基于KMS服務密鑰加密

創(chuàng)建數(shù)據(jù)表并配置KMS服務密鑰，只要開通KMS即可，無需創(chuàng)建KMS實例。創(chuàng)建數(shù)據(jù)表后，您可以通過DescribeTable接口查詢數(shù)據(jù)表的加密配置。

以下示例用于創(chuàng)建數(shù)據(jù)表時使用基于KMS服務密鑰加密表中數(shù)據(jù)。該表的主鍵為pk（String類型），屬性列值只保留最新版本數(shù)據(jù)以及數(shù)據(jù)永不過期。

private static void createTable(SyncClient client) {
    //設置數(shù)據(jù)表名稱。
    TableMeta tableMeta = new TableMeta("<TABLE_NAME>");
    //如果要配置表加密，需要對建表請求配置加密相關參數(shù)，支持KMS服務密鑰或BYOK自定義密鑰兩種類型。此處為使用KMS服務密鑰。
    SSESpecification sseKms = new SSESpecification(true, SSEKeyType.SSE_KMS_SERVICE);
    //為數(shù)據(jù)表添加主鍵列。
    tableMeta.addPrimaryKeyColumn(new PrimaryKeySchema("pk", PrimaryKeyType.STRING)); 
    //數(shù)據(jù)的過期時間，單位為秒，-1表示永不過期。帶索引表的數(shù)據(jù)表數(shù)據(jù)生命周期必須設置為-1。
    int timeToLive = -1; 
    //保存的最大版本數(shù)，1表示每列上最多保存一個版本即保存最新的版本。帶索引表的數(shù)據(jù)表最大版本數(shù)必須設置為1。
    int maxVersions = 1; 
    TableOptions tableOptions = new TableOptions(timeToLive, maxVersions);
    CreateTableRequest request = new CreateTableRequest(tableMeta, tableOptions);
    //設置預留讀寫吞吐量，容量型實例中的數(shù)據(jù)表只能設置為0，高性能實例中的數(shù)據(jù)表可以設置為非零值。
    request.setReservedThroughput(new ReservedThroughput(new CapacityUnit(0, 0))); 
    request.setSseSpecification(sseKms);
    client.createTable(request);
}

基于BYOK自定義密鑰加密

1. 已通過KMS控制臺創(chuàng)建軟件密鑰。具體操作，請參見軟件密鑰。

2. 創(chuàng)建自定義角色并配置權限。

   1. 創(chuàng)建自定義角色。具體操作，請參見創(chuàng)建可信實體為阿里云賬號的RAM角色。

      配置角色名稱為AliyunOTSAccessingKMS。

   2. 創(chuàng)建自定義權限策略，配置為KMS加解密權限。具體操作，請參見通過腳本編輯模式創(chuàng)建自定義權限策略。

      配置權限策略名稱為otskmspolicytest。權限策略示例如下：

      {
          "Version": "1",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "kms:Decrypt",
                      "kms:GenerateDataKey"
                  ],
                  "Resource": [
                      "*"
                  ]
              }
          ]
      }

   3. 為自定義角色（AliyunOTSAccessingKMS）授予KMS加解密權限策略（otskmspolicytest）。具體操作，請參見為RAM角色授權。

      授權完成后，記錄角色的ARN，即需要扮演角色的ID。

      

   4. 修改自定義角色的信任策略。具體操作，請參見修改RAM角色的信任策略。

      角色的信任策略示例如下：

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Principal": {
              "Service": [
                "ots.aliyuncs.com"
              ]
            }
          }
        ],
        "Version": "1"
      }

3. 創(chuàng)建數(shù)據(jù)表時配置加密參數(shù)。

   創(chuàng)建數(shù)據(jù)表并配置BYOK密鑰。創(chuàng)建數(shù)據(jù)表后，您可以通過DescribeTable接口查詢數(shù)據(jù)表的加密配置。

   以下示例用于創(chuàng)建數(shù)據(jù)表時使用BYOK密鑰加密表中數(shù)據(jù)。該表的主鍵為pk（String類型），屬性列值只保留最新版本數(shù)據(jù)以及數(shù)據(jù)永不過期。

   private static void createTable(SyncClient client) {
       //設置數(shù)據(jù)表名稱。
       TableMeta tableMeta = new TableMeta("<TABLE_NAME>");
       //如果要配置表加密，需要對建表請求配置加密相關參數(shù)，支持KMS服務密鑰或BYOK自定義密鑰兩種類型。
       //設置為步驟1中通過KMS控制臺創(chuàng)建的軟件密鑰ID。
       String keyId="key-hzz65****************";
       //設置為步驟2中記錄的角色ARN信息。
       String roleArn="acs:ram::****************:role/aliyunotsaccessingkms";
       //此處使用BYOK自定義密鑰。
       //keyId為KMS自定義服務密鑰的ID。roleArn為角色ARN，您需要創(chuàng)建一個角色，然后獲取roleArn作為參數(shù)填寫到建表請求中。
       SSESpecification sseByok = new SSESpecification(true, SSEKeyType.SSE_BYOK, keyId, roleArn);
       //為數(shù)據(jù)表添加主鍵列。
       tableMeta.addPrimaryKeyColumn(new PrimaryKeySchema("pk", PrimaryKeyType.STRING)); 
       //數(shù)據(jù)的過期時間，單位為秒，-1表示永不過期。帶索引表的數(shù)據(jù)表數(shù)據(jù)生命周期必須設置為-1。
       int timeToLive = -1; 
       ////保存的最大版本數(shù)，1表示每列上最多保存一個版本即保存最新的版本。帶索引表的數(shù)據(jù)表最大版本數(shù)必須設置為1。
       int maxVersions = 1; 
       TableOptions tableOptions = new TableOptions(timeToLive, maxVersions);
       CreateTableRequest request = new CreateTableRequest(tableMeta, tableOptions);
       request.setReservedThroughput(new ReservedThroughput(new CapacityUnit(0, 0))); //設置預留讀寫吞吐量，容量型實例中的數(shù)據(jù)表只能設置為0，高性能實例中的數(shù)據(jù)表可以設置為非零值。
       request.setSseSpecification(sseByok);
       client.createTable(request);
   }