Java 用 Azure Storage BLOB 暗号化クライアントライブラリ - バージョン 12.23.1

[アーティクル]
10/25/2023

Azure Blob Storage は、Microsoft のクラウド用オブジェクトストレージソリューションです。 Blob Storage は、大量の非構造化データを格納できるよう最適化されています。非構造化データとは、特定のデータモデルや定義に従っていないデータであり、テキストデータやバイナリデータなどがあります。このパッケージでは、BLOB ストレージのクライアント側暗号化がサポートされています。

ソースコード | API リファレンスドキュメント | REST API のドキュメント | 製品ドキュメント | サンプル

作業の開始

前提条件

パッケージを組み込む

BOM ファイルを含める

GA バージョンのライブラリに依存するには、azure-sdk-bom をプロジェクトに含めてください。次のスニペットでは、{bom_version_to_target} プレースホルダーをバージョン番号に置き換えます。 BOM の詳細については、 AZURE SDK BOM README に関するページを参照してください。

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>com.azure</groupId>
            <artifactId>azure-sdk-bom</artifactId>
            <version>{bom_version_to_target}</version>
            <type>pom</type>
            <scope>import</scope>
        </dependency>
    </dependencies>
</dependencyManagement>

次に、バージョンタグのない依存関係セクションに直接依存関係を含めます。

<dependencies>
  <dependency>
    <groupId>com.azure</groupId>
    <artifactId>azure-storage-blob-cryptography</artifactId>
  </dependency>
</dependencies>

直接依存関係を含める

BOM に存在しない特定のバージョンのライブラリに依存する場合は、次のように直接依存関係をプロジェクトに追加します。

<dependency>
  <groupId>com.azure</groupId>
  <artifactId>azure-storage-blob-cryptography</artifactId>
  <version>12.23.1</version>
</dependency>

ストレージアカウントを作成する

ストレージアカウントを作成するには、 Azure Portal または Azure CLI を使用できます。

az storage account create \
    --resource-group <resource-group-name> \
    --name <storage-account-name> \
    --location <location>

クライアントを認証する

ストレージサービス (Blob、Queue、Message、MessageId、File) と対話するには、Service Client クラスのインスタンスを作成する必要があります。これを可能にするには、ストレージアカウントのアカウント SAS (共有アクセス署名) 文字列が必要です。詳細については、SAS トークンに関するページを参照してください

資格情報の取得

SAS トークン

a. 次の Azure CLI スニペットを使用して、ストレージアカウントから SAS トークンを取得します。

az storage blob generate-sas \
    --account-name {Storage Account name} \
    --container-name {container name} \
    --name {blob name} \
    --permissions {permissions to grant} \
    --expiry {datetime to expire the SAS token} \
    --services {storage services the SAS allows} \
    --resource-types {resource types the SAS allows}

例:

CONNECTION_STRING=<connection-string>

az storage blob generate-sas \
    --account-name MyStorageAccount \
    --container-name MyContainer \
    --name MyBlob \
    --permissions racdw \
    --expiry 2020-06-15

b. または、Azure Portal からアカウント SAS トークンを取得します。

ストレージアカウントに移動する
左側のメニューから選択 Shared access signature します
(セットアップ後) をクリックしますGenerate SAS and connection string

共有キーの資格情報

a. [アカウント名] と [アカウントキー] を使用します。アカウント名はストレージアカウント名です。

ストレージアカウントに移動する
左側のメニューから選択 Access keys します
[copy the contents of the field]\(フィールドの内容をコピーする\) の下key1/key2Key

または

b. 接続文字列を使用します。

ストレージアカウントに移動する
左側のメニューから選択 Access keys します
[copy the contents of the field]\(フィールドの内容をコピーする\) の下key1/key2Connection string

主要な概念

Blob Storage は、次の用途に適しています。

画像またはドキュメントをブラウザーに直接配信する。
分散アクセス用にファイルを格納する。
ビデオおよびオーディオをストリーミング配信する。
ログファイルに書き込む。
バックアップと復元、ディザスターリカバリー、アーカイブのためのデータを格納する。
オンプレミスサービスまたは Azure ホステッドサービスで分析するデータを格納する。

例

注: の EncryptedBlobClient 使用は同等 BlobClientのと同じです。唯一の違いはクライアントの構築です。の一般的なユースケースについては、を参照 azure-storage-blob してください。 BlobClient

次のセクションでは、次のような最も一般的な Azure Storage BLOB 暗号化作成タスクの一部をカバーするいくつかのコードスニペットを示します。

からを作成するEncryptedBlobClientBlobClient
を作成する EncryptedBlobClient
を使用する LocalKeyEncryptionKey
を使用する KeyVaultKey

からを作成する`EncryptedBlobClientBlobClient`

を使用してを EncryptedBlobClient 作成します BlobClient。 BlobClient 構築については README で説明されています azure-storage-blob 。

EncryptedBlobClient client = new EncryptedBlobClientBuilder()
    .key(key, keyWrapAlgorithm)
    .keyResolver(keyResolver)
    .blobClient(blobClient)
    .buildEncryptedBlobClient();

`EncryptedBlobClient` を作成します

接続文字列をBlobServiceClient使用してを作成します。

EncryptedBlobClient client = new EncryptedBlobClientBuilder()
    .key(key, keyWrapAlgorithm)
    .keyResolver(keyResolver)
    .connectionString(connectionString)
    .containerName(containerName)
    .blobName(blobName)
    .buildEncryptedBlobClient();

ローカルを使用する `KeyEncryptionKey`

JsonWebKey localKey = JsonWebKey.fromAes(new SecretKeySpec(keyBytes, secretKeyAlgorithm),
    Arrays.asList(KeyOperation.WRAP_KEY, KeyOperation.UNWRAP_KEY))
    .setId("my-id");
AsyncKeyEncryptionKey akek = new KeyEncryptionKeyClientBuilder()
    .buildAsyncKeyEncryptionKey(localKey).block();

EncryptedBlobClient client = new EncryptedBlobClientBuilder()
    .key(akek, keyWrapAlgorithm)
    .connectionString(connectionString)
    .containerName(containerName)
    .blobName(blobName)
    .buildEncryptedBlobClient();

`KeyVaultKey` を使用する

KeyClient keyClient = new KeyClientBuilder()
    .vaultUrl(keyVaultUrl)
    .credential(tokenCredential)
    .buildClient();
KeyVaultKey rsaKey = keyClient.createRsaKey(new CreateRsaKeyOptions(keyName)
    .setExpiresOn(OffsetDateTime.now().plusYears(1))
    .setKeySize(2048));
AsyncKeyEncryptionKey akek = new KeyEncryptionKeyClientBuilder()
    .credential(tokenCredential)
    .buildAsyncKeyEncryptionKey(rsaKey.getId())
    .block();

EncryptedBlobClient client = new EncryptedBlobClientBuilder()
    .key(akek, keyWrapAlgorithm)
    .connectionString(connectionString)
    .containerName(containerName)
    .blobName(blobName)
    .buildEncryptedBlobClient();

トラブルシューティング

この Java クライアントライブラリを使用して BLOB を操作する場合、サービスによって返されるエラーは、 REST API 要求に対して返されるのと同じ HTTP 状態コードに対応します。たとえば、ストレージアカウントに存在しないコンテナーまたは BLOB を取得しようとすると、 404 を示す Not Foundエラーが返されます。

既定の HTTP クライアント

すべてのクライアントライブラリでは、Netty HTTP クライアントが既定で使用されます。前述の依存関係を追加すると、Netty HTTP クライアントを使用するようにクライアントライブラリが自動的に構成されます。 HTTP クライアントの構成と変更については、HTTP クライアントの Wiki で詳しく説明されています。

既定の SSL ライブラリ

すべてのクライアントライブラリは、Tomcat ネイティブの Boring SSL ライブラリを既定で使用して、SSL 操作にネイティブレベルのパフォーマンスを実現しています。 Boring SSL ライブラリは、Linux、macOS、Windows のネイティブライブラリを含んだ uber jar であり、JDK 内の既定の SSL 実装よりも優れたパフォーマンスを備えています。依存関係のサイズを縮小する方法など、詳細については、Wiki の「パフォーマンスチューニング」セクションを参照してください。

次の手順

共同作成

このプロジェクトでは、共同作成と提案を歓迎しています。ほとんどの共同作成では、共同作成者使用許諾契約書 (CLA) にご同意いただき、ご自身の共同作成内容を使用する権利を Microsoft に供与する権利をお持ちであり、かつ実際に供与することを宣言していただく必要があります。詳細については、 https://cla.microsoft.com を参照してください。

pull request を送信すると、CLA を提供して PR (ラベル、コメントなど) を適宜装飾する必要があるかどうかを CLA ボットが自動的に決定します。ボットによって提供される手順にそのまま従ってください。この操作は、Microsoft の CLA を使用するすべてのリポジトリについて、1 回だけ行う必要があります。

このプロジェクトでは、Microsoft オープンソースの倫理規定を採用しています。詳しくは、「Code of Conduct FAQ (倫理規定についてよくある質問)」を参照するか、opencode@microsoft.com 宛てに質問またはコメントをお送りください。

インプレッション数

次の方法で共有

Java 用 Azure Storage BLOB 暗号化クライアントライブラリ - バージョン 12.23.1

作業の開始

前提条件

パッケージを組み込む

BOM ファイルを含める

直接依存関係を含める

ストレージアカウントを作成する

クライアントを認証する

資格情報の取得

共有キーの資格情報

主要な概念

例

からを作成する`EncryptedBlobClientBlobClient`

`EncryptedBlobClient` を作成します

ローカルを使用する `KeyEncryptionKey`

`KeyVaultKey` を使用する

トラブルシューティング

既定の HTTP クライアント

既定の SSL ライブラリ

次の手順

共同作成

フィードバック

その他のリソース

次の方法で共有

Java 用 Azure Storage BLOB 暗号化クライアント ライブラリ - バージョン 12.23.1

作業の開始

前提条件

パッケージを組み込む

BOM ファイルを含める

直接依存関係を含める

ストレージ アカウントを作成する

クライアントを認証する

資格情報の取得

共有キーの資格情報

主要な概念

例

から を作成するEncryptedBlobClientBlobClient

EncryptedBlobClient を作成します

ローカルを使用する KeyEncryptionKey

KeyVaultKey を使用する

トラブルシューティング

既定の HTTP クライアント

既定の SSL ライブラリ

次の手順

共同作成

フィードバック

その他のリソース

Java 用 Azure Storage BLOB 暗号化クライアントライブラリ - バージョン 12.23.1

ストレージアカウントを作成する

からを作成する`EncryptedBlobClientBlobClient`

`EncryptedBlobClient` を作成します

ローカルを使用する `KeyEncryptionKey`

`KeyVaultKey` を使用する