如何使用AWS Encryption CLI加密和解密数据

在此文章中，我将引导您完成使用AWS Encryption CLI结合AWS Key Management Service (AWS KMS) 服务来实现加密和解密文件的过程。

什么是KMS

AWS Key Management Service (AWS KMS) 是一项托管服务，可让您轻松创建和控制客户主密钥 (CMK)，这是用于加密数据的加密密钥。AWS KMS 与大多数用于加密数据的其他 AWS 服务集成。

什么是AWS CLI

AWS Command Line Interface (AWS CLI) 是一种开源工具，让您能够在命令行 Shell 中使用命令与 AWS 服务进行交互。AWS CLI 提供两个版本：

版本 2.x - 旨在用于生产环境的 AWS CLI 最新正式发行版。此版本会包含一些自版本 1 以来的"重大"更改，这些更改可能需要您更改脚本才能继续正常运行。

版本 1.x- 为保持向后兼容性而提供的 AWS CLI 先前版本。

加解密实现方式

借助AWS Encryption CLI，您可以利用AWS Encryption SDK内置的高级数据保护，包括信封加密和强大的算法套件。AWS Encryption CLI支持最佳实践功能，例如使用对称加密密钥和非对称签名密钥的经过身份验证的加密，以及每个加密操作的唯一数据密钥。AWS Encryption CLI构建在适用于Python的AWS Encryption SDK上，并且可与AWS Encryption SDK的所有特定于语言的实现完全互操作。它在Linux，macOS和Windows平台上受支持。您可以在Linux和macOS上的外壳程序，Windows上的命令提示符窗口（cmd.exe）或任何系统上的PowerShell控制台中对数据进行加密和解密。

加密原理

加密原理

基于AWS CLI加解密操作步骤

环境配置：

# 配置AWSCLI环境，参考如下连接：https://docs.aws.amazon.com/zh_cn/cli/latest/userguide/cli-chap-install.html

#pip install --upgrade pip

#pip install aws-encryption-cli

#cmkArn=arn:aws-cn:kms:cn-north-1:your aws id:key/ac8fe3f8-4dbd-4ff5-826c-188cf85eed64

创建测试文件：

加密文件：

#aws-encryption-cli --encrypt --input hello.txt --master-keys key=$cmkArn --metadata-output ~/metadata --encryption-context purpose=test --output .

解密文件：

# aws-encryption-cli --decrypt hello.txt.encrypted --master-keys key=$cmkArn --metadata-output ~/metadata --encryption-context purpose=test --output .