从 S3 读取 KMS 加密文件

Question

如何使用 boto3 资源从 S3 存储桶读取 KMS 加密文件？

下面是我用来读取非加密文件的片段 -

s3 = boto3.resource('s3')
obj = s3.Object(bucket_name, key)
body = obj.get()['Body'].read()
print(' body = {}'.format(body))

Answer 1

那里是一个有用的答案，我需要指定AWS KMS密钥当我下载从Amazon S3一个KMS加密的对象？

不，当您从 S3 存储桶下载 SSE-KMS 加密的对象时，您不需要指定 AWS KMS 密钥 ID。相反，您需要解密 AWS KMS 密钥的权限。

因此，您不需要在 GetObject 请求上提供 KMS 信息（这是 boto3 资源级方法在幕后所做的），除非您正在执行CMK。您只需要获得访问 KMS 密钥的权限即可进行解密。S3/KMS 将为您完成剩下的工作。

您可以根据链接的文章配置与 Lambda 函数的 IAM 角色关联的 IAM 策略。