Amazon Linux 2023下Lambda调用GPG解密报错的解决方法咨询

1. 重新构建包含完整功能的GnuPG Lambda层 #

Lambda默认运行环境的GnuPG多为精简版，你当前仅包含gpg二进制文件的层缺少完整压缩算法支持的依赖。需在Amazon Linux 2023环境下构建包含gnupg2-full的层：

• 启动Amazon Linux 2023容器（模拟Lambda运行环境）：

  docker run -it amazonlinux:2023
  

• 在容器内安装完整版GnuPG：

  dnf install -y gnupg2-full
  

• 创建层目录结构，复制GnuPG二进制文件及所有依赖库：

  mkdir -p /tmp/layer/opt/bin /tmp/layer/opt/lib
  cp /usr/bin/gpg /tmp/layer/opt/bin/
  # 复制所有依赖库到lib目录
  ldd /usr/bin/gpg | awk '{print $3}' | grep -v 'not found' | xargs cp -t /tmp/layer/opt/lib/
  

• 打包层文件：

  cd /tmp/layer && zip -r gnupg-full-layer.zip opt/
  

• 将生成的gnupg-full-layer.zip上传为Lambda层，替换原有的仅含gpg的层。

2. 确认加密文件使用的压缩算法 #

先排查加密文件实际采用的压缩算法，避免针对性缺失：

• 在本地或EC2环境执行以下命令查看压缩算法：

  gpg --list-packets input.gpg
  

• 查找输出中的compression algo字段，比如compression algo: 2对应zlib，3对应bzip2，7对应lzma，8对应zstd。如果是lzma/zstd这类算法，原精简版gpg确实不支持，必须用完整版。

3. 配置Lambda执行环境的库路径 #

如果构建层时依赖库放在/opt/lib，需要确保gpg能找到依赖：

• 在Lambda函数的环境变量中添加：

  LD_LIBRARY_PATH=/opt/lib:$LD_LIBRARY_PATH
  

• 或者在执行gpg命令前先设置：

  export LD_LIBRARY_PATH=/opt/lib:$LD_LIBRARY_PATH && /opt/bin/gpg --decrypt --batch --passphrase "passphrase" -o output.txt input.gpg
  

内容的提问来源于stack exchange，提问作者Andrew Orlov