MaxCompute:NEW_WRAPPED_KEYSET

Informações gerais e pré-requisitos

O MaxCompute funciona em conjunto com o KMS para gerenciar chaves. É possível gerar um wrapped keyset criptografando um keyset com base em uma chave do KMS. Após gerar o wrapped keyset, registre e armazene manualmente esse keyset para uso posterior na criptografia e descriptografia de dados com chaves do KMS. No processo de criptografia ou descriptografia, o sistema gera todas as chaves automaticamente. Não é possível visualizar a chave original usada na criptografia e descriptografia, o que torna o processo mais seguro. A função NEW_WRAPPED_KEYSET assume o Alibaba Cloud Resource Name (ARN) de uma função que pode usar ARNs de customer master key (CMK) do KMS no MaxCompute e criar um wrapped keyset. O ARN da função é especificado por role_arn. O ARN da CMK do KMS é especificado por kms_cmk_arn. A função também concede a outras contas Alibaba Cloud permissões para usar wrapped keysets com base em role_chain.

Antes de usar a função NEW_WRAPPED_KEYSET, certifique-se de que os seguintes pré-requisitos sejam atendidos:

• O KMS está ativado e uma instância do KMS foi criada.

• Uma chave do KMS foi criada e o ARN da chave especificado por kms_cmk_arn foi obtido.

• Uma função RAM foi criada e o MaxCompute tem autorização para acessar o KMS. O ARN da função RAM foi obtido. O ARN da função é especificado por role_arn.

Para mais informações, consulte a seção "Activate KMS and grant permissions on KMS" em Activate KMS and configure permissions.

Sintaxe

binary NEW_WRAPPED_KEYSET(string <kms_cmk_arn> , string <role-arn>, string <key_type>
[, string <description>, [string <role_chain>]])

Parâmetros

• kms_cmk_arn: obrigatório. Especifica o ARN da CMK do KMS usada para criptografar um keyset. O valor do parâmetro segue o formato 'acs:kms:<RegionId>:<UserId>:key/<CmkId>'. RegionId indica o ID da região, UserId indica o ID do usuário e CmkId indica o ID da CMK. Obtenha o ARN na página Key Details no console do KMS.

• role_arn: obrigatório. Especifica o ARN da função RAM com permissões no KMS. O MaxCompute precisa assumir essa função. O valor do parâmetro segue o formato 'acs:ram:${<userAID>}:role/${<roleName>}'. userAID indica o ID do usuário e roleName indica o nome da função.

• key_type: obrigatório. Especifica o tipo de algoritmo da chave no keyset recém-gerado. Valores válidos: AES-GCM-256, AES-SIV-CMAC-128 e AES-SIV-CMAC-256.

• description: opcional. Fornece uma descrição da chave.

• role_chain: opcional. Especifica a cadeia de funções para autorização de usuários. O valor do parâmetro segue o formato 'acs:ram:<userAID>:role/<roleName2>,acs:ram:<userBID>:role/<roleName3>},...'. Use cadeias de funções para chamar wrapped keysets entre diferentes contas Alibaba Cloud.

Valor de retorno

Retorna um wrapped keyset do tipo BINARY. Use a função HEX para converter o wrapped keyset do tipo BINARY em um keyset do tipo STRING de acordo com suas necessidades de negócio. Para mais informações sobre a função HEX, consulte HEX.

Exemplos

• Crie um wrapped keyset.

  select hex(NEW_WRAPPED_KEYSET('acs:kms:cn-hangzhou:1**************7:key/key-hzz****************1t','acs:ram::1**************7:role/kms', 'AES-GCM-256', 'hello'));

  O seguinte resultado é retornado:

  +-----+
  | _c0 |
  +-----+
  |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|
  +-----+

• Crie um wrapped keyset e permita que outras funções chamem esse wrapped keyset.

  select hex(NEW_WRAPPED_KEYSET('acs:kms:cn-hangzhou:1**************7:key/key-hzz****************1t','acs:ram::1**************7:role/kms', 'AES-GCM-256', 'hello','acs:ram::1**************7:role/kms1'));

  O seguinte resultado é retornado:

  +-----+
  | _c0 |
  +-----+
  |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|
  +-----+

Referências