MaxCompute:ROTATE_WRAPPED_KEYSET

Arka plan bilgileri ve ön koşullar

MaxCompute ile KMS kullanarak anahtar yönetimi yapabilirsiniz. Bir KMS anahtarıyla bir anahtar kümesini şifreleyerek sarılmış bir anahtar kümesi oluşturabilirsiniz. ROTATE_WRAPPED_KEYSET işlevi, NEW_WRAPPED_KEYSET işleviyle oluşturulmuş sarılmış bir anahtar kümesini yeniden şifrelemek için yeni bir KMS anahtarı ve yeni bir anahtar algoritması kullanır. REWRAP_KEYSET işlevine kıyasla ROTATE_WRAPPED_KEYSET işlevi, yeniden şifreleme sırasında yeni bir anahtar algoritması belirlemenize olanak tanır.

ROTATE_WRAPPED_KEYSET işlevini kullanmadan önce aşağıdaki ön koşulların karşılandığından emin olun:

• NEW_WRAPPED_KEYSET işlevi kullanılarak bir sarılmış anahtar kümesi oluşturulmuştur. Daha fazla bilgi için bkz. NEW_WRAPPED_KEYSET.

• Bir KMS anahtarı oluşturulmuş ve kms_cmk_arn parametresinde belirtilen anahtar ARN'si elde edilmiştir. RAM rolüne yeni anahtarı kullanma izni verilmiştir.

Sözdizimi

binary ROTATE_WRAPPED_KEYSET(string <kms_cmk_arn> , string <role-arn>, string <wrapped_keyset>,string <key_type> [,string description,[string <role_chain>]])

Parametreler

• kms_cmk_arn: zorunludur. Sarılmış bir anahtar kümesini yeniden şifrelemek için kullanmak istediğiniz KMS müşteri anahtarı (CMK) ARN'sini belirtir. Parametre değeri 'acs:kms:<RegionId>:<UserId>:key/<CmkId>' biçimindedir. RegionId bölge kimliğini, UserId kullanıcı kimliğini ve CmkId CMK kimliğini belirtir. ARN'yi KMS konsol üzerindeki Key Details sayfasından edinebilirsiniz.

• role_arn: zorunludur. Hem eski hem de yeni KMS anahtarları üzerinde izne sahip olan RAM rolünün ARN'sini belirtir. Parametre değeri 'acs:ram:${<userAID>}:role/${<roleName>}' biçimindedir. userAID kullanıcı kimliğini, roleName ise rol adını belirtir.

• wrapped_keyset: zorunludur. Yeniden şifrelemek istediğiniz sarılmış anahtar kümesini belirtir.

• key_type: zorunludur. Yeni oluşturulan anahtar kümesindeki anahtarın algoritma türünü belirtir. Geçerli değerler: AES-GCM-256, AES-SIV-CMAC-128 ve AES-SIV-CMAC-256.

• description: isteğe bağlıdır. Anahtar için bir açıklama sağlar.

• role_chain: isteğe bağlıdır. Kullanıcı yetkilendirmesi için rol zincirini belirtir. Parametre değeri 'acs:ram:<userAID>:role/<roleName2>,acs:ram:<userBID>:role/<roleName3>},...' biçimindedir. Rol zincirlerini kullanarak Alibaba Cloud hesapları arasında sarılmış anahtar kümelerini çağırabilirsiniz.

Dönüş değeri

BINARY türünde bir sarılmış anahtar kümesi döndürülür. İş ihtiyaçlarınıza göre BINARY türündeki sarılmış anahtar kümesini STRING türüne dönüştürmek için HEX işlevini kullanabilirsiniz. HEX işlevi hakkında daha fazla bilgi için bkz. HEX.

Örnekler

• Sarılı bir anahtar kümesini yeniden şifreleyin.

  @kms_resource_keyId := 'acs:kms:${<RegionId>}:${<UserId>}:key/${<CmkId>}';
  @role_arn := 'acs:ram:${<UserId>}:role/${<roleName>}';
  @origin_key := unhex('<wrapped_keyset>');
  select hex(ROTATE_WRAPPED_KEYSET(@kms_resource_keyId, @role_arn, @origin_key, 'AES-GCM-256', 'hello world'));

• Sarılı bir anahtar kümesini yeniden şifreleyin ve diğer rollerin bu sarılmış anahtar kümesini çağırmasına izin verin.

  @kms_resource_keyId := 'acs:kms:${<RegionId>}:${<UserId>}:key/${<CmkId>}';
  @role_arn := 'acs:ram:${<UserId>}:role/${<roleName>}';
  @origin_key := unhex('<wrapped_keyset>');
  @role_chain := 'acs:ram:${<UserAId>}:role/${<roleName2>},acs:ram:${<UserBId>}:role/${<roleName3>}';
  select hex(ROTATE_WRAPPED_KEYSET(@kms_resource_keyId, @role_arn, @origin_key, 'AES-GCM-256', 'hello world', @role_chain));