaterials par EncryptionMaterialsV2

    1. Lorsque vous utilisez KMS :

      1. Fournissez un ID de clé KMS.

      2. Déclarez la méthode de cryptage que vous utilisez, c'est-à-direKmsType.KmsContext.

      3. Fournissez un contexte de chiffrement à KMS à associer à cette clé de données. Vous pouvez envoyer un dictionnaire vide (le contexte de chiffrement Amazon sera toujours intégré), mais il est recommandé de fournir un contexte supplémentaire.

    2. Lorsque vous utilisez des méthodes d'encapsulation de clé fournies par l'utilisateur (chiffrement symétrique ou asymétrique) :

      1. Fournissez une AES ou une RSA instance contenant le matériel de chiffrement.

      2. Déclarez l'algorithme de chiffrement à utiliser, c'est-à-dire SymmetricAlgorithmType.AesGcm ouAsymmetricAlgorithmType.RsaOaepSha1.

  2. Passez AmazonS3CryptoConfiguration à AmazonS3CryptoConfigurationV2 avec la SecurityProfile propriété définie surSecurityProfile.V2AndLegacy.

  3. Remplacez AmazonS3EncryptionClient par AmazonS3EncryptionClientV2 Ce client prend les objets récemment convertis AmazonS3CryptoConfigurationV2 et EncryptionMaterialsV2 les objets des étapes précédentes.

Exemple : KMS vers KMS+Context

Pre-migration

using System.Security.Cryptography;
using Amazon.S3.Encryption;

var encryptionMaterial = new EncryptionMaterials("1234abcd-12ab-34cd-56ef-1234567890ab");
var configuration = new AmazonS3CryptoConfiguration()
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClient(configuration, encryptionMaterial);

Post-migration

using System.Security.Cryptography;
using Amazon.Extensions.S3.Encryption;
using Amazon.Extensions.S3.Encryption.Primitives;

var encryptionContext = new Dictionary<string, string>();
var encryptionMaterial = new EncryptionMaterialsV2("1234abcd-12ab-34cd-56ef-1234567890ab", KmsType.KmsContext, encryptionContext);
var configuration = new AmazonS3CryptoConfigurationV2(SecurityProfile.V2AndLegacy)
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClientV2(configuration, encryptionMaterial);

Exemple : algorithme symétrique (AES-CBC pour envelopper les AES-GCM touches)

StorageMode peut avoir la valeur ObjectMetadata ou InstructionFile.

Pre-migration

using System.Security.Cryptography;
using Amazon.S3.Encryption;

var symmetricAlgorithm = Aes.Create();
var encryptionMaterial = new EncryptionMaterials(symmetricAlgorithm);
var configuration = new AmazonS3CryptoConfiguration()
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClient(configuration, encryptionMaterial);

Post-migration

using System.Security.Cryptography;
using Amazon.Extensions.S3.Encryption;
using Amazon.Extensions.S3.Encryption.Primitives;

var symmetricAlgorithm = Aes.Create();
var encryptionMaterial = new EncryptionMaterialsV2(symmetricAlgorithm, SymmetricAlgorithmType.AesGcm);
var configuration = new AmazonS3CryptoConfigurationV2(SecurityProfile.V2AndLegacy)
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClientV2(configuration, encryptionMaterial);
Note

Lorsque vous déchiffrez avec AES-GCM, lisez l'objet entier jusqu'à la fin avant de commencer à utiliser les données déchiffrées. Cela permet de vérifier que l'objet n'a pas été modifié depuis qu'il a été chiffré.

Exemple : algorithme asymétrique (RSA to RSA-OAEP-SHA1 Key Wrap)

StorageMode peut avoir la valeur ObjectMetadata ou InstructionFile.

Pre-migration

using System.Security.Cryptography;
using Amazon.S3.Encryption;

var asymmetricAlgorithm = RSA.Create();
var encryptionMaterial = new EncryptionMaterials(asymmetricAlgorithm);
var configuration = new AmazonS3CryptoConfiguration()
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClient(configuration, encryptionMaterial);

Post-migration

using System.Security.Cryptography;
using Amazon.Extensions.S3.Encryption;
using Amazon.Extensions.S3.Encryption.Primitives;

var asymmetricAlgorithm = RSA.Create();
var encryptionMaterial = new EncryptionMaterialsV2(asymmetricAlgorithm, AsymmetricAlgorithmType.RsaOaepSha1);
var configuration = new AmazonS3CryptoConfigurationV2(SecurityProfile.V2AndLegacy)
{
    StorageMode = CryptoStorageMode.ObjectMetadata
};
var encryptionClient = new AmazonS3EncryptionClientV2(configuration, encryptionMaterial);

Mettre à jour les clients V2 pour ne plus lire les formats V1

À terme, tous les objets auront été chiffrés ou rechiffrés à l'aide d'un client V2. Une fois cette conversion terminée, vous pouvez désactiver la compatibilité V1 dans les clients V2 en définissant la SecurityProfile propriété surSecurityProfile.V2, comme indiqué dans l'extrait suivant.

//var configuration = new AmazonS3CryptoConfigurationV2(SecurityProfile.V2AndLegacy);
var configuration = new AmazonS3CryptoConfigurationV2(SecurityProfile.V2);