AWS中S3加密为何需kms:GenerateDataKey而非kms:encrypt权限？

核心原因在于S3服务器端加密（SSE-KMS）的工作机制：当你通过S3上传并启用SSE-KMS加密时，是S3服务代表你调用KMS生成数据密钥，而非直接对文件内容执行加密操作。

具体逻辑说明： #

• SSE-KMS模式下，S3会向KMS发起GenerateDataKey请求，生成一对数据密钥：明文密钥用来加密上传的文件内容，加密后的密钥则存储在S3对象的元数据中——后续解密时，需要用KMS主密钥解密这个加密版数据密钥，才能拿到明文密钥还原文件内容。
• 你之前对kms:Encrypt的误解，是混淆了客户端加密和服务器端加密场景：kms:Encrypt仅在你本地加密数据后上传S3，或者直接加密≤4KB的极小数据时才会用到，但SSE-KMS是由服务器端完成全流程加密，无论文件大小，都会走生成数据密钥的步骤，和文档里提到的4KB场景完全是两回事。

测试对应验证： #

你通过IAM用户和Lambda角色的测试结果完全匹配这个机制：

• 无效密钥策略（仅允许kms:Encrypt）：

{
            ...

            "Action": [
                "kms:Encrypt"
            ],
            "Resource": "*"
        },

因为S3无法调用GenerateDataKey生成所需的数据密钥，导致上传流程中断。

• 有效密钥策略（允许kms:GenerateDataKey）：

{
            ...

            "Action": [
                "kms:GenerateDataKey"
            ],
            "Resource": "*"
        },

S3能正常完成数据密钥的生成与使用，加密上传流程顺利完成。

你的Lambda测试代码： #

response = client.put_object(
    Body='filetoupload',
    Bucket='kms-key-test',
    Key=file_name,
)

这段代码如果是基于SSE-KMS配置上传（桶或对象层面开启），必然触发KMS的GenerateDataKey调用，所以必须配置对应权限。

内容的提问来源于stack exchange，提问作者건양대배경석 7655