Configure encryption rules for a bucket - Object Storage Service - Centro de documentación de Alibaba Cloud

Notas de uso

Para invocar la operación PutBucketEncryption se requiere el permiso oss:PutBucketEncryption. Para obtener más información, consulte Grant a custom policy.

Nota

Únicamente el propietario del bucket y los usuarios de RAM autorizados pueden establecer reglas de cifrado para un bucket. De lo contrario, OSS devuelve un error HTTP 403. Para obtener más información sobre el cifrado de buckets, consulte server-side encryption.

Sintaxis de la solicitud

PUT /?encryption HTTP/1.1
Date: GMT Date
Content-Length: ContentLength
Content-Type: application/xml
Host: BucketName.oss.aliyuncs.com
Authorization: SignatureValue
<?xml version="1.0" encoding="UTF-8"?>
<ServerSideEncryptionRule>
  <ApplyServerSideEncryptionByDefault>
    <SSEAlgorithm>AES256</SSEAlgorithm>
    <KMSMasterKeyID></KMSMasterKeyID>
  </ApplyServerSideEncryptionByDefault>
</ServerSideEncryptionRule>

Elementos de la solicitud

Parámetro	Tipo	Obligatorio	Ejemplo	Descripción
ServerSideEncryptionRule	Contenedor	Sí	N/A	Contenedor para las reglas de cifrado del lado del servidor. Elemento secundario: ApplyServerSideEncryptionByDefault
ApplyServerSideEncryptionByDefault	Contenedor	Sí	N/A	Contenedor para la configuración predeterminada de cifrado del lado del servidor. Elementos secundarios: SSEAlgorithm y KMSMasterKeyID
SSEAlgorithm	Cadena	Sí	AES256	Especifica el método de cifrado predeterminado del lado del servidor. Valores válidos: `KMS`, `AES256`. Nota En escenarios de CloudBox, solo se admite `AES256`. El uso de claves de KMS genera pequeños cargos por las llamadas a la API realizadas a KMS. Para obtener más información, consulte KMS pricing. Para cross-region replication, si el bucket de destino tiene habilitado el cifrado predeterminado del lado del servidor y la regla de replicación especifica un `ReplicaCMKID`, ocurre el siguiente comportamiento: OSS cifra los objetos en texto plano del bucket de origen mediante el método de cifrado predeterminado del bucket de destino. Los objetos del bucket de origen cifrados con SSE-KMS o SSE-OSS conservan sus métodos de cifrado originales después de la replicación al bucket de destino. Para obtener más información, consulte Use cross-region replication with server-side encryption.
KMSMasterKeyID	Cadena	No	9468da86-3509-4f8d-a61e-6eab1eac****	El ID de la clave de KMS. Este elemento solo aplica cuando `SSEAlgorithm` se establece en `KMS`. Si `SSEAlgorithm` no es `KMS`, deje este elemento vacío. Si utiliza OSS en CloudBox, este parámetro no es compatible.

Esta operación también utiliza encabezados de solicitud comunes como Date y Host. Para obtener más información, consulte Common request headers.

Encabezados de respuesta

La respuesta contiene únicamente encabezados de respuesta comunes. Para obtener más información, consulte Common response headers.

Ejemplos

Solicitudes de ejemplo

Configurar el cifrado SSE-KMS

Este ejemplo muestra cómo configurar el cifrado SSE-KMS para un bucket llamado oss-example.

PUT /?encryption HTTP/1.1
Date: Thu, 17 Apr 2025 11:09:13 GMT
Content-Length: ContentLength
Content-Type: application/xml
Host: oss-example.oss-cn-hangzhou.aliyuncs.com
Authorization: OSS4-HMAC-SHA256 Credential=LTAI********************/20250417/cn-hangzhou/oss/aliyun_v4_request,AdditionalHeaders=content-length,Signature=a7c3554c729d71929e0b84489addee6b2e8d5cb48595adfc51868c299c0c218e
<?xml version="1.0" encoding="UTF-8"?>
<ServerSideEncryptionRule>
  <ApplyServerSideEncryptionByDefault>
    <SSEAlgorithm>KMS</SSEAlgorithm>
    <KMSMasterKeyID>9468da86-3509-4f8d-a61e-6eab1eac****</KMSMasterKeyID>
  </ApplyServerSideEncryptionByDefault>
</ServerSideEncryptionRule>

Respuesta de ejemplo

HTTP/1.1 200 OK
x-oss-request-id: 5C1B138A109F4E405B2D****
Date: Thur, 5 Nov 2020 11:09:13 GMT

SDKs

Puede utilizar los siguientes SDKs para invocar la operación PutBucketEncryption:

CLI de ossutil

Para el comando correspondiente de ossutil, consulte put-bucket-encryption.

Códigos de error

Código de error	Código de estado HTTP	Descripción
InvalidEncryptionAlgorithmError	400	OSS devuelve este error si el valor de `SSEAlgorithm` no es `KMS` ni `AES256`. El mensaje de error es: `The Encryption request you specified is not valid. Supported value: AES256/KMS`.
InvalidArgument	400	OSS devuelve este error si `SSEAlgorithm` se establece en `AES256` pero se especifica `KMSMasterKeyID`. El mensaje de error es: `KMSMasterKeyID is not applicable if the default sse algorithm is not KMS`.