Produtos do Storage

Entre em contato com a equipe de vendas Começar a usar gratuitamente

Como usar chaves de criptografia fornecidas pelo cliente

Nesta página, você verá como usar a própria chave de criptografia, chamada de chave de criptografia fornecida pelo cliente, com o Cloud Storage. Para saber mais sobre este recurso, incluindo os países em que ele está disponível, consulte Chaves de criptografia fornecidas pelo cliente. Para ver outras opções de criptografia no Cloud Storage, consulte Opções de criptografia de dados.

Como gerar sua própria chave de criptografia

Há muitas maneiras de gerar uma chave de criptografia AES-256 codificada em base64. Veja alguns exemplos:

C++

Para saber mais, consulte a documentação de referência da API Cloud Storage C++ .

Ver no GitHub Feedback

// Create a pseudo-random number generator (PRNG), this is included for
// demonstration purposes only. You should consult your security team about
// best practices to initialize PRNG. In particular, you should verify that
// the C++ library and operating system provide enough entropy to meet the
// security policies in your organization.

// Use the Mersenne-Twister Engine in this example:
//   https://en.cppreference.com/w/cpp/numeric/random/mersenne_twister_engine
// Any C++ PRNG can be used below, the choice is arbitrary.
using GeneratorType = std::mt19937_64;

// Create the default random device to fetch entropy.
std::random_device rd;

// Compute how much entropy we need to initialize the GeneratorType:
constexpr auto kRequiredEntropyWords =
    GeneratorType::state_size *
    (GeneratorType::word_size / std::numeric_limits<unsigned int>::digits);

// Capture the entropy bits into a vector.
std::vector<unsigned long> entropy(kRequiredEntropyWords);
std::generate(entropy.begin(), entropy.end(), [&rd] { return rd(); });

// Create the PRNG with the fetched entropy.
std::seed_seq seed(entropy.begin(), entropy.end());

// initialized with enough entropy such that the encryption keys are not
// predictable. Note that the default constructor for all the generators in
// the C++ standard library produce predictable keys.
std::mt19937_64 gen(seed);

namespace gcs = google::cloud::storage;
gcs::EncryptionKeyData data = gcs::CreateKeyFromGenerator(gen);

std::cout << "Base64 encoded key = " << data.key << "\n"
          << "Base64 encoded SHA256 of key = " << data.sha256 << "\n";

C#

Para saber mais, consulte a documentação de referência da API Cloud Storage C# .

Ver no GitHub Feedback

void GenerateEncryptionKey()
{
    Console.Write(EncryptionKey.Generate().Base64Key);
}

Node.js

Para saber mais, consulte a documentação de referência da API Cloud Storage Node.js .

Ver no GitHub Feedback

const crypto = require('crypto');

/**
 * Generates a 256 bit (32 byte) AES encryption key and prints the base64
 * representation.
 *
 * This is included for demonstration purposes. You should generate your own
 * key. Please remember that encryption keys should be handled with a
 * comprehensive security policy.
 *
 * @returns {string} The encryption key.
 */
function generateEncryptionKey() {
  const buffer = crypto.randomBytes(32);
  const encodedKey = buffer.toString('base64');

  console.log(`Base 64 encoded encryption key: ${encodedKey}`);

  return encodedKey;
}

PHP

Para saber mais, consulte a documentação de referência da API Cloud Storage PHP .

Ver no GitHub Feedback


/**
 * Generate a base64 encoded encryption key for Google Cloud Storage.
 *
 * @return void
 */
function generate_encryption_key()
{
    $key = random_bytes(32);
    $encodedKey = base64_encode($key);
    printf('Your encryption key: %s' . PHP_EOL, $encodedKey);
}

Python

Para saber mais, consulte a documentação de referência da API Cloud Storage Python .

Ver no GitHub Feedback

def generate_encryption_key():
    """Generates a 256 bit (32 byte) AES encryption key and prints the
    base64 representation.

    This is included for demonstration purposes. You should generate your own
    key. Please remember that encryption keys should be handled with a
    comprehensive security policy.
    """
    key = os.urandom(32)
    encoded_key = base64.b64encode(key).decode('utf-8')
    print('Base 64 encoded encryption key: {}'.format(encoded_key))

Ruby

Para saber mais, consulte a documentação de referência da API Cloud Storage Ruby .

Ver no GitHub Feedback

require "base64"
require "openssl"

encryption_key  = OpenSSL::Cipher.new("aes-256-cfb").encrypt.random_key
encoded_enc_key = Base64.encode64 encryption_key

puts "Sample encryption key: #{encoded_enc_key}"

Como fazer o upload da sua chave de criptografia

Para usar chaves de criptografia fornecidas pelo cliente para carregar um objeto:

gsutil

Adicione a seguinte opção à seção [GSUtil] do seu arquivo de configuração do boto:
```
encryption_key = [YOUR_ENCRYPTION_KEY]
```
onde [YOUR_ENCRYPTION_KEY] é a chave de criptografia AES-256 usada para criptografar seu objeto.

Observação: Também é possível incluir essas informações em cada comando gsutil usando a -o sinalização de nível superior: -o "GSUtil:encryption_key=[YOUR_ENCRYPTION_KEY]".
Use o comando gsutil cp:
```
gsutil cp [LOCAL_OBJECT_LOCATION] gs://[DESTINATION_BUCKET_NAME]/
```
em que:
- [LOCAL_OBJECT_LOCATION] é o caminho para objeto o que você está fazendo o upload. Por exemplo, Desktop/dogs.png.
- [DESTINATION_BUCKET_NAME] é o nome do intervalo para o qual você está fazendo o upload do objeto. Por exemplo, my-bucket.

Amostras de código

C++

Para saber mais, consulte a documentação de referência da API Cloud Storage C++ .

Ver no GitHub Feedback

namespace gcs = google::cloud::storage;
using ::google::cloud::StatusOr;
[](gcs::Client client, std::string bucket_name, std::string object_name,
   std::string base64_aes256_key) {
  StatusOr<gcs::ObjectMetadata> object_metadata = client.InsertObject(
      bucket_name, object_name, "top secret",
      gcs::EncryptionKey::FromBase64Key(base64_aes256_key));

  if (!object_metadata) {
    throw std::runtime_error(object_metadata.status().message());
  }

  std::cout << "The object " << object_metadata->name()
            << " was created in bucket " << object_metadata->bucket()
            << "\nFull metadata: " << *object_metadata << "\n";
}

C#

Para saber mais, consulte a documentação de referência da API Cloud Storage C# .

Ver no GitHub Feedback

private void UploadEncryptedFile(string key, string bucketName,
    string localPath, string objectName = null)
{
    var storage = StorageClient.Create();
    using (var f = File.OpenRead(localPath))
    {
        objectName = objectName ?? Path.GetFileName(localPath);
        storage.UploadObject(bucketName, objectName, null, f,
            new UploadObjectOptions()
            {
                EncryptionKey = EncryptionKey.Create(
                Convert.FromBase64String(key))
            });
        Console.WriteLine($"Uploaded {objectName}.");
    }
}

Go

Para saber mais, consulte a documentação de referência da API Cloud Storage Go .

Ver no GitHub Feedback

obj := client.Bucket(bucket).Object(object)
// Encrypt the object's contents.
wc := obj.Key(secretKey).NewWriter(ctx)
if _, err := wc.Write([]byte("top secret")); err != nil {
	return err
}
if err := wc.Close(); err != nil {
	return err
}

Java

Para saber mais, consulte a documentação de referência da API Cloud Storage Java .

Ver no GitHub Feedback

byte[] data = "Hello, World!".getBytes(UTF_8);

BlobId blobId = BlobId.of(bucketName, blobName);
BlobInfo blobInfo = BlobInfo.newBuilder(blobId).setContentType("text/plain").build();
Blob blob = storage.create(blobInfo, data, BlobTargetOption.encryptionKey(encryptionKey));

Node.js

Para saber mais, consulte a documentação de referência da API Cloud Storage Node.js .

Ver no GitHub Feedback

// Imports the Google Cloud client library
const {Storage} = require('@google-cloud/storage');

// Creates a client
const storage = new Storage();

/**
 * TODO(developer): Uncomment the following lines before running the sample.
 */
// const bucketName = 'Name of a bucket, e.g. my-bucket';
// const srcFilename = 'Local file to upload, e.g. ./local/path/to/file.txt';
// const destFilename = 'Remote destination for file, e.g. file_encrypted.txt';

// See the "Generating your own encryption key" section above.
// const key = 'A base64 encoded customer-supplied key';

const options = {
  // The path to which the file should be uploaded, e.g. "file_encrypted.txt"
  destination: destFilename,
  // Encrypt the file with a customer-supplied key.
  // See the "Generating your own encryption key" section above.
  encryptionKey: Buffer.from(key, 'base64'),
};

// Encrypts and uploads a local file, e.g. "./local/path/to/file.txt".
// The file will only be retrievable using the key used to upload it.
await storage.bucket(bucketName).upload(srcFilename, options);

console.log(
  `File ${srcFilename} uploaded to gs://${bucketName}/${destFilename}.`
);

PHP

Para saber mais, consulte a documentação de referência da API Cloud Storage PHP .

Ver no GitHub Feedback

use Google\Cloud\Storage\StorageClient;

/**
 * Upload an encrypted file.
 *
 * @param string $bucketName the name of your Google Cloud bucket.
 * @param string $objectName the name of your Google Cloud object.
 * @param resource $source the path to the file to upload.
 * @param string $base64EncryptionKey the base64 encoded encryption key.
 *
 * @return void
 */
function upload_encrypted_object($bucketName, $objectName, $source, $base64EncryptionKey)
{
    $storage = new StorageClient();
    $file = fopen($source, 'r');
    $bucket = $storage->bucket($bucketName);
    $object = $bucket->upload($file, [
        'name' => $objectName,
        'encryptionKey' => $base64EncryptionKey,
    ]);
    printf('Uploaded encrypted %s to gs://%s/%s' . PHP_EOL,
        basename($source), $bucketName, $objectName);
}

Python

Para saber mais, consulte a documentação de referência da API Cloud Storage Python .

Ver no GitHub Feedback

def upload_encrypted_blob(bucket_name, source_file_name,
                          destination_blob_name, base64_encryption_key):
    """Uploads a file to a Google Cloud Storage bucket using a custom
    encryption key.

    The file will be encrypted by Google Cloud Storage and only
    retrievable using the provided encryption key.
    """
    storage_client = storage.Client()
    bucket = storage_client.get_bucket(bucket_name)
    # Encryption key must be an AES256 key represented as a bytestring with
    # 32 bytes. Since it's passed in as a base64 encoded string, it needs
    # to be decoded.
    encryption_key = base64.b64decode(base64_encryption_key)
    blob = Blob(destination_blob_name, bucket, encryption_key=encryption_key)

    blob.upload_from_filename(source_file_name)

    print('File {} uploaded to {}.'.format(
        source_file_name,
        destination_blob_name))

Ruby

Para saber mais, consulte a documentação de referência da API Cloud Storage Ruby .

Ver no GitHub Feedback

# project_id        = "Your Google Cloud project ID"
# bucket_name       = "Your Google Cloud Storage bucket name"
# local_file_path   = "Path to local file to upload"
# storage_file_path = "Path to store the file in Google Cloud Storage"
# encryption_key    = "AES-256 encryption key"

require "google/cloud/storage"

storage = Google::Cloud::Storage.new project_id: project_id

bucket = storage.bucket bucket_name

file = bucket.create_file local_file_path, storage_file_path,
                          encryption_key: encryption_key

puts "Uploaded #{file.name} with encryption key"

APIs REST

API JSON

Receba um token de acesso de autorização do OAuth 2.0 Playground. Configure o Playground para usar suas credenciais do OAuth.
Use cURL para chamar a API JSON com uma solicitação de POST Objeto:
```
curl -X POST --data-binary @[OBJECT] \
  -H "Authorization: Bearer [OAUTH2_TOKEN]" \
  -H "Content-Type: [OBJECT_CONTENT_TYPE]" \
  -H "x-goog-encryption-algorithm: AES256" \
  -H "x-goog-encryption-key: [YOUR_ENCRYPTION_KEY]" \
  -H "x-goog-encryption-key-sha256: [HASH_OF_YOUR_KEY]" \
  "https://www.googleapis.com/upload/storage/v1/b/[BUCKET_NAME]/o?uploadType=media&name=[OBJECT_NAME]"
```
em que:
- [OBJECT] é o caminho para objeto o que você está fazendo o upload. Por exemplo, Desktop/dogs.png.
- [OAUTH2_TOKEN] é o token de acesso gerado na Etapa 1.
- [OBJECT_CONTENT_TYPE] é o tipo de conteúdo do objeto. Por exemplo, image/png.
- [YOUR_ENCRYPTION_KEY] é a chave AES-256 usada para criptografar o objeto enviado.
- [HASH_OF_YOUR_KEY] é o hash SHA-256 para sua chave AES-256.
- [BUCKET_NAME] é o nome do intervalo para o qual você está fazendo o upload do objeto. Por exemplo, my-bucket.
- [OBJECT_NAME] é o nome do objeto que você está enviando. Por exemplo, pets/dogs.png.

Para mais informações sobre cabeçalhos específicos para criptografia, consulte Cabeçalhos de solicitação de criptografia.

API XML

Receba um token de acesso de autorização do OAuth 2.0 Playground. Configure o Playground para usar suas credenciais do OAuth.
Use cURL para chamar a API XML com uma solicitação de PUT OBJETO:
```
curl -X -i PUT --data-binary @[OBJECT] \
  -H "Authorization: Bearer [OAUTH2_TOKEN]" \
  -H "Content-Type: [OBJECT_CONTENT_TYPE]" \
  -H "x-goog-encryption-algorithm: AES256" \
  -H "x-goog-encryption-key: [YOUR_ENCRYPTION_KEY]" \
  -H "x-goog-encryption-key-sha256: [HASH_OF_YOUR_KEY]" \
  "https://storage.googleapis.com/[BUCKET_NAME]/[OBJECT_NAME]"
```
em que:
- [OBJECT] é o caminho para objeto o que você está fazendo o upload. Por exemplo, Desktop/dogs.png.
- [OAUTH2_TOKEN] é o token de acesso gerado na Etapa 1.
- [OBJECT_CONTENT_TYPE] é o tipo de conteúdo do objeto. Por exemplo, image/png.
- [YOUR_ENCRYPTION_KEY] é a chave AES-256 usada para criptografar o objeto enviado.
- [HASH_OF_YOUR_KEY] é o hash SHA-256 para sua chave AES-256.
- [BUCKET_NAME] é o nome do intervalo para o qual você está fazendo o upload do objeto. Por exemplo, my-bucket.
- [OBJECT_NAME] é o nome do objeto que você está enviando. Por exemplo, pets/dogs.png.

Para mais informações sobre cabeçalhos específicos para criptografia, consulte Cabeçalhos de solicitação de criptografia.

Como fazer o download de objetos criptografados

Para fazer o download de um objeto armazenado no Cloud Storage e criptografado com uma chave de criptografia fornecida pelo cliente:

gsutil

Adicione a seguinte opção à seção [GSUtil] do seu arquivo de configuração do boto:
```
decryption_key1 = [YOUR_ENCRYPTION_KEY]
```
em que [YOUR_ENCRYPTION_KEY] é a chave usada para criptografar o objeto quando ele foi enviado.

Observação: Também é possível incluir essas informações em cada comando gsutil usando a -o sinalização de nível superior: -o "GSUtil:encryption_key=[YOUR_ENCRYPTION_KEY]".
Use o comando gsutil cp:
```
gsutil cp gs://[BUCKET_NAME]/[OBJECT_NAME] [OBJECT_DESTINATION]
```
em que:
- [BUCKET_NAME] é o nome do intervalo que contém o objeto que você está baixando. Por exemplo, my-bucket.
- [OBJECT_NAME] é o nome do objeto que você está baixando. Por exemplo, pets/dog.png.
- [OBJECT_DESTINATION] é o local onde você quer salvar seu objeto. Por exemplo, Desktop.

Amostras de código

C++

Para saber mais, consulte a documentação de referência da API Cloud Storage C++ .

Ver no GitHub Feedback

namespace gcs = google::cloud::storage;
[](gcs::Client client, std::string bucket_name, std::string object_name,
   std::string base64_aes256_key) {
  gcs::ObjectReadStream stream =
      client.ReadObject(bucket_name, object_name,
                        gcs::EncryptionKey::FromBase64Key(base64_aes256_key));

  std::string data(std::istreambuf_iterator<char>{stream}, {});
  std::cout << "The object contents are: " << data << "\n";
}

C#

Para saber mais, consulte a documentação de referência da API Cloud Storage C# .

Ver no GitHub Feedback

private void DownloadEncryptedObject(string key, string bucketName,
    string objectName, string localPath = null)
{
    var storage = StorageClient.Create();
    localPath = localPath ?? Path.GetFileName(objectName);
    using (var outputFile = File.OpenWrite(localPath))
    {
        storage.DownloadObject(bucketName, objectName, outputFile,
            new DownloadObjectOptions()
            {
                EncryptionKey = EncryptionKey.Create(
                    Convert.FromBase64String(key))
            });
    }
    Console.WriteLine($"downloaded {objectName} to {localPath}.");
}

Go

Para saber mais, consulte a documentação de referência da API Cloud Storage Go .

Ver no GitHub Feedback

obj := client.Bucket(bucket).Object(object)
rc, err := obj.Key(secretKey).NewReader(ctx)
if err != nil {
	return nil, err
}
defer rc.Close()

data, err := ioutil.ReadAll(rc)
if err != nil {
	return nil, err
}

Java

Para saber mais, consulte a documentação de referência da API Cloud Storage Java .

Ver no GitHub Feedback

byte[] content =
    storage.readAllBytes(bucketName, blobName, BlobSourceOption.decryptionKey(decryptionKey));

Node.js

Para saber mais, consulte a documentação de referência da API Cloud Storage Node.js .

Ver no GitHub Feedback

// Imports the Google Cloud client library
const {Storage} = require('@google-cloud/storage');

// Creates a client
const storage = new Storage();

/**
 * TODO(developer): Uncomment the following lines before running the sample.
 */
// const bucketName = 'Name of a bucket, e.g. my-bucket';
// const srcFilename = 'File to download, e.g. file_encrypted.txt';
// const destFilename = 'Local destination for file, e.g. ./file.txt';

// See the "Generating your own encryption key" section above.
// const key = 'A base64 encoded customer-supplied key';

const options = {
  // The path to which the file should be downloaded, e.g. "./file.txt"
  destination: destFilename,
};

// Descrypts and downloads the file. This can only be done with the key used
// to encrypt and upload the file.
await storage
  .bucket(bucketName)
  .file(srcFilename)
  .setEncryptionKey(Buffer.from(key, 'base64'))
  .download(options);

console.log(`File ${srcFilename} downloaded to ${destFilename}.`);

PHP

Para saber mais, consulte a documentação de referência da API Cloud Storage PHP .

Ver no GitHub Feedback

use Google\Cloud\Storage\StorageClient;

/**
 * Download an encrypted file
 *
 * @param string $bucketName the name of your Google Cloud bucket.
 * @param string $objectName the name of your Google Cloud object.
 * @param string $destination the local destination to save the encrypted file.
 * @param string $base64EncryptionKey the base64 encoded encryption key.
 *
 * @return void
 */
function download_encrypted_object($bucketName, $objectName, $destination, $base64EncryptionKey)
{
    $storage = new StorageClient();
    $bucket = $storage->bucket($bucketName);
    $object = $bucket->object($objectName);
    $object->downloadToFile($destination, [
        'encryptionKey' => $base64EncryptionKey,
    ]);
    printf('Encrypted object gs://%s/%s downloaded to %s' . PHP_EOL,
        $bucketName, $objectName, basename($destination));
}

Python

Para saber mais, consulte a documentação de referência da API Cloud Storage Python .

Ver no GitHub Feedback

def download_encrypted_blob(bucket_name, source_blob_name,
                            destination_file_name, base64_encryption_key):
    """Downloads a previously-encrypted blob from Google Cloud Storage.

    The encryption key provided must be the same key provided when uploading
    the blob.
    """
    storage_client = storage.Client()
    bucket = storage_client.get_bucket(bucket_name)
    # Encryption key must be an AES256 key represented as a bytestring with
    # 32 bytes. Since it's passed in as a base64 encoded string, it needs
    # to be decoded.
    encryption_key = base64.b64decode(base64_encryption_key)
    blob = Blob(source_blob_name, bucket, encryption_key=encryption_key)

    blob.download_to_filename(destination_file_name)

    print('Blob {} downloaded to {}.'.format(
        source_blob_name,
        destination_file_name))

Ruby

Para saber mais, consulte a documentação de referência da API Cloud Storage Ruby .

Ver no GitHub Feedback

# project_id     = "Your Google Cloud project ID"
# bucket_name    = "Your Google Cloud Storage bucket name"
# file_name      = "Name of file in Google Cloud Storage to download locally"
# local_path     = "Destination path for downloaded file"
# encryption_key = "AES-256 encryption key"

require "google/cloud/storage"

storage = Google::Cloud::Storage.new project_id: project_id

bucket = storage.bucket bucket_name

file = bucket.file storage_file_path, encryption_key: encryption_key
file.download local_file_path, encryption_key: encryption_key

puts "Downloaded encrypted #{file.name}"

APIs REST

API JSON

Receba um token de acesso de autorização do OAuth 2.0 Playground. Configure o Playground para usar suas credenciais do OAuth.
Use cURL para chamar a API JSON com uma solicitação de GET Objeto:
```
curl -X GET \
  -H "Authorization: Bearer [OAUTH2_TOKEN]" \
  -H "x-goog-encryption-algorithm: AES256" \
  -H "x-goog-encryption-key: [YOUR_ENCRYPTION_KEY]" \
  -H "x-goog-encryption-key-sha256: [HASH_OF_YOUR_KEY]" \
  -o "[SAVE_TO_LOCATION]" \
  "https://www.googleapis.com/storage/v1/b/[BUCKET_NAME]/o/[OBJECT_NAME]?alt=media"
```
em que:
- [OAUTH2_TOKEN] é o token de acesso gerado na Etapa 1.
- [YOUR_ENCRYPTION_KEY] é a chave AES-256 que você usou para criptografar o objeto.
- [HASH_OF_YOUR_KEY] é o hash SHA-256 para sua chave AES-256.
- [SAVE_TO_LOCATION] é o local onde você quer salvar seu objeto. Por exemplo, Desktop/dog.png.
- [BUCKET_NAME] é o nome do intervalo do qual você está baixando o objeto. Por exemplo, my-bucket.
- [OBJECT_NAME] é o nome do objeto que você está baixando. Por exemplo, pets/dogs.png.

Para mais informações sobre cabeçalhos específicos para criptografia, consulte Cabeçalhos de solicitação de criptografia.

API XML

Receba um token de acesso de autorização do OAuth 2.0 Playground. Configure o Playground para usar suas credenciais do OAuth.
Use cURL para chamar a API XML com uma solicitação de GET OBJETO:
```
curl -X GET \
  -H "Authorization: Bearer [OAUTH2_TOKEN]" \
  -H "x-goog-encryption-algorithm: AES256" \
  -H "x-goog-encryption-key: [YOUR_ENCRYPTION_KEY]" \
  -H "x-goog-encryption-key-sha256: [HASH_OF_YOUR_KEY]" \
  -o "[SAVE_TO_LOCATION]" \
  "https://storage.googleapis.com/[BUCKET_NAME]/[OBJECT_NAME]"
```
em que:
- [OAUTH2_TOKEN] é o token de acesso gerado na Etapa 1.
- [YOUR_ENCRYPTION_KEY] é a chave AES-256 que você usou para criptografar o objeto.
- [HASH_OF_YOUR_KEY] é o hash SHA-256 para sua chave AES-256.
- [SAVE_TO_LOCATION] é o local onde você quer salvar seu objeto. Por exemplo, Desktop/dog.png.
- [BUCKET_NAME] é o nome do intervalo do qual você está baixando o objeto. Por exemplo, my-bucket.
- [OBJECT_NAME] é o nome do objeto que você está baixando. Por exemplo, pets/dogs.png.

Para mais informações sobre cabeçalhos específicos para criptografia, consulte Cabeçalhos de solicitação de criptografia.

Como fazer a rotação de suas chaves de criptografia

Para fazer a rotação de uma chave de criptografia fornecida pelo cliente:

gsutil

Adicione as seguintes opções à seção [GSUtil] seção do seu arquivo de configuração do boto:
```
encryption_key = [NEW_ENCRYPTION_KEY]
decryption_key1 = [OLD_ENCRYPTION_KEY]
```
em que:
- [NEW_ENCRYPTION_KEY] é a nova chave de criptografia para seu objeto.
- [OLD_ENCRYPTION_KEY] é a chave de criptografia atual para seu objeto.
Use o comando gsutil rewrite com a sinalização -k:
```
gsutil rewrite -k gs://[BUCKET_NAME]/[OBJECT_NAME]
```
em que:
- [BUCKET_NAME] é o nome do intervalo que contém o objeto pertinente. Por exemplo, my-bucket.
- [OBJECT_NAME] é o nome do objeto pertinente. Por exemplo, pets/dog.png.

Amostras de código

C++

Para saber mais, consulte a documentação de referência da API Cloud Storage C++ .

Ver no GitHub Feedback

namespace gcs = google::cloud::storage;
using ::google::cloud::StatusOr;
[](gcs::Client client, std::string bucket_name, std::string object_name,
   std::string old_key_base64, std::string new_key_base64) {
  StatusOr<gcs::ObjectMetadata> object_metadata =
      client.RewriteObjectBlocking(
          bucket_name, object_name, bucket_name, object_name,
          gcs::SourceEncryptionKey::FromBase64Key(old_key_base64),
          gcs::EncryptionKey::FromBase64Key(new_key_base64));

  if (!object_metadata) {
    throw std::runtime_error(object_metadata.status().message());
  }

  std::cout << "Rotated key on object " << object_metadata->name()
            << " in bucket " << object_metadata->bucket()
            << "\nFull Metadata: " << *object_metadata << "\n";
}

Go

Para saber mais, consulte a documentação de referência da API Cloud Storage Go .

Ver no GitHub Feedback

client, err := storage.NewClient(ctx)
if err != nil {
	return err
}
obj := client.Bucket(bucket).Object(object)
// obj is encrypted with key, we are encrypting it with the newKey.
_, err = obj.Key(newKey).CopierFrom(obj.Key(key)).Run(ctx)
if err != nil {
	return err
}

Java

Para saber mais, consulte a documentação de referência da API Cloud Storage Java .

Ver no GitHub Feedback

BlobId blobId = BlobId.of(bucketName, blobName);
CopyRequest request =
    CopyRequest.newBuilder()
        .setSource(blobId)
        .setSourceOptions(BlobSourceOption.decryptionKey(oldEncryptionKey))
        .setTarget(blobId, BlobTargetOption.encryptionKey(newEncryptionKey))
        .build();
Blob blob = storage.copy(request).getResult();

PHP

Para saber mais, consulte a documentação de referência da API Cloud Storage PHP .

Ver no GitHub Feedback

use Google\Cloud\Storage\StorageClient;

/**
 * Change the encryption key used to store an existing object.
 *
 * @param string $bucketName the name of your Google Cloud bucket.
 * @param string $objectName the name of your Google Cloud object.
 * @param string $base64EncryptionKey the base64 encoded encryption key.
 * @param string $newBase64EncryptionKey the new base64 encoded encryption key.
 *
 * @return void
 */
function rotate_encryption_key(
    $bucketName,
    $objectName,
    $base64EncryptionKey,
    $newBase64EncryptionKey
) {
    $storage = new StorageClient();
    $object = $storage->bucket($bucketName)->object($objectName);

    $rewrittenObject = $object->rewrite($bucketName, [
        'encryptionKey' => $base64EncryptionKey,
        'destinationEncryptionKey' => $newBase64EncryptionKey,
    ]);

    printf('Rotated encryption key for object gs://%s/%s' . PHP_EOL,
        $bucketName, $objectName);
}

Python

Para saber mais, consulte a documentação de referência da API Cloud Storage Python .

Ver no GitHub Feedback

def rotate_encryption_key(bucket_name, blob_name, base64_encryption_key,
                          base64_new_encryption_key):
    """Performs a key rotation by re-writing an encrypted blob with a new
    encryption key."""
    storage_client = storage.Client()
    bucket = storage_client.get_bucket(bucket_name)
    current_encryption_key = base64.b64decode(base64_encryption_key)
    new_encryption_key = base64.b64decode(base64_new_encryption_key)

    # Both source_blob and destination_blob refer to the same storage object,
    # but destination_blob has the new encryption key.
    source_blob = Blob(
        blob_name, bucket, encryption_key=current_encryption_key)
    destination_blob = Blob(
        blob_name, bucket, encryption_key=new_encryption_key)

    token = None

    while True:
        token, bytes_rewritten, total_bytes = destination_blob.rewrite(
            source_blob, token=token)
        if token is None:
            break

    print('Key rotation complete for Blob {}'.format(blob_name))

Ruby

Para saber mais, consulte a documentação de referência da API Cloud Storage Ruby .

Ver no GitHub Feedback

# project_id             = "Your Google Cloud project ID"
# bucket_name            = "Your Google Cloud Storage bucket name"
# file_name              = "Name of a file in the Cloud Storage bucket"
# current_encryption_key = "Encryption key currently being used"
# new_encryption_key     = "New encryption key to use"

require "google/cloud/storage"

storage = Google::Cloud::Storage.new project_id: project_id
bucket  = storage.bucket bucket_name
file    = bucket.file file_name, encryption_key: current_encryption_key

file.rotate encryption_key:     current_encryption_key,
            new_encryption_key: new_encryption_key

puts "The encryption key for #{file.name} in #{bucket.name} was rotated."

APIs REST

API JSON

Receba um token de acesso de autorização do OAuth 2.0 Playground. Configure o Playground para usar suas credenciais do OAuth.
Use cURL para chamar a API JSON com uma solicitação de POST Objeto:
```
curl -X POST --data-binary @[OBJECT] \
  -H "Authorization: Bearer [OAUTH2_TOKEN]" \
  -H "Content-Type: [OBJECT_CONTENT_TYPE]" \
  -H "x-goog-encryption-algorithm: AES256" \
  -H "x-goog-encryption-key: [NEW_ENCRYPTION_KEY]" \
  -H "x-goog-encryption-key-sha256: [HASH_OF_NEW_KEY]" \
  -H "x-goog-copy-source-encryption-algorithm: AES256" \
  -H "x-goog-copy-source-encryption-key: [OLD_ENCRYPTION_KEY]" \
  -H "x-goog-copy-source-encryption-key-sha256: [HASH_OF_OLD_KEY]" \
  "https://www.googleapis.com/storage/v1/b/[BUCKET_NAME]/o/[OBJECT_NAME]/rewriteTo/b/[BUCKET_NAME]/o/[OBJECT_NAME]"
```
em que:
- [OBJECT] é o caminho para objeto o que você está fazendo o upload. Por exemplo, Desktop/dogs.png.
- [OAUTH2_TOKEN] é o token de acesso gerado na Etapa 1.
- [OBJECT_CONTENT_TYPE] é o tipo de conteúdo do objeto. Por exemplo, image/png.
- [NEW_ENCRYPTION_KEY] é a nova chave AES-256 usada para criptografar seu objeto.
- [HASH_OF_NEW_KEY] é o hash SHA-256 para sua nova chave AES-256.
- [OLD_ENCRYPTION_KEY] é a chave AES-256 atual usada para criptografar seu objeto.
- [HASH_OF_OLD_KEY] é o hash atual de SHA-256 para sua chave AES-256.
- [BUCKET_NAME] é o nome do intervalo que contém o objeto pertinente. Por exemplo, my-bucket.
- [OBJECT_NAME] é o nome do objeto cujas chaves você está girando. Por exemplo, Desktop/dogs.png.

Para mais informações sobre cabeçalhos específicos para criptografia, consulte Cabeçalhos de solicitação de criptografia.

API XML

Receba um token de acesso de autorização do OAuth 2.0 Playground. Configure o Playground para usar suas credenciais do OAuth.
Remova o objeto original do Cloud Storage. Para fazer isso, use cURL para chamar a API XML com uma solicitação deDELETEOBJETO:
```
curl -X DELETE \
  -H "Authorization: Bearer [OAUTH2_TOKEN]" \
  "https://storage.googleapis.com/[BUCKET_NAME]/[OBJECT_NAME]"
```
em que:
- [OAUTH2_TOKEN] é o token de acesso gerado na Etapa 1.
- [BUCKET_NAME] é o nome do intervalo a partir do qual você está removendo o objeto. Por exemplo, my-bucket.
- [OBJECT_NAME] é o nome do objeto que você está removendo. Por exemplo, Desktop/dogs.png.
Use cURL para chamar a API XML com uma solicitação de PUT Objeto:
```
curl -X -i PUT --data-binary @[OBJECT] \
  -H "Authorization: Bearer [OAUTH2_TOKEN]" \
  -H "Content-Type: [OBJECT_CONTENT_TYPE]" \
  -H "x-goog-encryption-algorithm: AES256" \
  -H "x-goog-encryption-key: [NEW_ENCRYPTION_KEY]" \
  -H "x-goog-encryption-key-sha256: [HASH_OF_NEW_KEY]" \
  "https://storage.googleapis.com/[BUCKET_NAME]/[OBJECT_NAME]"
```
em que:
- [OBJECT] é o caminho para objeto o que você está fazendo o upload. Por exemplo, Desktop/dogs.png.
- [OAUTH2_TOKEN] é o token de acesso gerado na Etapa 1.
- [OBJECT_CONTENT_TYPE] é o tipo de conteúdo do objeto. Por exemplo, image/png.
- [NEW_ENCRYPTION_KEY] é a nova chave AES-256 usada para criptografar seu objeto.
- [HASH_OF_NEW_KEY] é a chave SHA-256 para sua nova chave AES-256.
- [BUCKET_NAME] é o nome do intervalo para o qual você está fazendo o upload do objeto. Por exemplo, my-bucket.
- [OBJECT_NAME] é o nome do objeto que você está enviando. Por exemplo, Desktop/dogs.png.

Para mais informações sobre cabeçalhos específicos para criptografia, consulte Cabeçalhos de solicitação de criptografia.

Esta página foi útil? Conte sua opinião sobre:

Except as otherwise noted, the content of this page is licensed under the Creative Commons Attribution 4.0 License, and code samples are licensed under the Apache 2.0 License. For details, see our Site Policies. Java is a registered trademark of Oracle and/or its affiliates.

Última atualização: Novembro 21, 2019.

Enviar comentários sobre…

Esta página

Comentários sobre a documentação

Cloud Storage

Comentários sobre o produto

Precisa de ajuda? Acesse nossa página de suporte.