如何获取Google Cloud KMS指定密钥的最新版本？

已知密钥名称，想获取其最新版本的最优实现方式是什么？

你最初尝试通过按createTime desc排序来获取最新版本，但发现KMS API仅支持按name排序；当前考虑的全量遍历所有版本再筛选的方案不仅代码不优雅，还存在分页限制需要额外处理。

最优解决方案 #

实际上，Google Cloud KMS的密钥版本名称采用数字递增格式（例如projects/xxx/locations/xxx/keyRings/xxx/cryptoKeys/xxx/cryptoKeyVersions/456），版本号越大，对应的创建时间越晚。因此直接按name desc排序完全可行，字符串排序的结果和版本创建时间的顺序完全一致，只需取排序后的第一个结果即可。

对应的Go代码实现如下：

masterKeyVersionIterator := client.ListCryptoKeyVersions(ctx, &kmspb.ListCryptoKeyVersionsRequest{
    Parent:   masterKeyName,
    PageSize: 1,
    OrderBy:  "name desc", // 版本号越大，name字符串排序越靠后，取第一个就是最新版本
})

latestVersion, err := masterKeyVersionIterator.Next()
if err == iterator.Done {
    // 处理无密钥版本的情况
}
if err != nil {
    log.Fatalln(err)
}
// latestVersion 即为目标密钥的最新版本

方案合理性说明 #

• KMS会自动为每个新创建的密钥版本分配递增的整数版本号，因此name字段的末尾数字是严格递增的，字符串排序的结果等价于按版本创建时间倒序排列。
• 设置PageSize:1仅请求单个结果，无需遍历所有版本，避免了分页问题，同时大幅提升请求效率。

对比原方案的优势 #

• 无需遍历所有密钥版本，性能更优
• 代码简洁，无需处理复杂的分页逻辑
• 直接依赖API排序，逻辑更可靠，不易出错

内容的提问来源于stack exchange，提问作者Aidan