Java用AWS SDK2获取KMS非对称RSA_4096密钥报错求助

是否可以通过AWS SDK获取KMS非对称密钥？ #

可以，但有明确规则限制：

• 非对称CMK的私钥默认无法直接导出，除非创建CMK时勾选“允许导出密钥材料”选项；
• 公钥可直接通过SDK调用getPublicKey接口获取；
• 若需要临时非对称数据密钥对，可调用generateDataKeyPair接口生成，但需满足CMK的配置要求。

InvalidKeyUsageException报错原因 #

你遇到的“无法使用非对称CMK生成数据密钥对”错误，核心是CMK配置或API调用不符合要求，具体分为以下情况：

1. CMK的KeyUsage配置不匹配 #

生成数据密钥对要求CMK的KeyUsage属性必须设置为GENERATE_DATA_KEY_PAIR或GENERATE_DATA_KEY_PAIR_WITHOUT_PLAINTEXT。如果你的CMK创建时KeyUsage设为ENCRYPT_DECRYPT（加解密用途）或SIGN_VERIFY（签名验签用途），调用generateDataKeyPair就会触发该异常。

2. 调用了错误的API方法 #

如果你的目标是获取非对称CMK本身的公钥，应该调用getPublicKey接口，而非generateDataKeyPair。后者的作用是生成由CMK加密保护的临时数据密钥对，并非获取CMK自身的密钥对。

3. 误使用对称CMK生成数据密钥对 #

虽然你明确使用的是RSA_4096非对称密钥，但仍需确认CMK类型：对称CMK不支持生成数据密钥对，若误将对称CMK传入generateDataKeyPair请求，也会抛出该异常。

正确操作示例 #

获取非对称CMK的公钥 #

KmsClient kmsClient = KmsClient.create();

GetPublicKeyRequest request = GetPublicKeyRequest.builder()
        .keyId("你的CMK ARN或ID")
        .build();

GetPublicKeyResponse response = kmsClient.getPublicKey(request);
byte[] publicKeyBytes = response.publicKey().asByteArray();

// 转换为Java PublicKey对象
KeyFactory keyFactory = KeyFactory.getInstance("RSA");
PublicKey publicKey = keyFactory.generatePublic(new X509EncodedKeySpec(publicKeyBytes));

生成数据密钥对（需CMK KeyUsage符合要求） #

KmsClient kmsClient = KmsClient.create();

GenerateDataKeyPairRequest request = GenerateDataKeyPairRequest.builder()
        .keyId("你的CMK ARN或ID")
        .keyPairSpec(KeyPairSpec.RSA_4096)
        .build();

GenerateDataKeyPairResponse response = kmsClient.generateDataKeyPair(request);
// 仅当CMK允许导出时，才能获取明文私钥
byte[] plaintextPrivateKey = response.privateKeyPlaintext().asByteArray();
byte[] encryptedPrivateKey = response.privateKeyCiphertextBlob().asByteArray();
byte[] publicKey = response.publicKey().asByteArray();

内容的提问来源于stack exchange，提问作者Rajat Dobriyal