# 适用于 Java 2.x 的 AWS 开发工具包 - AWS KMS（密钥管理服务） ## 概述此技能提供使用适用于 Java 2.x 的 AWS 开发工具包的 AWS Key Management Service (KMS) 的综合模式。专注于通过适当的密钥管理、信封加密和 Spring Boot 集成模式来实现安全加密解决方案。 ## 说明请按照以下步骤使用 AWS KMS： 1. **设置 IAM 权限** \- 使用最低权限根据需要授予 kms:* 操作 2. **创建 KMS 客户端** \- 使用正确的区域和凭据实例化 KmsClient 3. **创建或导入密钥** \- 使用 createKey() 或导入现有密钥材料 4. **设置密钥策略** \- 定义谁可以使用/管理每个密钥 5. **加密数据** \- 小数据（<4KB）直接使用 encrypt() 6. **使用信封加密** \- 对于较大的数据，生成并加密数据密钥 7. **实施数字签名** \- 创建签名密钥并验证签名 8. **轮换密钥** \- 启用自动密钥轮换以确保合规性 ## 何时使用在以下情况下使用此技能： * 创建和管理对称加密密钥以保护数据 * 实现客户端加密和信封加密模式 * 使用 KMS 管理的密钥生成用于本地数据加密的数据密钥 * 使用非对称密钥设置数字签名和验证 * 将加密功能集成到Spring Boot应用程序中 * 实施安全密钥生命周期管理 * 设置密钥轮换策略和访问控制 ## 依赖关系 ### Maven <依赖关系> software.amazon.awssdk 公里 ### 摇篮实施 'software.amazon.awssdk:kms:2.x.x' ## 客户端设置 ### 基本同步客户端导入软件.amazon.awssdk.regions.Region; 导入软件.amazon.awssdk.services.kms.KmsClient； KmsClient kmsClient = KmsClient.builder() .region(区域.US_EAST_1) .build(); ### 基本异步客户端导入 software.amazon.awssdk.services.kms.KmsAsyncClient; KmsAsyncClient kmsAsyncClient = KmsAsyncClient.builder() .region(区域.US_EAST_1) .build(); ### 高级客户端配置 KmsClient kmsClient = KmsClient.builder() .region(Region.of(System.getenv("AWS_REGION"))) .credentialsProvider(DefaultCredentialsProvider.create()) .overrideConfiguration(c -> c.retryPolicy(RetryPolicy.builder()) .numRetries(3) .build())) .build(); ## 基本密钥管理 ### 创建加密密钥公共字符串createEncryptionKey（KmsClient kmsClient，字符串描述）{ CreateKeyRequest 请求 = CreateKeyRequest.builder() .描述（描述） .keyUsage(KeyUsageType.ENCRYPT_DECRYPT) .build(); CreateKeyResponse 响应 = kmsClient.createKey(请求); 返回response.keyMetadata().keyId(); } ### 描述密钥公共KeyMetadata getKeyMetadata（KmsClient kmsClient，字符串keyId）{ 描述KeyRequest请求=DescribeKeyRequest.builder() .keyId(keyId) .build(); 返回 kmsClient.describeKey(request).keyMetadata(); } ### 启用/禁用键公共无效toggleKeyState（KmsClient kmsClient，字符串keyId，布尔启用）{ 如果（启用）{ kmsClient.enableKey(EnableKeyRequest.builder().keyId(keyId).build()); } 否则{ kmsClient.disableKey(DisableKeyRequest.builder().keyId(keyId).build()); } } ## 基础加密与解密 ### 加密数据公共字符串加密数据（KmsClient kmsClient，字符串keyId，字符串明文）{ SdkBytes plaintextBytes = SdkBytes.fromString(plaintext, StandardCharsets.UTF_8); EncryptRequest 请求 = EncryptRequest.builder() .keyId(keyId) .plaintext(plaintextBytes) .build(); EncryptResponse 响应 = kmsClient.encrypt(请求); 返回 Base64.getEncoder().encodeToString( response.ciphertextBlob().asByteArray()); } ### 解密数据公共字符串decryptData（KmsClient kmsClient，字符串ciphertextBase64）{ byte[] 密文 = Base64.getDecoder().decode(ciphertextBase64); SdkBytes ciphertextBytes = SdkBytes.fromByteArray(ciphertext); DecryptRequest 请求 = DecryptRequest.builder() .ciphertextBlob(ciphertextBytes) .build(); DecryptResponse 响应 = kmsClient.decrypt(request); 返回response.plaintext().asString(StandardCharsets.UTF_8); } ## 信封加密模式 ### 生成并使用数据密钥公共 DataKeyResult encryptWithEnvelope(KmsClient kmsClient, String masterKeyId, byte[] data) { // 生成数据密钥生成数据密钥请求 keyRequest = 生成数据密钥请求.builder() .keyId(masterKeyId) .keySpec(DataKeySpec.AES_256) .build(); 生成数据密钥响应 keyResponse = kmsClient.generateDataKey(keyRequest); // 使用数据密钥加密数据 byte[] 加密数据 = encryptWithAES(数据, keyResponse.plaintext().asByteArray()); // 从内存中清除明文密钥 Arrays.fill(keyResponse.plaintext().asByteArray(), (字节) 0); 返回新的 DataKeyResult( 加密数据， keyResponse.ciphertextBlob().asByteArray()); } 公共字节[]解密WithEnvelope（KmsClient kmsClient， DataKeyResult 加密信封) { // 解密数据密钥 DecryptRequest keyDecryptRequest = DecryptRequest.builder() .ciphertextBlob(SdkBytes.fromByteArray( 加密信封.加密密钥())) .build(); DecryptResponse keyDecryptResponse = kmsClient.decrypt(keyDecryptRequest); // 使用解密密钥解密数据字节[]解密数据=decryptWithAES( 加密信封.加密数据(), keyDecryptResponse.plaintext().asByteArray()); // 从内存中清除明文密钥 Arrays.fill(keyDecryptResponse.plaintext().asByteArray(), (byte) 0); 返回解密后的数据； } ## 数字签名 ### 创建签名密钥和签名数据公共字符串createAndSignData（KmsClient kmsClient，字符串描述，字符串消息）{ // 创建签名密钥 CreateKeyRequest keyRequest = CreateKeyRequest.builder() .描述（描述） .keySpec(KeySpec.RSA_2048) .keyUsage(KeyUsageType.SIGN_VERIFY) .build(); CreateKeyResponse keyResponse = kmsClient.createKey(keyRequest); String keyId = keyResponse.keyMetadata().keyId(); // 对数据进行签名 SignRequest signRequest = SignRequest.builder() .keyId(keyId) .message(SdkBytes.fromString(消息, StandardCharsets.UTF_8)) .signingAlgorithm(SigningAlgorithmSpec.RSASSA_PSS_SHA_256) .build(); SignResponse signResponse = kmsClient.sign(signRequest); 返回 Base64.getEncoder().encodeToString( SignResponse.signature().asByteArray()); } ### 验证签名公共布尔 verifySignature(KmsClient kmsClient, 字符串 keyId, 字符串消息，字符串签名Base64) { byte[] 签名 = Base64.getDecoder().decode(signatureBase64); 验证请求 verifyRequest = verifyRequest.builder() .keyId(keyId) .message(SdkBytes.fromString(消息, StandardCharsets.UTF_8)) .signature(SdkBytes.fromByteArray(签名)) .signingAlgorithm(SigningAlgorithmSpec.RSASSA_PSS_SHA_256) .build(); 验证响应 verifyResponse = kmsClient.verify(verifyRequest); 返回 verifyResponse.signatureValid(); } ## Spring Boot 集成 ### 配置类 @配置公共类 KmsConfiguration { @豆子公共 KmsClient kmsClient() { 返回 KmsClient.builder() .region(区域.US_EAST_1) .build(); } @豆子公共 KmsAsyncClient kmsAsyncClient() { 返回 KmsAsyncClient.builder() .region(区域.US_EAST_1) .build(); } } ### 加密服务 @服务 @RequiredArgsConstructor 公共类 KmsEncryptionService { 私有最终 KmsClient kmsClient； @Value("${kms.加密密钥-id}") 私有字符串 keyId；公共字符串加密（字符串明文）{ 尝试{ EncryptRequest 请求 = EncryptRequest.builder() .keyId(keyId) .plaintext(SdkBytes.fromString(plaintext, StandardCharsets.UTF_8)) .build(); EncryptResponse 响应 = kmsClient.encrypt(请求); 返回 Base64.getEncoder().encodeToString( response.ciphertextBlob().asByteArray()); } catch (KmsException e) { throw new RuntimeException("加密失败", e); } } 公共字符串解密（字符串密文Base64）{ 尝试{ byte[] 密文 = Base64.getDecoder().decode(ciphertextBase64); DecryptRequest 请求 = DecryptRequest.builder() .ciphertextBlob(SdkBytes.fromByteArray(密文)) .build(); DecryptResponse 响应 = kmsClient.decrypt(request); 返回response.plaintext().asString(StandardCharsets.UTF_8); } catch (KmsException e) { throw new RuntimeException("解密失败", e); } } } ## 示例 ### 基本加密示例公共类 BasicEncryptionExample { 公共静态无效主（字符串[] args）{ KmsClient kmsClient = KmsClient.builder() .region(区域.US_EAST_1) .build(); // 创建密钥 String keyId = createEncryptionKey(kmsClient, "示例加密密钥"); System.out.println("已创建密钥：" + keyId); // 加密和解密 String plaintext = “你好，世界！”; 加密字符串 = encryptData(kmsClient, keyId, plaintext); 解密字符串=解密数据（kmsClient，加密）； System.out.println("原文：" + 明文); System.out.println("已解密：" + 已解密); } } ### 信封加密示例公共类 EnvelopeEncryptionExample { 公共静态无效主（字符串[] args）{ KmsClient kmsClient = KmsClient.builder() .region(区域.US_EAST_1) .build(); String masterKeyId = "别名/你的主密钥"; String largeData = "这是大量数据，需要加密......"; byte[] 数据 = largeData.getBytes(StandardCharsets.UTF_8); // 使用信封模式加密 DataKeyResult 加密包络 = encryptWithEnvelope( kmsClient、masterKeyId、数据）； // 解密字节 [] 解密数据 = 解密WithEnvelope( kmsClient，加密信封）；字符串结果 = new String(decryptedData, StandardCharsets.UTF_8); System.out.println("解密：" + 结果); } } ## 最佳实践 ### 安全 * **对于大数据始终使用信封加密** \- 在本地加密数据并且仅使用 KMS 加密数据密钥 * **使用加密上下文** \- 添加上下文信息以跟踪和审核使用情况 * **切勿记录敏感数据** \- 避免记录明文或加密密钥 * **实施正确的密钥生命周期** \- 启用自动轮换并设置删除策略 * **为不同目的使用单独的密钥** \- 不要在多个应用程序中重复使用密钥 ### 性能 * **缓存加密的数据密钥** \- 通过缓存数据密钥减少 KMS API 调用 * **使用异步操作** \- 利用异步客户端进行非阻塞 I/O * **重用客户端实例** \- 不要为每个操作创建新客户端 * **实施连接池** \- 配置正确的连接池设置 ### 错误处理 * **实现重试逻辑** \- 使用指数退避处理节流异常 * **检查按键状态** \- 在执行操作之前验证按键是否已启用 * **使用断路器** \- 防止 KMS 中断期间发生级联故障 * **全面记录错误** \- 包括 KMS 错误代码和上下文 ## 参考文献有关详细的实现模式、先进技术和综合示例： * @references/technical-guide.md - 完整的技术实现模式 * @references/spring-boot-integration.md - Spring Boot 集成模式 * @references/testing.md - 测试策略和示例 * @references/best-practices.md - 安全和操作最佳实践 ## 相关技能 * @aws-sdk-java-v2-core - 核心AWS SDK模式和配置 * @aws-sdk-java-v2-dynamodb - DynamoDB 集成模式 * @aws-sdk-java-v2-secrets-manager - 秘密管理模式 * @spring-boot-dependency-injection - Spring 依赖注入模式 ## 外部参考 * [AWS KMS 开发人员指南]() * [AWS SDK for Java 2.x 文档]() * [KMS 最佳实践]() ## 限制和警告 * **数据大小限制**：直接加密限制为4KB；对较大数据使用信封加密 * **密钥使用限制** ：KMS 对每秒 API 调用有配额 * **密钥材料** ：AWS 无法管理导入的密钥材料以进行轮换 * **密钥删除** ：密钥删除需要 7-30 天的等待期 * **区域边界** ：KMS 密钥不能跨区域使用 * **成本考虑因素**：KMS 按 API 调用和密钥存储收费 * **非对称密钥** ：并非所有区域都支持非对称密钥类型 * **关键政策**：关键政策的更改需要仔细的 IAM 审查 * **信封加密**：数据密钥安全所需的正确实施 * **日志记录** ：启用 CloudTrail 审核所有 KMS API 使用情况

AWS SDK Java V2 Kms

包含技能