從S3讀取KMS加密文件

Question

如何使用boto3資源從S3存儲桶中讀取KMS加密文件？

以下是我用來讀取未加密文件的代碼段-

s3 = boto3.resource('s3')
obj = s3.Object(bucket_name, key)
body = obj.get()['Body'].read()
print(' body = {}'.format(body))

Answer 1

從Amazon S3下載KMS加密的對象時 ， 是否需要指定AWS KMS密鑰？

不，從S3存儲桶下載SSE-KMS加密的對象時，無需指定AWS KMS密鑰ID。 相反，您需要具有解密AWS KMS密鑰的權限。

因此，除非您正在執行CMK ，否則無需在GetObject請求上提供KMS信息（這是boto3資源級方法在后台執行的操作）。 您只需要具有訪問KMS密鑰以進行解密的權限。 S3 / KMS將為您完成其余的工作。

您可以根據鏈接的文章配置與Lambda函數的IAM角色關聯的IAM策略。