Redshift中解密静态数据及处理DynamoDB导入KMS加密列的实现方案咨询

嘿，这个需求其实是可以通过Redshift的内置函数结合IAM权限配置来实现的，我来给你拆解下具体步骤：

一、先搞定Redshift的KMS访问权限 #

要让Redshift能解密KMS加密的数据，首先得给Redshift集群关联的IAM角色加上对应的解密权限：

• 找到你的Redshift集群使用的IAM角色，给它添加一条KMS权限策略，示例如下：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "kms:Decrypt",
            "Resource": "arn:aws:kms:你的区域:你的账号ID:key/你的密钥ID"
        }
    ]
}

• 同时别忘了检查KMS密钥本身的密钥策略，确保它允许这个Redshift IAM角色执行kms:Decrypt操作——毕竟KMS的权限是IAM策略和密钥策略双重控制的。

二、解密加密列的两种场景处理 #

根据你的数据所处的阶段，分两种情况来操作：

场景1：加密数据已经导入到Redshift临时表，要解密到新表 #

假设你已经把DynamoDB的数据导入到了临时表temp_dynamo_data，加密列是encrypted_sensitive_col（如果DynamoDB里存的是base64编码的加密字符串，得先解码成二进制），现在要生成解密后的新表decrypted_redshift_table，可以用这条SQL：

CREATE TABLE decrypted_redshift_table AS
SELECT
    -- 保留其他不需要解密的列
    col1, col2, col3,
    -- 分两种情况处理加密列：
    -- 情况A：加密列是base64编码的字符串
    kms_decrypt(decode(encrypted_sensitive_col, 'base64'), 'arn:aws:kms:你的区域:你的账号ID:key/你的密钥ID')::varchar AS decrypted_sensitive_col
    -- 情况B：加密列是直接存储的二进制（bytea类型），直接用下面这行替换上面的
    -- kms_decrypt(encrypted_sensitive_col, 'arn:aws:kms:你的区域:你的账号ID:key/你的密钥ID')::varchar AS decrypted_sensitive_col
FROM temp_dynamo_data;

这里的::varchar是把解密后的二进制数据转换成字符串类型，你可以根据明文的原始类型调整（比如::int、::timestamp等）。

场景2：直接从DynamoDB导入时解密，一步到位生成目标表 #

如果你还没把数据导入Redshift，想直接在COPY的时候完成解密，可以用COPY命令的列映射功能，示例如下：

COPY decrypted_redshift_table
FROM 'dynamodb://你的DynamoDB表名'
IAM_ROLE 'arn:aws:iam::你的账号ID:role/你的RedshiftIAM角色'
FORMAT AS DYNAMODB
COLUMNS '
    col1, col2, col3,
    encrypted_sensitive_col AS decrypted_sensitive_col kms_decrypt(decode(encrypted_sensitive_col, ''base64''), ''arn:aws:kms:你的区域:你的账号ID:key/你的密钥ID'')::varchar
';

注意这里的引号要转义（用两个单引号''），同样如果加密列是二进制类型，去掉decode部分即可。

三、几个关键注意事项 #

• 加密列的格式一定要对应：如果DynamoDB里存的是base64字符串，必须先解码成二进制才能用kms_decrypt，否则会抛出解密失败的错误。
• 解密后的结果默认是bytea类型，一定要转换成你需要的明文数据类型，不然查询出来的是二进制乱码。
• 如果数据量特别大，建议分批处理，比如用WHERE子句拆分数据，避免单次查询占用过多资源。

备注：内容来源于stack exchange，提问作者user21872554