Configure encryption rules for a bucket - Object Storage Service

Notes d'utilisation

L'appel de l'opération PutBucketEncryption nécessite l'autorisation oss:PutBucketEncryption. Pour plus d'informations, consultez la rubrique Accorder une stratégie personnalisée.

Remarque

Seuls le propriétaire du compartiment et les utilisateurs RAM autorisés peuvent définir des règles de chiffrement pour un compartiment. Dans le cas contraire, OSS renvoie une erreur HTTP 403. Pour plus d'informations sur le chiffrement des compartiments, consultez la rubrique Chiffrement côté serveur.

Syntaxe de la requête

PUT /?encryption HTTP/1.1
Date: GMT Date
Content-Length: ContentLength
Content-Type: application/xml
Host: BucketName.oss.aliyuncs.com
Authorization: SignatureValue
<?xml version="1.0" encoding="UTF-8"?>
<ServerSideEncryptionRule>
  <ApplyServerSideEncryptionByDefault>
    <SSEAlgorithm>AES256</SSEAlgorithm>
    <KMSMasterKeyID></KMSMasterKeyID>
  </ApplyServerSideEncryptionByDefault>
</ServerSideEncryptionRule>

Éléments de la requête

Paramètre	Type	Obligatoire	Exemple	Description
ServerSideEncryptionRule	Conteneur	Oui	N/A	Conteneur pour les règles de chiffrement côté serveur. Élément enfant : ApplyServerSideEncryptionByDefault
ApplyServerSideEncryptionByDefault	Conteneur	Oui	N/A	Conteneur pour la configuration de chiffrement côté serveur par défaut. Éléments enfants : SSEAlgorithm et KMSMasterKeyID
SSEAlgorithm	Chaîne	Oui	AES256	Spécifie la méthode de chiffrement côté serveur par défaut. Valeurs valides : `KMS`, `AES256`. Remarque Dans les scénarios CloudBox, seul `AES256` est pris en charge. L'utilisation de clés KMS entraîne des frais minimes pour les appels API effectués vers KMS. Pour plus d'informations, consultez la rubrique Tarification KMS. Pour la réplication inter-régions, si le compartiment de destination a activé le chiffrement côté serveur par défaut et que la règle de réplication spécifie un `ReplicaCMKID`, le comportement suivant se produit : OSS chiffre les objets en texte clair du compartiment source à l'aide de la méthode de chiffrement par défaut du compartiment de destination. Les objets du compartiment source chiffrés avec SSE-KMS ou SSE-OSS conservent leurs méthodes de chiffrement d'origine après la réplication vers le compartiment de destination. Pour plus d'informations, consultez la rubrique Utiliser la réplication inter-régions avec le chiffrement côté serveur.
KMSMasterKeyID	Chaîne	Non	9468da86-3509-4f8d-a61e-6eab1eac****	ID de la clé KMS. Cet élément s'applique uniquement lorsque `SSEAlgorithm` est défini sur `KMS`. Si `SSEAlgorithm` n'est pas `KMS`, laissez cet élément vide. Si vous utilisez OSS sur CloudBox, ce paramètre n'est pas pris en charge.

Cette opération utilise également des en-têtes de requête courants tels que Date et Host. Pour plus d'informations, consultez la rubrique En-têtes de requête courants.

En-têtes de réponse

La réponse contient uniquement des en-têtes de réponse courants. Pour plus d'informations, consultez la rubrique En-têtes de réponse courants.

Exemples

Exemples de requêtes

Configurer le chiffrement SSE-KMS

Cet exemple montre comment configurer le chiffrement SSE-KMS pour un compartiment nommé oss-example.

PUT /?encryption HTTP/1.1
Date: Thu, 17 Apr 2025 11:09:13 GMT
Content-Length: ContentLength
Content-Type: application/xml
Host: oss-example.oss-cn-hangzhou.aliyuncs.com
Authorization: OSS4-HMAC-SHA256 Credential=LTAI********************/20250417/cn-hangzhou/oss/aliyun_v4_request,AdditionalHeaders=content-length,Signature=a7c3554c729d71929e0b84489addee6b2e8d5cb48595adfc51868c299c0c218e
<?xml version="1.0" encoding="UTF-8"?>
<ServerSideEncryptionRule>
  <ApplyServerSideEncryptionByDefault>
    <SSEAlgorithm>KMS</SSEAlgorithm>
    <KMSMasterKeyID>9468da86-3509-4f8d-a61e-6eab1eac****</KMSMasterKeyID>
  </ApplyServerSideEncryptionByDefault>
</ServerSideEncryptionRule>

Exemple de réponse

HTTP/1.1 200 OK
x-oss-request-id: 5C1B138A109F4E405B2D****
Date: Thur, 5 Nov 2020 11:09:13 GMT

SDK

Utilisez les SDK suivants pour appeler l'opération PutBucketEncryption :

CLI ossutil

Pour la commande ossutil correspondante, consultez la rubrique put-bucket-encryption.

Codes d'erreur

Code d'erreur

Code d'état HTTP

Description

InvalidEncryptionAlgorithmError

400

OSS renvoie cette erreur si la valeur de SSEAlgorithm n'est pas KMS ou AES256. Le message d'erreur est : The Encryption request you specified is not valid. Supported value: AES256/KMS.

InvalidArgument

400

OSS renvoie cette erreur si SSEAlgorithm est défini sur AES256 mais que KMSMasterKeyID est spécifié. Le message d'erreur est : KMSMasterKeyID is not applicable if the default sse algorithm is not KMS.