S3 SSE-C加密对象上传后处理：如何向Lambda函数提供密钥？

方案一：用Secrets Manager存储加密后的SSE-C密钥 #

• 上传流程：客户端生成SSE-C密钥，上传对象到S3时指定该密钥；同时用AWS KMS CMK加密这个SSE-C密钥，将加密后的密钥存入Secrets Manager，密钥名称用S3对象的bucket/object-key或ETAG作为唯一标识（确保和对象一一对应）。
• Lambda处理：S3对象创建事件触发Lambda，从事件中提取对象的存储桶和键，根据标识从Secrets Manager取出加密后的密钥，调用KMS解密得到原始SSE-C密钥，再调用GetObject接口并指定该密钥读取对象数据进行处理。
• 安全保障：Secrets Manager默认用KMS加密存储，通过IAM严格控制只有Lambda角色能访问目标密钥和执行KMS解密操作；如果原始对象需要永久归档，密钥需在Secrets Manager中永久保留，可开启审计日志跟踪访问。

方案二：用SSM Parameter Store存储密钥（低成本替代） #

• 逻辑和方案一完全一致，只是将加密后的密钥存储到SSM Parameter Store中。适合需要存储大量密钥的场景，成本比Secrets Manager更低。
• 注意：标准SSM参数最大支持4KB，完全满足AES-256密钥的存储需求；同样通过IAM权限限制只有Lambda能读取和解密参数。

方案三：加密密钥后通过SQS传递 #

• 上传流程：客户端生成SSE-C密钥并上传对象到S3；用KMS CMK加密该密钥，将加密后的密钥字符串和对象的bucket/key信息一起发送到加密的SQS队列。
• Lambda处理：Lambda由SQS队列触发，从消息中解析出加密密钥和对象信息，调用KMS解密得到明文密钥，再访问S3处理对象。
• 关键：SQS需开启服务器端加密（SSE-KMS），确保消息传输和存储过程中密钥密文不会泄露；IAM仅允许Lambda角色接收该队列消息并执行KMS解密。

方案四：切换为信封加密（若允许调整加密逻辑） #

• 如果可以不严格使用SSE-C，改用信封加密更简洁：客户端生成数据密钥，用该密钥加密对象内容；同时用KMS CMK加密数据密钥，将加密后的数据密钥存入对象的元数据（或作为单独的小对象上传）。
• Lambda处理：触发后从对象元数据取出加密的数据密钥，用KMS解密得到原始密钥，再解密对象内容进行处理。
• 优势：密钥和对象绑定，无需额外存储服务，依赖KMS完成密钥管理，安全性更高。

权限配置要点 #

无论采用哪种方案，Lambda角色都需要配置以下核心权限：

• s3:GetObject：允许读取目标S3对象（需确保权限策略中包含对应存储桶和对象路径）
• kms:Decrypt：针对用于加密SSE-C密钥的KMS CMK
• 对应存储服务的访问权限：secretsmanager:GetSecretValue（方案一）、ssm:GetParameter（方案二）或sqs:ReceiveMessage（方案三）

内容的提问来源于stack exchange，提问作者Pat Lee