dependencies {
    implementation platform('com.azure:azure-sdk-bom:1.2.0')
    implementation 'com.azure:azure-storage-blob'
    implementation 'com.azure:azure-security-keyvault-keys'
    implementation 'com.azure:azure-identity'
    implementation 'com.azure:azure-storage-blob-cryptography'
    implementation 'ch.qos.logback:logback-classic:1.2.11'
    testImplementation 'org.junit.jupiter:junit-jupiter-api:5.8.2'
    testRuntimeOnly 'org.junit.jupiter:junit-jupiter-engine:5.8.2'
}

具体的な実装方法については、Azure Storage Blobs Cryptography client library for JavaのREADMEを参考にします。まずAsyncKeyEncryptionKeyを返すメソッドを作成します。

public KeyVaultKey getKeyVaultKey(String keyName) {
    return (new KeyClient()).getKey(keyName);
}

public AsyncKeyEncryptionKey createAsyncKeyEncryptionKey(String keyName) {
    KeyVaultKey key = this.getKeyVaultKey(keyName);
    AsyncKeyEncryptionKey asyncKeyEncryptionKey = new KeyEncryptionKeyClientBuilder()
            .credential(new DefaultAzureCredentialBuilder().build())
            .buildAsyncKeyEncryptionKey(key.getId())
            .block();
    return asyncKeyEncryptionKey;
}

これを使ってEncryptedBlobClientを作成します。

EncryptedBlobClient encryptedBlobClient = new EncryptedBlobClientBuilder()
                .key(this.keyVaultHelper.createAsyncKeyEncryptionKey("Azure Key Vaultのキーの名前"), KeyWrapAlgorithm.RSA_OAEP.toString())
                .credential(new DefaultAzureCredentialBuilder().build())
                .endpoint("Azure Storageのエンドポイント")
                .containerName("コンテナ名")
                .blobName("Blob名")
                .buildEncryptedBlobClient();

keyメソッドのアルゴリズムについてJava Docには書かれていなかったので何を指定すれば分からなかったのですが、今回はKeyWrapAlgorithm.RSA_OAEP.toString()を指定することでうまく動きました。他にもKeyWrapAlgorithm.RSA_OAEP_256.toString()やKeyWrapAlgorithm.RSA1_5.toString()を指定してもうまく動きました。以下のドキュメントをみると良いのかもしれません。

docs.microsoft.com

作成したEncryptedBlobClientのupdateStringDataメソッドを使ってデータをBlobとして保存します。

encryptedBlobHelper.updateStringData("This is a sample string2");

この状態でAzure Storage Blobを確認します。

f:id:miyohide:20220410170040j:plain

メタデータにencryptiondataというのが書かれています。ドキュメントを見るとこれらのメタデータは削除してはいけないようです。

このデータをダウンロードして中身をみてみると、暗号化されているようです。

f:id:miyohide:20220410170840j:plain

EncryptedBlobClientのdownloadBlobDataメソッドを使って復号化された状態でファイルがダウンロードできます。

encryptedBlobHelper.downloadBlobData("ファイル名");

ダウンロードしたファイルを見てみると、復号化できているようです。

f:id:miyohide:20220410171306j:plain

miyohide's blog

Azure SDK for Javaを使ってAzure Storage Blobにアクセスする（3）Java SDK v12を使ったクライアント暗号化

はじめに

Azure Storageでの暗号化

Azure Key Vaultにおけるキーの作成と権限付与

Javaを使った実装