python - 从 S3 读取 KMS 加密文件

Question

如何使用 boto3 资源从 S3 存储桶读取 KMS 加密文件？

下面是我用来读取非加密文件的片段 -

s3 = boto3.resource('s3')
obj = s3.Object(bucket_name, key)
body = obj.get()['Body'].read()
print(' body = {}'.format(body))

Answer 1

在 Do I need to specify the AWS KMS key when I download a KMS-encrypted object from Amazon S3? 有一个有用的答案

No, you don’t need to specify the AWS KMS key ID when you download an SSE-KMS-encrypted object from an S3 bucket. Instead, you need the permission to decrypt the AWS KMS key.

因此，除非您正在执行 CMK，否则您不需要在 GetObject 请求上提供 KMS 信息(这是 boto3 资源级方法在幕后所做的)。 .您只需要获得访问 KMS key 的权限即可进行解密。 S3/KMS 将为您完成剩下的工作。

您可以根据链接的文章配置与 Lambda 函数的 IAM 角色关联的 IAM 策略。