AWS KMS解密：如何配置KMS密钥？

Question

// Encrypt a data key
//
// Replace the following fictitious CMK ARN with a valid CMK ID or ARN
String keyId = "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd- 
56ef-1234567890ab";
ByteBuffer plaintext = ByteBuffer.wrap(new byte[]{1,2,3,4,5,6,7,8,9,0});

EncryptRequest req = new 
EncryptRequest().withKeyId(keyId).withPlaintext(plaintext);
ByteBuffer ciphertext = kmsClient.encrypt(req).getCiphertextBlob();

// Decrypt a data key
//

ByteBuffer ciphertextBlob = Place your ciphertext here;

DecryptRequest req = new DecryptRequest().withCiphertextBlob(ciphertextBlob);
ByteBuffer plainText = kmsClient.decrypt(req).getPlaintext();

decrypt方法中没有提供KMS密钥。这是否意味着KMS密钥在cyphertext Blob中被加密了？如果是...

• 如何授予解密加密密文Blob的权限？
• 如果要解密AWS服务中的值，是否创建IAM角色来执行此操作，并配置KMS密钥以允许该角色进行解密？

Answer 1

您的示例来自加密和解密数据密钥：

这些操作是为了加密和解密数据密钥而设计的。他们在加密操作中使用AWS KMS客户主密钥(CMK)，并且不能接受超过4 KB（4096字节）的数据。虽然您可以使用它们来加密少量数据（如密码或RSA密钥），但它们并不是为加密应用程序数据而设计的。

CMKS：

{
   "CiphertextBlob": blob,
   "KeyId": "string"
}