AWS KMS - 当我尝试加密数据时，为什么需要“kms:Decrypt”权限？

Question

我注意到在以下两种情况下：

1. S3 -PutObject到加密的存储桶。
2. SQS -SendMessage加密队列。

我需要有kms:Decrypt权限（除了kms:GenerateDataKey权限之外），否则会抛出“未经授权”的异常。

为什么会这样呢？

Answer 1

来自 AWS：

对 kms:Decrypt 的调用是在使用新数据密钥之前验证其完整性。因此，生产者必须拥有客户主密钥 (CMK) 的 kms:GenerateDataKey 和 kms:Decrypt 权限。

https://docs.aws.amazon.com/AWSSimpleQueueService/latest/SQSDeveloperGuide/sqs-key-management.html#sqs-what-permissions-for-sse