在AWS Serverless环境中使用Zip部署方式调用GPG进行文件加密的正确方法

你遇到的错误核心原因很明确：AWS Lambda的默认运行环境里并没有预装GPG二进制工具，gnupg Python库需要调用系统中的gpg可执行文件，找不到它就会抛出这个错误。下面给你两种可靠的解决办法，同时修正你代码里的其他小问题：

方法一：使用Lambda层部署GPG二进制文件 #

Lambda层可以让你共享代码、依赖或二进制文件给多个函数，非常适合添加GPG这类系统工具：

1. 获取适配Lambda环境的GPG二进制
   Lambda的Python运行环境基于Amazon Linux 2，所以你需要在Amazon Linux 2环境（可以用EC2实例或本地Docker运行Amazon Linux 2镜像）中安装GPG，然后提取所需文件：

# 在Amazon Linux 2中执行
yum install -y gnupg2
# 复制gpg二进制到临时目录的bin文件夹
mkdir -p gpg-layer/bin
cp /usr/bin/gpg gpg-layer/bin/
# 复制依赖库到lib文件夹（确保gpg能正常运行）
mkdir -p gpg-layer/lib
ldd /usr/bin/gpg | awk '{print $3}' | grep -v '^$' | xargs -I {} cp {} gpg-layer/lib/

把gpg-layer目录打包成zip（注意zip的根目录是bin和lib，不是gpg-layer文件夹本身）。

2. 创建并关联Lambda层
   在AWS控制台的Lambda服务中，创建新层并上传刚才的zip包，然后在你的函数配置里关联这个层。Lambda会自动把/opt/bin和/opt/lib加入环境变量，让系统能找到GPG。

3. 修正你的Python代码
   现在可以指定GPG的路径，同时还要修正加密部分的参数错误（encrypt_file的第二个参数应该是密钥指纹，不是原始key_data；输出路径要写到/tmp目录，因为Lambda只有这个目录可写）：

import boto3
import gnupg

def lambda_handler(event, context):
    s3 = boto3.resource('s3')
    bucket_name = 'my_bucket'
    # 下载文件到/tmp目录
    s3.meta.client.download_file(bucket_name, 'plain.txt', '/tmp/plain.txt')
    s3.meta.client.download_file(bucket_name, 'public.key', '/tmp/public.key')

    # 初始化GPG，指定二进制路径和临时工作目录
    gpg = gnupg.GPG(gpgbinary='/opt/bin/gpg', homedir='/tmp')
    # 导入公钥并获取指纹
    import_result = gpg.import_keys(open('/tmp/public.key').read())
    recipient_fingerprint = import_result.fingerprints[0]

    # 加密文件到/tmp
    with open('/tmp/plain.txt', 'rb') as a_file:
        gpg.encrypt_file(
            a_file,
            recipients=[recipient_fingerprint],
            output='/tmp/plain.txt.gpg'
        )

    # 可选：把加密后的文件上传回S3
    s3.meta.client.upload_file('/tmp/plain.txt.gpg', bucket_name, 'plain.txt.gpg')

    return 'Encryption completed successfully'

方法二：使用自定义容器镜像部署Lambda #

如果你的函数需要更多自定义环境，用容器镜像会更灵活，可以直接在镜像里预装GPG：

1. 编写Dockerfile
   基于Lambda官方Python镜像，安装GPG和所需依赖：

# 使用Lambda官方Python 3.11镜像
FROM public.ecr.aws/lambda/python:3.11

# 安装GPG并清理缓存
RUN yum install -y gnupg2 && yum clean all

# 安装Python依赖
COPY requirements.txt .
RUN pip install -r requirements.txt --target "${LAMBDA_TASK_ROOT}"

# 复制函数代码到Lambda工作目录
COPY app.py ${LAMBDA_TASK_ROOT}

# 指定Lambda入口函数
CMD ["app.lambda_handler"]

记得在requirements.txt里添加gnupg。

2. 构建并推送镜像到ECR
   按照AWS官方指引，把镜像推送到Amazon ECR，然后用这个镜像创建Lambda函数。这种方式下，GPG已经预装在环境里，代码里不需要指定gpgbinary路径，直接使用默认配置即可。

额外注意事项 #

• Lambda的/tmp目录有512MB的存储空间限制，确保你的文件大小不超过这个值。
• 确保你的Lambda函数IAM角色拥有访问目标S3桶的读写权限。
• 导入公钥后，可以检查import_result的状态，确认公钥导入成功后再执行加密操作。

内容的提问来源于stack exchange，提问作者melamed