托管数据密钥

获取数据密钥明文和查询版本的权限

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:ListManagedDataKeyVersions",
        "kms:GetSecretValue",
        "kms:GetManagedDataKey"
      ],
      "Resource": [
        "acs:kms:{regionId}:{aliuid}:secret/kms-datakey!{dataKeyName}",
        "acs:kms:{regionId}:{aliuid}:secret/kms-datakeyversion!{dataKeyName}!*"
      ]
    }
  ]
}

解密数据密钥材料的权限

获取数据密钥明文时，KMS 需要使用加密主密钥解密密钥材料，因此应用还需要对应 CMK 的 Decrypt 权限。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt"
      ],
      "Resource": [
        "acs:kms:{regionId}:{aliuid}:key/{keyId}"
      ]
    }
  ]
}

参数说明

• {regionId}：KMS 实例所在地域 ID，例如 cn-hangzhou。

• {aliuid}：阿里云账号 ID。

• {dataKeyName}：数据密钥名称。Resource 中第一行为主凭据权限，第二行通过通配符 * 授权所有版本凭据。

• {keyId}：加密主密钥的 ID。

加密数据

加密时获取最新版本的数据密钥进行加密，并将版本标识附加在密文头部，便于解密时定位密钥版本。

package main

import (
    "crypto/aes"
    "crypto/cipher"
    cryptorand "crypto/rand"
    "encoding/base64"
    "io"
    "os"

    openapi "github.com/alibabacloud-go/darabonba-openapi/v2/client"
    kmsclient "github.com/alibabacloud-go/kms-20160120/v4/client"
    "github.com/alibabacloud-go/tea/tea"
)

func EncryptWithManagedDataKey(plaintext []byte, dataKeyName string) ([]byte, error) {
    kms, err := kmsclient.NewClient(&openapi.Config{
        AccessKeyId:     tea.String(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")),
        AccessKeySecret: tea.String(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")),
        Endpoint:        tea.String("kms.cn-hangzhou.aliyuncs.com"),
    })
    if err != nil {
        return nil, err
    }

    // 获取最新版本的托管数据密钥明文，也可手动下载密钥明文
    getResp, err := kms.GetManagedDataKey(&kmsclient.GetManagedDataKeyRequest{
        DataKeyName: tea.String(dataKeyName),
        UseLatest:   tea.Bool(true),
    })
    if err != nil {
        return nil, err
    }
    dataKeyVersionId := tea.StringValue(getResp.Body.DataKeyVersionId)
    b64PlainDataKey := tea.StringValue(getResp.Body.Plaintext)
    //base64转码
    plainDataKey, err := base64.StdEncoding.DecodeString(b64PlainDataKey)
    if err != nil {
        return nil, err
    }

    // 使用 AES-GCM 加密数据
    block, err := aes.NewCipher(plainDataKey)
    if err != nil {
        return nil, err
    }
    gcm, err := cipher.NewGCM(block)
    if err != nil {
        return nil, err
    }
    nonce := make([]byte, gcm.NonceSize())
    _, err = io.ReadFull(cryptorand.Reader, nonce)
    if err != nil {
        return nil, err
    }

    ciphertext := gcm.Seal(nonce, nonce, plaintext, nil)
    // 将版本标识（固定 8 字节）和密文拼接，便于解密时定位密钥版本
    output := append([]byte(dataKeyVersionId), ciphertext...)
    return output, nil
}

解密数据

解密时从密文头部解析版本标识，获取对应版本的数据密钥明文进行解密。

package main

import (
    "crypto/aes"
    "crypto/cipher"
    "encoding/base64"
    "fmt"
    "os"

    openapi "github.com/alibabacloud-go/darabonba-openapi/v2/client"
    kmsclient "github.com/alibabacloud-go/kms-20160120/v4/client"
    "github.com/alibabacloud-go/tea/tea"
)

func DecryptWithManagedDataKey(encrypted []byte, dataKeyName string) ([]byte, error) {
    kms, err := kmsclient.NewClient(&openapi.Config{
        AccessKeyId:     tea.String(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_ID")),
        AccessKeySecret: tea.String(os.Getenv("ALIBABA_CLOUD_ACCESS_KEY_SECRET")),
        Endpoint:        tea.String("kms.cn-hangzhou.aliyuncs.com"),
    })
    if err != nil {
        return nil, err
    }

    // 从密文头部解析版本标识（前 8 字节）
    dataKeyVersionId := string(encrypted[:8])
    ciphertext := encrypted[8:]

    // 获取对应版本的托管数据密钥明文
    getResp, err := kms.GetManagedDataKey(&kmsclient.GetManagedDataKeyRequest{
        DataKeyName:      tea.String(dataKeyName),
        DataKeyVersionId: tea.String(dataKeyVersionId),
    })
    if err != nil {
        return nil, err
    }
    b64PlainDataKey := tea.StringValue(getResp.Body.Plaintext)
    plainDataKey, err := base64.StdEncoding.DecodeString(b64PlainDataKey)
    if err != nil {
        return nil, err
    }

    // 使用 AES-GCM 解密数据
    block, err := aes.NewCipher(plainDataKey)
    if err != nil {
        return nil, err
    }
    gcm, err := cipher.NewGCM(block)
    if err != nil {
        return nil, err
    }
    nonceSize := gcm.NonceSize()
    if len(ciphertext) < nonceSize {
        return nil, fmt.Errorf("ciphertext too short")
    }

    nonce, ciphertext := ciphertext[:nonceSize], ciphertext[nonceSize:]
    return gcm.Open(nil, nonce, ciphertext, nil)
}

执行计划删除

1. 在数据密钥页签，选择目标 KMS 实例后，单击目标数据密钥操作列的计划删除。

2. 在对话框中，设置预删除周期（7~30 天，默认 30 天）后，单击确定。

撤销计划删除

预删除周期内，可以随时撤销删除操作，恢复数据密钥的正常状态。

1. 在数据密钥页签，选择目标 KMS 实例后，找到处于计划删除状态的数据密钥。

2. 单击目标数据密钥操作列的撤销删除。

3. 在确认对话框中，单击确定。