如何加密/解密来自KMS策略的sqs消息
加密/解密来自KMS策略的SQS消息可以通过以下步骤完成：
- 创建KMS密钥：首先，在腾讯云控制台上创建一个KMS（密钥管理服务）密钥。KMS提供了一种安全的方式来管理密钥，用于加密和解密数据。
- 配置KMS策略：在创建KMS密钥后，您可以配置KMS策略来定义谁可以使用该密钥进行加密和解密操作。KMS策略可以基于用户、用户组或者其他条件来进行配置。
- 加密SQS消息：在发送消息到SQS队列之前，您可以使用KMS密钥对消息进行加密。通过调用KMS的加密API，将消息明文作为输入，KMS将返回加密后的消息密文。
- 解密SQS消息：当接收到加密的SQS消息时，您可以使用相同的KMS密钥对消息进行解密。通过调用KMS的解密API，将消息密文作为输入，KMS将返回解密后的消息明文。
加密/解密来自KMS策略的SQS消息的优势在于：
- 安全性：KMS提供了高级的加密算法和密钥管理功能，确保消息在传输和存储过程中的安全性。
- 灵活性：KMS策略可以根据您的需求进行配置，以控制谁可以访问和使用密钥进行加密和解密操作。
- 简便性：使用KMS进行加密/解密操作非常简单，只需调用相应的API即可完成。
应用场景：
- 保护敏感数据：通过加密SQS消息，可以确保敏感数据在传输和存储过程中不被未授权的人员访问。
- 合规要求：某些行业或法规可能要求对数据进行加密，使用KMS可以满足这些合规要求。
- 数据安全性：加密SQS消息可以提高数据的安全性，防止数据泄露或被篡改。
腾讯云相关产品：
- 腾讯云密钥管理系统（KMS）：提供了密钥的创建、管理和使用功能，支持对数据进行加密和解密操作。详情请参考：腾讯云KMS产品介绍
请注意，本回答仅涉及腾讯云相关产品和服务，不包括其他云计算品牌商。
相关·内容
我试图通过Java与加密的SQS队列进行交互。
应用程序正在发送一个响应：
AmazonSQSException: The ciphertext refers to a customer master key that does not exist, does not exist in this region, or you are not allowed to access.
但是，我可以看到密钥确实存在，并且我正在尝试给予适当的访问。
我想我做这件事的方式有一些错误。请见下文-
SDK交互
意图:从一个队列读取并写入另一个队列。当尝试接收消息时，在第4行之后失败。
public void
浏览 1提问于2019-04-08得票数 0
2回答
我试图将一个SQS队列连接到一个SNS主题中，它们都位于不同的AWS帐户中，并且使用不同的KMS密钥(CMK)加密。
让我知道更详细的设置：
AWS Account 1:
- Encrypted (SSE) SNS Topic
- KMS CMK used to encrypt SNS Topic
- Policy to Allow AWS Account 2 to subscribe to the SNS Topic
AWS Account 2:
- Encrypted SQS Queue
- KMS CMK used to encrypt SQS Queue
- Cross-a
浏览 16提问于2022-08-25得票数 0
回答已采纳
2回答
我有一个SQS队列，使用来拥有以下策略文档。用于从桶中接收S3事件：
{
"Version": "2008-10-17",
"Id": "example-ID",
"Statement": [
{
"Sid": "example-statement-ID",
"Effect": "Allow",
"Principal": {
"AWS": "
浏览 6提问于2017-06-16得票数 7
回答已采纳
我是AWS KMS (密钥管理服务)的新学习者。
目前，我希望创建一个SNS，服务器端加密(SSE)已启用，并将消息发布到订阅Amazon队列。
云格式的资源部分类似于：(未显示CMK键和SNS Arn )
Resources:
MySNSTopic:
Type: AWS::SNS::Topic
Properties:
TopicName: !Ref TopicName
KmsMasterKeyId: (My_CMK_Key)
MySQS:
Type: AWS::SQS::Queue
Properties:
浏览 6提问于2022-03-13得票数 0
回答已采纳
1回答
如何将S3桶通知设置到SQS中的队列中，其中对存储桶和队列都使用了KMS？
我在S3中有一个桶，其中的内容是用AWS托管密钥( aws/s3默认密钥)加密的。
我在SQS中有一个队列，其中启用了SSE (服务器端加密)，但使用了CMK (客户管理密钥)。
当我进入S3 web控制台并尝试在存储桶上添加一个通知事件(发送到SQS中的队列)时，我将收到以下错误消息：
无法验证下列目标配置。无法使用KMS加密到SSE队列的消息。(arn:aws:sqs:ca-central-1：.)
我已经尝试过配置我的KMS密钥策略，以授予S3服务帐户它所需的权限。
{
浏览 0提问于2020-05-04得票数 6
对于密码文本blob是如何用AWS KMS客户端解密的，我有点困惑。下面是AWS文档的一个示例：
// Encrypt a data key
//
// Replace the following fictitious CMK ARN with a valid CMK ID or ARN
String keyId = "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-
56ef-1234567890ab";
ByteBuffer plaintext = ByteBuffer.wrap(new byte[]{1
浏览 0提问于2019-07-09得票数 2
我有一个Glue作业，它从一个s3桶中获取数据并将其传输/放入另一个桶中。如果禁用KMS加密，但不启用KMS加密，则我的工作将正常工作。
错误:调用o79.pyWriteDynamicFrame时发生错误。拒绝访问(服务: S3；状态代码: 403；错误代码: AccessDenied)
我也增加了这个政策。
{
"Effect": "Allow",
"Action": [
"kms:Decrypt"
],
"R
浏览 1提问于2018-08-22得票数 1
回答已采纳
我想使用aws_encryption_sdk python模块来使用加密消息。消息由另一个团队使用上下文加密。
使用aws_encryption_sdk的原因是，每当我们调用boto3 KMS客户端解密函数时，通过减少kms会话的数量来降低成本。但是，我似乎陷入了困惑，因为在为EncryptionSDKClient调用解密函数时，我找不到可以使用它的位置。
我的代码如下所示：
client = aws_encryption_sdk.EncryptionSDKClient()
## try to set the botocore session for Master Key Provider
浏览 16提问于2021-06-23得票数 0
2回答
KMS和S3桶
、、
我有一个有文件的桶
I通过桶策略授予了对test-user1 1(在IAM中有AdministratorAccess策略的用户)的完全访问权。
"Version": "2012-10-17",
"Id": "Policy1595762326470",
"Statement": [
{
"Sid": "Stmt1595762736524",
"Effect": "Allow&
浏览 7提问于2020-07-26得票数 1
1回答
区域间AWS加密SDK标头不匹配
、、、、
在将数据存储到数据库之前，我使用对数据进行加密。我也在使用。作为加密过程的一部分，SDK将用于加密的数据密钥的密钥提供程序ID存储在生成的密码文本头中。
如这里的文档所述，
AWS加密SDK中的加密操作返回包含加密数据(密文)和所有加密数据密钥的单个数据结构或消息。要理解这个数据结构，或者构建读写它的库，您需要了解消息格式。
消息格式至少由两个部分组成:标题和正文。在某些情况下，消息格式由第三部分(页脚)组成。
密钥提供者ID值包含AWS KMS客户主密钥(CMK)的(ARN)。
这就是问题所在。现在，我有两个不同的KMS区域可用于加密。每个密钥提供程序ID具有完全相同的加密数据密钥值
浏览 6提问于2017-11-18得票数 0
1回答
{
"Sid": "Some_ID",
"Effect": "Allow",
"Principal": {
"Service": "sqs.amazonaws.com"
},
"Action": [
"kms:GenerateDataKey",
浏览 21提问于2021-04-20得票数 0
回答已采纳
1回答
在信封加密中，使用对称密钥对数据进行签名，然后使用另一个密钥对秘密进行加密以生成加密的密钥。加密消息与加密密钥一起打包，并发送给客户机/使用者，然后客户/使用者对加密的密钥进行解密，以获得密钥，而密钥又被用来解密消息。
有两种实现方法：
非对称加密:生产者用用户公钥加密密钥(S)。使用者使用私钥解密加密的秘密。
KMS (如AWS KMS)：密钥由KMS加密，需要访问密钥的客户端必须要求KMS对其进行解密。
KMS方法的优点是密钥管理是集中的，可以通过从KMS中删除客户端并旋转密钥来撤销来自客户端的权限。
是否有充分的理由使用不对称密钥而不是KMS？
浏览 0提问于2015-08-24得票数 5
我有一个加密的s3存储桶 我想要授予另一个帐户访问此存储桶的权限 通常我会这样做： {
"Sid":"get",
"Effect":"Allow",
"Principal":{
"AWS":"arn:aws:iam::99999999999:root"
},
"Action":[
"s3:Get*",
],
"Resource":
浏览 47提问于2020-01-11得票数 1
回答已采纳
2回答
在信封加密中，使用对称密钥对数据进行签名，然后使用另一个密钥对秘密进行加密以生成加密的密钥。加密消息与加密密钥一起打包，并发送给客户机/使用者，然后客户/使用者对加密的密钥进行解密，以获得密钥，而密钥又被用来解密消息。
有两种实现方法：
非对称加密:生产者用用户公钥加密密钥(S)。使用者使用私钥解密加密的秘密。
KMS (如AWS KMS)：密钥由KMS加密，需要访问密钥的客户端必须要求KMS对其进行解密。
KMS方法的优点是密钥管理是集中的，可以通过从KMS中删除客户端并旋转密钥来撤销来自客户端的权限。
是否有充分的理由使用不对称密钥而不是KMS？
浏览 0提问于2015-08-24得票数 3
回答已采纳
下面是我的场景：
有两个aws帐户- A和B。
我有一个KMS键K保护帐户A和区域us-east-1中的SQS队列。
我有一个帐户B和区域us-west-2的SNS主题。
来自account A的SQS队列是从account B订阅主题的。
我的KMS密钥的资源策略目前允许SNS主题执行加密/解密。我在我的应用程序中使用AWS CDK。下面是设置这些权限的代码行：
encryptionMasterKey.addToResourcePolicy(new iam.PolicyStatement({
effect: iam.Effect.ALLOW
浏览 4提问于2021-11-08得票数 2
背景:我正在尝试使用SQS作为触发器来执行lambda函数。一旦lambda函数执行完毕，我将试图通过SNS主题向另一个SQS队列发送响应。
SQS队列-> Lambda -> SNS主题-> ->队列
我最初尝试使用目的地发送Lambda对SQS的响应，但这只适用于异步调用，而SQS被视为同步调用。很好。因此，现在我触发一个SNS主题，该主题随后处理将消息添加到SQS队列中。这种集成工作得很好。
问题：这个SNS主题最终总是无法发布到SQS队列。我可以看到死信队列总是有消息，而从来没有真正的队列。这是我在CloudWatch上找到的错误消息
{
"de
浏览 4提问于2020-06-26得票数 5
我已经创建了一个S3存储桶，并将默认SSE配置为使用KMS。
我可以使用aws-cli上传文件到存储桶中，只要我传递了--sse aws:kms标志，例如：aws s3 cp --sse aws:kms test.txt s3://my-bucket
但我希望这在没有--sse aws:kms标志的情况下工作，因为这是默认加密，即它应该在没有指定加密头的情况下应用。
当我在没有标题的情况下尝试时，它失败了：aws s3 cp test.txt s3://my-bucket upload failed: ./test.txt to s3://my-bucket/test.txt An error
浏览 0提问于2018-05-11得票数 3
2回答
我正在尝试使用AWS功能SELECT * INTO OUTFILE S3 :some_bucket/object_key，其中some_bucket使用KMS进行默认服务器端加密。
我收到了这个错误，这是有道理的：
InternalError: (InternalError) (1871, u'S3 API returned error: Unknown:Unable to parse ExceptionName: KMS.NotFoundException Message: Invalid keyId')
我如何使这个工作，使Aurora有KMS键，以便它可以上传一个文件到S
浏览 1提问于2018-01-22得票数 2
回答已采纳
3回答
我有一个由两个lambda订阅的SNS(用KMS加密)。我正在尝试向其中一个订阅添加重新驱动策略。有问题的DLQ是加密的。 添加重新驱动策略会给我一个错误:无法检查Amazon SQS队列权限。请确保队列存在，并且您的帐户具有读取队列属性的权限。要允许Amazon SNS主题将消息发送到Amazon SQS队列，您必须创建Amazon SQS队列策略 我已尝试授予SNS对DLQ队列的解密权限。但没那么走运。有什么线索吗？
浏览 23提问于2020-09-02得票数 5
回答已采纳
我有一个小麻烦，使我的头脑在一些IAM策略语法做的MWAA和KMS，并想知道是否有人可以帮助我理解拜托。
这位医生说：
最后，有一些策略允许MWAA角色使用内置的AWS KMS键。
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": "airflow:PublishMetrics",
浏览 5提问于2022-09-22得票数 0
我获得具有逻辑ID UPDATE_FAILED的S3桶的状态MyBucket，在cloudformation中解释了以下状态原因：
无法验证以下目标配置(服务: Amazon；状态代码: 400；错误代码: Aqd2fih3ro981DED8wq48io9e51rSD5e3Fo3iw5ue31br；；请求ID: ABCDEFGHIJK；S3扩展请求ID：代理: null)
我有以下CloudFormation模板：
AWSTemplateFormatVersion: '2010-09-09'
Resources:
MyBucket:
Type: AWS::S3:
浏览 2提问于2020-12-04得票数 1
回答已采纳
如果我们有两个私有的s3桶，一个带有SSE-KMS名为：bucket-kms，另一个没有加密：bucket-no-kms。
除了需要额外的KMS权限的使用者之外，安全性还有什么好处？在我看来，这是在进行额外的理智检查，比如有人意外地将bucket-kms公之于众，或者您授予了对其他身份的访问权，这些错误也会通过需要访问KSM密钥而得到保护，而bucket-no-kms则会被公开。但这并不是真正的额外安全，只是更难犯错误。
就安全性的好处而言，我能想到的唯一场景是，如果一个人能够物理地访问您的s3桶正在使用的特定硬件，那么他们就可以读取您的普通数据，这将是使用SSE-..的一个很好的例子，但我再
浏览 5提问于2020-07-26得票数 0
回答已采纳
场景-
我创造了-
使用KMS键#1上传了一个文件在桶<code>H 211</code></code>检查对象详细信息，它显示了Server-side encryption: AWS-KMS和KMS key ID: ARN of KMS key #1Changed <code>d17<//code>，现在选择了KMS key #2The老对象仍然显示KMS key ID: ARN of KMS key #1。
问题-
能在1年前完成KMS键的旋转吗？是我旋转AWS KMS键的正确方法吗？如果不是，正确的方法是什么？，，键的旧对象发生
浏览 1提问于2019-11-27得票数 3
3回答
我使用Amazon接收电子邮件，然后通过一个规则集存储在Amazon中。这些消息然后由我用Java编写的程序检索。
整个过程目前运作得很有魅力。当我试图加密电子邮件时麻烦就来了..。
下面是我的过程的步骤：
电子邮件由SES接收
set使用KMS密钥加密电子邮件(感谢SES规则集)。
S3将电子邮件存储在亚马逊S3上
我的Java应用程序从S3中检索邮件。
但是，当我在S3上调用检索电子邮件时，会出现以下错误：
com.amazonaws.services.kms.model.AWSKMSException: The ciphertext refers to a cus
浏览 4提问于2018-02-23得票数 4
回答已采纳
我正在使用aws cdk创建S3、SQS和KMS资源。我在S3和SQS资源上启用了加密。当我启用从S3到SQS的通知时，我得到了一个循环依赖错误。当我从我的代码中删除KMS设置时，它起作用了。
GitHub存储库：
from aws_cdk import aws_kms as kms
from aws_cdk import aws_s3 as s3
from aws_cdk import aws_sqs as sqs
from aws_cdk import aws_s3_notifications as s3notif
kms_key = kms.Key(self, 'ssl_s3_
浏览 0提问于2020-07-19得票数 10
我使用Python3和Boto3以编程方式使用AWS KMS (密钥管理服务)。我已经在KMS本身中创建了一个非对称密钥对(公钥和私钥)。现在，有一种方法可以将公共和私有文件本地保存到KMS上创建的磁盘上。 下面是我的代码： import boto3
import base64
def get_keys_from_kms(key_id):
client = boto3.client('kms')
response = client.get_public_key(KeyId=key_id)
pub_key_dec = base64.b64encode
浏览 60提问于2021-02-02得票数 1
1回答
我的应用程序需要服务器和客户端设备之间的安全消息传递。这些设备没有直接的互联网连接，因此不可能使用标准的HTTPS或MQTT连接。
我更喜欢的方法是使用不对称认证加密，例如libsodium的crypto_box API。这些设备将使用它们的私钥和服务器的公钥加密和验证消息。服务器将使用其私钥和设备的公钥进行同样的操作。
为了安全起见，我认为服务器私钥需要由KMS来管理。我正在使用Google Cloud平台作为后端，我看不到让GCP KMS解密和验证由using加密的消息的方法: GCP KMS似乎不支持using的密钥算法，也似乎不支持经过身份验证的加密。
我喜欢like，因为它在我选择的
浏览 16提问于2022-07-15得票数 0
回答已采纳
1回答
我试图使用SSE加密SQS消息。我为队列启用了SSE。是否有方法查看队列中的加密消息？当我使用view/delete消息查看消息时，它会显示解密消息。如何验证消息是否真的加密了？
浏览 3提问于2020-01-24得票数 1
回答已采纳
2回答
我正在构建一个使用EC2、lambda、API网关、S3、SQS和其他服务的AWS应用程序。
是否有一种可以在多个组件之间共享的全局应用程序设置的存储机制？
我希望避免为每个组件设置环境变量；相反，每个组件应该从配置存储库中读取配置。
我试过使用S3配置文件，但是存储桶具有其他组件无法猜测的唯一URL。在RDS中存储配置不起作用，因为RDS实例也有唯一的名称。
KMS可以用来做这个吗？如果是，如何将S3桶名存储并检索到KMS中？我只找到了一种存储256位加密密钥的方法。
浏览 3提问于2017-05-21得票数 3
回答已采纳
1回答
我正在尝试从加密的SQS中读取消息。对象被降落在一个S3桶上，->触发器，S3事件，->消息发送到SQS，->，SQS触发器，Lambda来处理。
我已经使用AWS管理的CMK完成了这项工作。但是，我无法使用AWS拥有的CMK (例如alias/aws/sqs )来完成这个任务。
消息只进入messages in flight，不调用Lambda函数。
根据这里的AWS文档， If you don't specify a custom CMK, Amazon SQS uses the AWS managed CMK for Amazon SQS。但是我们不能对AWS拥
浏览 1提问于2019-07-09得票数 2
回答已采纳
3回答
问:服务器端加密(使用S3托管密钥或KMS托管密钥)文件是否被转换到冰川？如果是，它们是否使用S3或KMS密钥解密，然后再次使用Glacier的内部密钥加密，因为Glacier中的所有对象都使用内部AES 256密钥加密？
问题陈述:我在S3中有一些使用KMS托管密钥加密的文件。我有一个生命周期规则存档到冰川1天后，但文件仍然显示存储类为“标准”，即使在3天后。
浏览 0提问于2017-11-13得票数 1
什么是云KMS？KMS的目的/好处是什么？有没有一个我用它解决的问题的具体例子？它怎麽工作?我该怎么用呢？(AWS KMS，GCP KMS，Azure Key Vault)
每当我试着读官方文件
https://aws.amazon.com/kms/
https://cloud.google.com/kms/
https://docs.microsoft.com/en-us/azure/key-vault/key-vault-whatis
我不会从官方文档中得到任何有用的信息，我会得到：
一般解释: KMS:密钥管理系统，我们帮助您集中管理加密密钥。 (我是从这个名字得到的.但这究竟
浏览 0提问于2019-06-23得票数 0
回答已采纳
我将密钥材料导入Cloud并生成一个(AES-256)密钥，然后在本地保存密钥材料，并使用生成的密钥加密一些数据文件。
在此之后，如果我的Google帐户是拖欠或Cloud崩溃，并导致KMS密钥丢失(我知道这是非常不可能的)。我还能恢复密钥并解密加密文件吗？
具体来说，我的场景是，在我更新我的支付方法之后，我的KMS服务恢复了。我是否可以使用相同的密钥材料将其重新导入KMS，以重新生成一个新密钥，该密钥可以解密使用旧密钥加密的文件？
浏览 8提问于2019-10-10得票数 0
回答已采纳
1回答
我们目前正在讨论gcp云kms以及如何为灾难恢复服务。这是我们当前的测试设置：
Java使用Spring + Google使用KMSEnvelopeAead + AesGcmJce (即通过kms (KEK)加密并存储在密文旁边的由Tink生成的DEK )，对称
项目"A“(灾后恢复前的初始项目)
-> KMS ->键环"keyringABC“-> key "keyABC”->通过导入作业导入自定义密钥。我可以成功地加密/解密一些文本--很好，都是好的。
resource: projects/A/locations/eur3/keyRings/k
浏览 10提问于2021-11-26得票数 1
回答已采纳
我在AWS Lambda上写了一个无服务器的函数。
在某些情况下，我需要使用kms:GenerateDataKey*权限。
这到底是为了什么。我查看了AWS文档，但它太神秘了。有人能给出一个实际的例子来说明它在哪里使用吗？
浏览 7提问于2019-11-14得票数 12
我想使用AWSKmsClient或AWSKmsClient结合Java来解密我使用AWS CLI加密的消息
我使用以下方法创建了一条加密消息：
aws kms encrypt --key-id 123421-4032-412c-4321-eds42d1a1b432 --plaintext MyText --output text --query CiphertextBlob
它为我生成这样的东西：ADCCAHhJotXoy8910T/Pd8PXVaF/Xkg+9NrF9QTy/XlW7rTtUAH6zACj9MbEY1cS7526GfscAAAAZjBkBgkqhkiG9w0BBwagVzBV
浏览 2提问于2019-04-23得票数 0
回答已采纳
我正在使用我的AWS加密和SecretsManager ，但是我的同事可以看到秘密值！！！
我对KMS的政策说只有我能做kms:Decrypt。
我的同事(在我的CMK上没有这些权限)能够.
向SecretsManager >>>打开AWS控制台
单击Retrieve Secret Value >>>
，看看我的秘密价值！
知道为什么吗？
技术细节：
我使用AWS SAM CLI来部署这个。
以下是我的AWS SAM模板：
AWSTemplateFormatVersion: "2010-09-09"
Tran
浏览 2提问于2021-05-13得票数 1
回答已采纳
1回答
我正在尝试使用进行AWS设置，以便将对象上传到S3。
文件中说上传的对象应该被加密；
服务器端加密是关于rest的数据加密，也就是说，亚马逊S3在将数据写入其数据中心的磁盘时，在对象级别对数据进行加密，并在访问数据中心时为您解密。
我设置了KMS主键，并尝试使用CLI以下列方式上载对象
aws s3api put-object --bucket test --key keys/test.txt --server-side-encryption aws:kms --ssekms-key-id <my_master_Key_id> --body test.txt
上传成功，我看
浏览 3提问于2016-09-08得票数 4
1回答
我有一个从S3存储桶加载到Snowflake表时加密数据的用例。使用SSE-S3启用S3存储桶。在推送到S3之前，S3中的文件还会使用KMS密钥进行加密(我喜欢将其称为双重加密)。我想了解Snowflake是如何解密这些数据文件的。具体地说，传输中的数据(在进行自动摄取时)也是加密的吗？ 其次，如果Snowflake中的外部阶段配置了相同的KMS密钥id encryption = (type = 'AWS_SSE_KMS' kms_key_id = 'xxxx-yyyy'，Snowflake是否会解密数据文件，并在查询加载文件的表时使其可读？ 提前感谢
浏览 61提问于2021-08-13得票数 0
我试图用AWS解密一个字符串，但是我得到了一个InvalidCiphertextException错误(在异常名之后没有更多的信息)。
我最初在节点js中解密，使用一个环境变量作为encryptedString的源：
var params = {
CiphertextBlob: Buffer.from(encryptedString, 'base64')
};
kms.decrypt(params, function(err, data) {
if (err) {
...
} else {
...
}
}
我也尝试
浏览 6提问于2020-09-05得票数 1
回答已采纳
因此，我有一个使用kms启用了加密的队列。kms策略运行良好。 {
"Version": "2012-10-17",
"Statement": [
{
"Sid": "Enable User Permissions",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::${account}:root"
浏览 22提问于2021-11-19得票数 0
回答已采纳
我有一个用CDK开发的架构，带有一个S3桶和一个事件通知，它将为每个上传到S3的文件向SQS发送一条消息。
效果很好。
现在我正在尝试激活加密，我有以下内容：
对于S3 ->，我使用S3_MANAGED密钥激活了加密，一切正常。
对于SQS ->，我已经使用KMS_MANAGED密钥激活了加密，并且没有向SQS发送消息的。
因此，我假设缺少一些权限，但我不知道如何修复它。
我是否需要向SQS添加缺少的权限才能从S3读取？还是允许S3向加密的SQS发送消息？
浏览 21提问于2021-12-09得票数 1
回答已采纳
我有一个数据库，我打算存储KMS加密的blobs。有些字段未加密(需要加密)，有些字段已被KMS加密。
从原始数据来看，所有的KMS加密的东西看起来都有点相似。理想情况下，或AWS应该有类似于isEncrypted()方法的东西，但它似乎没有。
是否有一种很好的方法在本地检测我的字段是否已加密，除非从InvalidCiphertextException中捕获
浏览 4提问于2016-05-16得票数 1
回答已采纳
我需要存储用户提供给我的非常敏感的秘密(用于身份验证到第三方API的username+password+certificate)。
我首先考虑的是AWS秘密管理器，它非常昂贵，IMHO主要用于基础设施机密(数据库密码、API密钥、.)而不是客户提供的秘密。现在，我决定使用AWS KMS (并使用信封加密将加密的秘密存储在数据库(AWS RDS)中)和Hashicorp Vault。
根据我所读到的，我得出的结论是，Vault KV主要用于基础设施机密，Vault Transit可能在某种程度上相当于AWS KMS (更好地用于客户提供的秘密)。
由于我正在构建一个非常小的应用程序，如果我决定
浏览 19提问于2020-04-18得票数 3
每天我都会看到一些未经授权的KMS解密操作的CloudTrail日志，我不知道是什么原因造成的。以下是日志的一个示例：
{
"eventVersion": "1.08",
"userIdentity": {
"type": "AssumedRole",
"principalId": "*********************:LambdaDescribeHandlerSession",
"arn": &
浏览 20提问于2021-11-28得票数 0
标题说明了一切。每当我试图通过AWS CloudFormation模板创建一个KMS键时，我就会得到这个错误。我是以具有管理权限的IAM用户的身份创建模板的，我希望在同一个具有KMS权限的AWS帐户中的任何IAM用户都可以管理该密钥。我使用以下YAML资源定义作为密钥：
LambdaKmsKey:
Type: AWS::KMS::Key
Properties:
Enabled: true
KeyPolicy:
Version: 2012-10-17
Statement:
- Effect: Allow
浏览 16提问于2017-02-01得票数 12
回答已采纳
1回答
对解密列进行搜索
、、、、
我在用Postgres做AWS RDS。
我的应用程序使用AWS KMS加密对表中的选定列进行加密。
我试过了，但找不到一种方法来配置KMS键并在select查询中使用decrypt()。
例如，我的应用程序正在使用KMS加密myTable.secureColumn。
现在，我试图在下面的查询中开火：
select * from myTable where decrypt(secureColumn, 'key', 'aes') = 'data';
我没有找到如何在pgCrypto中配置KMS键，并在上面的查询中使用。
有人试过这个吗？
提前谢谢。
浏览 0提问于2017-02-05得票数 1
回答已采纳
1回答
上下文:存在于AWS帐户2中的API将SQS url作为其输入之一，并将输出发布到其中。帐户1的所有者希望在他自己的SQS队列中使用这个API。
帐户1有一个启用SSE的SQS队列。帐户1的所有者希望帐户2中的特定IAM用户能够发布到这个SQS队列。要做到这一点，我知道的唯一办法是：
将外部帐户2的ID添加到帐户1的KMS键设置中。
向帐户2的IAM用户添加策略，以允许访问给定的KMS密钥。
这种方法的问题是，这两个帐户都需要采取行动。是否有一种更简单的方法来实现相同的结果，即只有帐户1的所有者需要做任何事情，而不需要麻烦帐户2的所有者？
编辑1:当我们尝试集成而不启用对SQS
浏览 0提问于2018-06-08得票数 5
回答已采纳
1回答
我正在尝试将一条消息从未加密的SNS主题传递到之后的加密SQS队列。我能够完成“为AWS服务配置KMS权限”步骤，但我遇到了“为生产者配置KMS权限”步骤的问题。我已经创建了IAM角色，但是将这个角色附加到我的SNS主题是我特别感到困惑的地方。以下是我自己的研究无法回答的一些问题：
IAM角色能否附加到特定项(SNS主题、SQS队列等.)？如果没有，还有什么其他方式可以授予特定项的权限？
当说明提到“生产者”时，这是指SNS主题还是拥有SNS主题的AWS帐户？
所有的帮助都是非常感谢的。
编辑
下面是我当前的AWS关键策略：
{
"Version": &
浏览 6提问于2021-06-08得票数 2
我正试图为我的SQS队列创建一个CMK，以允许将加密的SNS消息发送到我的加密队列。在创建cmk之后，我将将其设置为队列中的"kms_master_key_id“。
resource "aws_kms_key" "mycmk" {
description = "KMS Key"
deletion_window_in_days = 10
policy = <<POLICY
{
"Version": "2012-10-17",
"Sta
浏览 3提问于2021-09-26得票数 1
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
云直播
对象存储活动推荐
腾讯云开发者
