AWS加密SDK使用数据密钥加密/解密

Question

我正在尝试使用KMS和AWS加密SDK加密数据。查看AWS文档中提供的示例，似乎没有地方可以显式设置数据键。

public static void encryptData(String dataToEncrypt, String keyID) {
    final KmsMasterKeyProvider prov = new KmsMasterKeyProvider(keyID);
    DefaultCryptoMaterialsManager manager = new DefaultCryptoMaterialsManager(prov);

    byte[] plaintextKey = generateDataKey(keyID);
    EncryptionMaterialsRequest request = EncryptionMaterialsRequest
        .newBuilder()
        .setPlaintext(plaintextKey)
        .build();

    EncryptionMaterials materials = manager.getMaterialsForEncrypt(request);
    AwsCrypto crypto = new AwsCrypto();
    String encryptedString = crypto.encryptString(manager, dataToEncrypt).getResult();
}

public byte[] generateDataKey(String keyID) {
    GenerateDataKeyRequest dataKeyRequest = new GenerateDataKeyRequest();
    dataKeyRequest.setKeyId(keyID);
    dataKeyRequest.setKeySpec(DataKeySpec.AES_256);
    GenerateDataKeyResult dataKeyResult = kmsClient.generateDataKey(dataKeyRequest);
    ByteBuffer encryptedKey = dataKeyResult.getCiphertextBlob();
    byte[] arr = new byte[encryptedKey.remaining()];
    encryptedKey.get(arr);
    return arr;
}

使用由KMS生成的数据密钥使用AWS加密SDK加密数据的推荐方法是什么？

Answer 1

@viccari是正确的，但听起来，这些构造的预期用途的上下文可以帮助解释为什么。

除非您正在构建自定义加密材料管理器，否则不应创建EncryptionMaterials；客户端和管理组件会为您处理这些问题。

客户端在每次加密调用时向加密材料管理器询问加密材料。根据加密材料管理器的不同，接下来发生的具体情况可能会有所不同。

如果您对这些概念如何结合在一起的更多细节感兴趣，我们的概念文档[1]将是一个很好的起点。

[1]https://docs.aws.amazon.com/encryption-sdk/latter/developer-guide/concepts.html