SQS可以在没有特定KMS权限的情况下从SNS接收加密消息

Question

我是AWS KMS（钥匙管理服务）的新手。

目前，我想创建一个启用服务器端加密（SSE）并将消息发布到订阅Amazon SQS队列的SNS。

Cloudformation的资源部分如下：（未显示CMK密钥和SNS Arn）

Resources:
  MySNSTopic: 
    Type: AWS::SNS::Topic
    Properties:  
      TopicName: !Ref TopicName 
      KmsMasterKeyId: (My_CMK_Key)

  MySQS:
    Type: AWS::SQS::Queue
    Properties:
      QueueName: "MySQS"
      
  MySQSPermissions:
    Type: AWS::SQS::QueuePolicy
    Properties:
      PolicyDocument:
        Version: '2012-10-17'
        Statement:
          - Sid: MySQSPolicy
            Effect: Allow
            Principal: '*'
            Action:
              - sqs:SendMessage
            Resource: !GetAtt MySQS.Arn
            Condition:
              ArnEquals:
                aws:SourceArn: (My_SNS_ARN)
      Queues:
        - !Ref MySQS
            
  MySQSSubscription:
    Type: AWS::SNS::Subscription
    Properties:
      Protocol: sqs
      Endpoint: !GetAtt MySQS.Arn
      Region: !Ref AWS::Region
      TopicArn: (My_SNS_ARN)

如您所见，只有SNS主题启用了SSE，但SQS只是订阅SNS主题。

当我试图将消息发布到SNS主题时。SQS队列（MySQS）可以成功接收消息，但其主体似乎未加密（仍为人类可读）。

{
  "Type" : "Notification",
  "MessageId" : (id),
  "TopicArn" : (Arn),
  "Subject" : "The message from SNS topic",
  "Message" : "The message should be encrypted", // Looks like it is not encrypted?
  "Timestamp" : "....",
  "SignatureVersion" : "1",
  "Signature" : (Signature string),
  "SigningCertURL" : (Signing URL),
  "UnsubscribeURL" :  (Unscribed URL)
}

我的问题是：

1. 我如何知道来自此SNS主题的消息是否已加密？
2. SQS队列如何接收似乎未加密的消息（来自SNS主题）？在这种情况下，SQS队列不使用SNS主题使用的相同CMK，并且没有指定任何KMS权限。
3. 如果我创建一个Lambda函数从这个SQS队列中检索数据，它是否需要CMK键？或者它可以成功读取消息？

Answer 1

Amazon SNS API已经通过安全HTTP（HTTPS）提供，并使用传输层安全（TLS）对传输中的所有消息进行加密。

本例中使用的KMS（SSE）是静态消息加密：“……消息以加密形式存储在多个可用性区域（AZ）中，以确保持久性，并在交付到订阅的endpoint之前解密，例如亚马逊简单队列服务（Amazon SQS）队列、AWS Lambda函数以及HTTP和HTTPS webhooks。”

长话短说，我们在这种情况下使用的CMK是“使所有消息在SNS中时都被加密”，而不是“加密传输中的消息”。

文件：https://aws.amazon.com/blogs/compute/encrypting-messages-published-to-amazon-sns-with-aws-kms/