对象存储 服务端加密功能介绍

一、服务端加密功能支持情况

普通桶和元数据加速桶对服务端加密的支持情况如下表所示：

注意：除上述表格所列出的区别外，元数据加速桶还有一个额外的使用限制：仅支持 AES-256 加密算法，不支持 SM4 加密算法。

二、服务端加密功能使用方法

元数据加速桶的服务端加密配置方式取决于访问接口类型：

·S3 接口访问：配置加密方式的方法跟普通桶一致，请参见 服务端加密专用头部 设置请求头参数。

·HDFS 接口访问：需根据使用的客户端（ OFS 客户端或 COSN 客户端）的不同，选择不同的配置方法。关于两种客户端的详情，请参见 客户端介绍 。

下文列出的配置项，都需要在 Hadoop 的 core-site.xml 文件中添加或者修改，具体操作路径因环境而异：

·腾讯云的 EMR 产品：通过 EMR 控制台 操作，编辑 core-site.xml 配置文件的方法请参见 配置更新 。

·自建的大数据环境：core-site.xml 文件一般位于 $HADOOP_HOME/etc/hadoop 目录下，具体取决于大数据组件的安装方式和发行版本。

三、OFS 客户端

使用 OFS 客户端时，各种加密方式的配置项介绍如下：

四、SSE-C 加密

五、SSE-COS 加密

六、SSE-KMS 加密

七、COSN 客户端

使用 COSN 客户端时，各种加密方式的配置项介绍如下：

八、SSE-C 加密

九、SSE-COS 加密

十、SSE-KMS 加密

十一、存储桶默认加密

元数据加速桶支持通过 控制台 或 REST API 配置存储桶级别的默认加密方式。配置后，上传至该存储桶的对象将自动按默认加密配置进行加密。

注意：存储桶默认加密配置有以下限制：

十二、控制台配置

你可以通过对象存储控制台为元数据加速桶配置存储桶默认加密，具体操作步骤如下：

1. 登录 对象存储控制台 。

2. 在左侧导航栏中，单击存储桶列表，进入存储桶列表页面。

3. 单击需要配置加密的元数据加速桶，进入存储桶详情页面。

4. 在左侧导航栏中，选择安全管理 > 服务端加密，进入服务端加密配置页面。此时服务端加密默认为关闭状态。

5. 单击右上角的编辑按钮，开启服务端加密开关，选择加密方式为 SSE-COS，然后单击保存。

6. 保存成功后，页面将展示当前的加密配置状态。

十三、REST API 配置

配置存储桶加密涉及以下 REST API 接口，使用方法与普通桶一致：

·PUT Bucket encryption：配置存储桶默认加密方式，请求体中的 SSEAlgorithm 字段仅支持 AES-256。

·GET Bucket encryption：查询存储桶当前的默认加密配置。

·DELETE Bucket encryption：删除存储桶的默认加密配置。

注意：说明：