从S3读取KMS加密文件

Question

如何使用boto3资源从S3 bucket读取KMS加密文件？在

下面是我用来读取非加密文件的片段-

s3 = boto3.resource('s3')
obj = s3.Object(bucket_name, key)
body = obj.get()['Body'].read()
print(' body = {}'.format(body))

Answer 1

在Do I need to specify the AWS KMS key when I download a KMS-encrypted object from Amazon S3?上有一个有用的答案

No, you don’t need to specify the AWS KMS key ID when you download an SSE-KMS-encrypted object from an S3 bucket. Instead, you need the permission to decrypt the AWS KMS key.

因此，您不需要在GetObject请求上提供KMS信息（这是boto3资源级方法在幕后所做的），除非您正在做CMK。您只需要拥有访问KMS密钥的权限即可进行解密。剩下的部分由S3/KMS负责。在

您可以根据链接的文章配置与Lambda函数的IAM角色关联的IAM策略。在