Acquisizione di dati crittografati

Puoi acquisire i file di dati crittografati in Adobe Experience Platform utilizzando origini batch di archiviazione cloud. Con l’acquisizione di dati crittografati, puoi sfruttare meccanismi di crittografia asimmetrica per trasferire in modo sicuro i dati batch in Experience Platform. Attualmente, i meccanismi di crittografia asimmetrica supportati sono PGP e GPG. Se si utilizza Amazon S3 come origine, è inoltre possibile combinare la crittografia PGP con Amazon S3 la crittografia lato server (SSE). Per ulteriori informazioni, vedere crittografia lato server per Amazon S3.

Il processo di acquisizione dei dati crittografati è il seguente:

In questo documento vengono descritti i passaggi necessari per generare una coppia di chiavi di crittografia per crittografare i dati e acquisirli in Experience Platform utilizzando origini di archiviazione cloud.

Introduzione get-started

Questo tutorial richiede una buona conoscenza dei seguenti componenti di Adobe Experience Platform:

Utilizzo delle API di Experience Platform

Per informazioni su come effettuare correttamente chiamate alle API di Experience Platform, consulta la guida introduttiva alle API di Experience Platform.

Estensioni di file supportate per i file crittografati supported-file-extensions-for-encrypted-files

L’elenco delle estensioni di file supportate per i file crittografati è:

Crittografia lato server per Amazon S3 server-side-encryption-for-amazon-s3

Se si utilizza Amazon S3 come origine dell’archiviazione cloud, è possibile combinare la crittografia dei file PGP con Amazon S3 la crittografia lato server (SSE). La crittografia dei file SSE e PGP protegge elementi diversi e funziona in modo indipendente l’uno dall’altro.

È possibile utilizzare SSE da solo, la crittografia dei file PGP da sola o entrambe insieme. Quando si utilizzano entrambi, Experience Platform decrittografa prima il livello SSE, quindi decrittografa il contenuto del file crittografato con PGP.

Verifica il supporto SSE del bucket check-your-buckets-sse-support

Controlla le impostazioni di crittografia del bucket nella console Amazon S3 in Proprietà > Crittografia predefinita. La tabella seguente descrive le modalità SSE supportate da Experience Platform.

Aggiungere un criterio chiave per SSE-KMS con una chiave gestita dal cliente add-a-key-policy-for-sse-kms

Se il bucket utilizza SSE-KMS con una chiave gestita dal cliente, devi consentire al ruolo del connettore Experience Platform di decrittografare la chiave.

La procedura seguente illustra come aggiungere le autorizzazioni necessarie:

Questa istruzione concede lo stesso ruolo connettore che è già considerato attendibile per l’accesso Amazon S3. Non è necessario creare un nuovo ruolo.

Crea coppia di chiavi di crittografia create-encryption-key-pair

Il primo passaggio per acquisire dati crittografati in Experience Platform consiste nel creare la coppia di chiavi di crittografia effettuando una richiesta POST all’endpoint /encryption/keys dell’API Connectors.

Formato API

POST /data/foundation/connectors/encryption/keys

Richiesta

curl -X POST \
  'https://platform.adobe.io/data/foundation/connectors/encryption/keys' \
  -H 'Authorization: Bearer {{ACCESS_TOKEN}}' \
  -H 'x-api-key: {{API_KEY}}' \
  -H 'x-gw-ims-org-id: {{ORG_ID}}' \
  -H 'x-sandbox-name: {{SANDBOX_NAME}}' \
  -H 'Content-Type: application/json'
  -d '{
      "name": "acme-encryption",
      "encryptionAlgorithm": "PGP",
      "params": {
          "passPhrase": "{{PASSPHRASE}}"
      }
  }'

Risposta

{
    ​"publicKey": "{PUBLIC_KEY}",
    ​"publicKeyId": "{PUBLIC_KEY_ID}",
    ​"expiryTime": "1684843168"
}

Recuperare le chiavi di crittografia retrieve-encryption-keys

Per recuperare tutte le chiavi di crittografia dell’organizzazione, eseguire una richiesta GET all’endpoint /encryption/keys=nt.

Formato API

GET /data/foundation/connectors/encryption/keys

Richiesta

curl -X GET \
  'https://platform.adobe.io/data/foundation/connectors/encryption/keys' \
  -H 'Authorization: Bearer {{ACCESS_TOKEN}}' \
  -H 'x-api-key: {{API_KEY}}' \
  -H 'x-gw-ims-org-id: {{ORG_ID}}' \

Risposta

{
    "encryptionAlgorithm": "{ENCRYPTION_ALGORITHM}",
    "name": "{NAME}",
    "publicKeyId": "{PUBLIC_KEY_ID}",
    "publicKey": "{PUBLIC_KEY}",
    "keyType": "{KEY_TYPE}",
    "expiryTime": "{EXPIRY_TIME}"
}

Recupera chiavi di crittografia per ID retrieve-encryption-keys-by-id

Per recuperare un set specifico di chiavi di crittografia, effettuare una richiesta GET all’endpoint /encryption/keys e fornire l’ID della chiave pubblica come parametro di intestazione.

Formato API

GET /data/foundation/connectors/encryption/keys/{PUBLIC_KEY_ID}

Richiesta

curl -X GET \
  'https://platform.adobe.io/data/foundation/connectors/encryption/keys/{publicKeyId}' \
  -H 'Authorization: Bearer {{ACCESS_TOKEN}}' \
  -H 'x-api-key: {{API_KEY}}' \
  -H 'x-gw-ims-org-id: {{ORG_ID}}' \

Risposta

{
    "encryptionAlgorithm": "{ENCRYPTION_ALGORITHM}",
    "name": "{NAME}",
    "publicKeyId": "{PUBLIC_KEY_ID}",
    "publicKey": "{PUBLIC_KEY}",
    "keyType": "{KEY_TYPE}",
    "expiryTime": "{EXPIRY_TIME}"
}

Creare una coppia di chiavi gestite dal cliente create-customer-managed-key-pair

Facoltativamente, puoi creare una coppia di chiavi per la verifica della firma per firmare e acquisire i dati crittografati.

Durante questa fase, devi generare la tua combinazione di chiave privata e chiave pubblica e quindi utilizzare la tua chiave privata per firmare i dati crittografati. Successivamente, devi codificare la chiave pubblica in Base64 e condividerla con Experience Platform affinché Experience Platform possa verificare la firma.

Condividere la chiave pubblica in Experience Platform

Per condividere la chiave pubblica, effettuare una richiesta POST all’endpoint /customer-keys fornendo al contempo l’algoritmo di crittografia e la chiave pubblica con codifica Base64.

Formato API

POST /data/foundation/connectors/encryption/customer-keys

Richiesta

curl -X POST \
  'https://platform.adobe.io/data/foundation/connectors/encryption/customer-keys' \
  -H 'Authorization: Bearer {{ACCESS_TOKEN}}' \
  -H 'x-api-key: {{API_KEY}}' \
  -H 'x-gw-ims-org-id: {{ORG_ID}}' \
  -H 'x-sandbox-name: {{SANDBOX_NAME}}' \
  -H 'Content-Type: application/json'
  -d '{
      "name": "acme-sign-verification-keys"
      "encryptionAlgorithm": {{ENCRYPTION_ALGORITHM}},
      "publicKey": {{BASE_64_ENCODED_PUBLIC_KEY}},
      "params": {
          "passPhrase": {{PASS_PHRASE}}
      }
    }'

Risposta

{
  "publicKeyId": "e31ae895-7896-469a-8e06-eb9207ddf1c2"
}

Recupera coppia di chiavi gestite dal cliente

Per recuperare le chiavi gestite dal cliente, effettuare una richiesta GET all’endpoint /customer-keys.

Formato API

GET /data/foundation/connectors/encryption/customer-keys

Richiesta

curl -X GET \
  'https://platform.adobe.io/data/foundation/connectors/encryption/customer-keys' \
  -H 'Authorization: Bearer {{ACCESS_TOKEN}}' \
  -H 'x-api-key: {{API_KEY}}' \
  -H 'x-gw-ims-org-id: {{ORG_ID}}' \

Risposta

[
    {
        "encryptionAlgorithm": "{ENCRYPTION_ALGORITHM}",
        "name": "{NAME}",
        "publicKeyId": "{PUBLIC_KEY_ID}",
        "publicKey": "{PUBLIC_KEY}",
        "keyType": "{KEY_TYPE}",
    }
]

Connetti l’origine dell’archiviazione cloud ad Experience Platform utilizzando l’API Flow Service

Dopo aver recuperato la coppia di chiavi di crittografia, ora puoi procedere con la creazione di una connessione di origine per l’origine dell’archiviazione cloud e trasferire i dati crittografati ad Experience Platform.

Innanzitutto, devi creare una connessione di base per autenticare l’origine su Experience Platform. Per creare una connessione di base e autenticare l’origine, selezionare dall’elenco seguente l’origine che si desidera utilizzare:

Dopo aver creato una connessione di base, è necessario seguire i passaggi descritti nell’esercitazione per creare una connessione di origine per un’origine di archiviazione cloud per creare una connessione di origine, una connessione di destinazione e una mappatura.

Creare un flusso di dati per i dati crittografati create-a-dataflow-for-encrypted-data

Per creare un flusso di dati, effettuare una richiesta POST all’endpoint /flows dell’API Flow Service. Per acquisire i dati crittografati, è necessario aggiungere una sezione encryption alla proprietà transformations e includere publicKeyId creato in un passaggio precedente.

Formato API

POST /flows

curl -X POST \
  'https://platform.adobe.io/data/foundation/flowservice/flows' \
  -H 'x-api-key: {{API_KEY}}' \
  -H 'x-gw-ims-org-id: {{ORG_ID}}' \
  -H 'x-sandbox-name: {{SANDBOX_NAME}}' \
  -H 'Content-Type: application/json' \
  -d '{
    "name": "ACME Customer Data",
    "description": "ACME Customer Data (Encrypted)",
    "flowSpec": {
        "id": "9753525b-82c7-4dce-8a9b-5ccfce2b9876",
        "version": "1.0"
    },
    "sourceConnectionIds": [
        "655f7c1b-1977-49b3-a429-51379ecf0e15"
    ],
    "targetConnectionIds": [
        "de688225-d619-481c-ae3b-40c250fd7c79"
    ],
    "transformations": [
        {
            "name": "Mapping",
            "params": {
                "mappingId": "6b6e24213dbe4f57bd8207d21034ff03",
                "mappingVersion":"0"
            }
        },
        {
            "name": "Encryption",
            "params": {
                "publicKeyId":"311ef6f8-9bcd-48cf-a9e9-d12c45fb7a17"
            }
        }
    ],
    "scheduleParams": {
        "startTime": "1675793392",
        "frequency": "once"
    }
}'

{
    "id": "dbc5c132-bc2a-4625-85c1-32bc2a262558",
    "etag": "\"8e000533-0000-0200-0000-5f3c40fd0000\""
}

curl -X POST \
  'https://platform.adobe.io/data/foundation/flowservice/flows' \
  -H 'x-api-key: {{API_KEY}}' \
  -H 'x-gw-ims-org-id: {{ORG_ID}}' \
  -H 'x-sandbox-name: {{SANDBOX_NAME}}' \
  -H 'Content-Type: application/json' \
  -d '{
    "name": "ACME Customer Data (with Sign Verification)",
    "description": "ACME Customer Data (with Sign Verification)",
    "flowSpec": {
        "id": "9753525b-82c7-4dce-8a9b-5ccfce2b9876",
        "version": "1.0"
    },
    "sourceConnectionIds": [
        "655f7c1b-1977-49b3-a429-51379ecf0e15"
    ],
    "targetConnectionIds": [
        "de688225-d619-481c-ae3b-40c250fd7c79"
    ],
    "transformations": [
        {
            "name": "Mapping",
            "params": {
                "mappingId": "6b6e24213dbe4f57bd8207d21034ff03",
                "mappingVersion":"0"
            }
        },
        {
            "name": "Encryption",
            "params": {
                "publicKeyId":"311ef6f8-9bcd-48cf-a9e9-d12c45fb7a17",
                "signVerificationKeyId":"e31ae895-7896-469a-8e06-eb9207ddf1c2"
            }
        }
    ],
    "scheduleParams": {
        "startTime": "1675793392",
        "frequency": "once"
    }
}'

{
    "id": "dbc5c132-bc2a-4625-85c1-32bc2a262558",
    "etag": "\"8e000533-0000-0200-0000-5f3c40fd0000\""
}

Elimina chiavi di crittografia delete-encryption-keys

Per eliminare le chiavi di crittografia, effettua una richiesta DELETE all’endpoint /encryption/keys e fornisci l’ID della chiave pubblica come parametro di intestazione.

Formato API

DELETE /data/foundation/connectors/encryption/keys/{PUBLIC_KEY_ID}

Richiesta

curl -X DELETE \
  'https://platform.adobe.io/data/foundation/connectors/encryption/keys/{publicKeyId}' \
  -H 'Authorization: Bearer {{ACCESS_TOKEN}}' \
  -H 'x-api-key: {{API_KEY}}' \
  -H 'x-gw-ims-org-id: {{ORG_ID}}' \

Risposta

In caso di esito positivo, la risposta restituisce lo stato HTTP 204 (nessun contenuto) e un corpo vuoto.

Convalidare le chiavi di crittografia validate-encryption-keys

Per convalidare le chiavi di crittografia, effettuare una richiesta GET all’endpoint /encryption/keys/validate/ e fornire l’ID della chiave pubblica da convalidare come parametro di intestazione.

GET /data/foundation/connectors/encryption/keys/validate/{PUBLIC_KEY_ID}

Richiesta

curl -X GET \
  'https://platform.adobe.io/data/foundation/connectors/encryption/keys/validate/{publicKeyId}' \
  -H 'Authorization: Bearer {{ACCESS_TOKEN}}' \
  -H 'x-api-key: {{API_KEY}}' \
  -H 'x-gw-ims-org-id: {{ORG_ID}}' \

Risposta

In caso di esito positivo, la risposta restituisce la conferma che gli ID sono validi o non validi.

{
    "publicKeyId": "{PUBLIC_KEY_ID}",
    "status": "Active"
}

{
    "publicKeyId": "{PUBLIC_KEY_ID}",
    "status": "Expired"
}

Limitazioni all’acquisizione ricorrente restrictions-on-recurring-ingestion

L’acquisizione di dati crittografati non supporta l’acquisizione di cartelle ricorrenti o a più livelli nelle origini. Tutti i file crittografati devono essere contenuti in una singola cartella. Non sono supportati neanche i caratteri jolly con più cartelle in un unico percorso di origine.

Di seguito è riportato un esempio di struttura di cartelle supportata, dove il percorso di origine è /ACME-customers/*.csv.gpg.

In questo scenario, i file in grassetto vengono acquisiti in Experience Platform.

Di seguito è riportato un esempio di struttura di cartelle non supportata in cui il percorso di origine è /ACME-customers/*.

In questo scenario, l’esecuzione del flusso non riuscirà e restituirà un messaggio di errore che indica che i dati non possono essere copiati dall’origine.

Passaggi successivi

Seguendo questa esercitazione, hai creato una coppia di chiavi di crittografia per i dati dell’archiviazione cloud e un flusso di dati per acquisire i dati crittografati utilizzando Flow Service API. Per gli aggiornamenti sullo stato di completezza, errori e metriche del flusso di dati, leggi la guida sul monitoraggio del flusso di dati tramite l’API Flow Service 2}.