Terraform配置Lambda环境变量KMS加密解密遇权限错误求排查

核心格式问题：加密内容应为纯值而非键值对JSON #

你猜测的方向是对的——使用data "aws_kms_ciphertext"加密Lambda环境变量时，必须仅加密token的原始值，不能加密包含键值对的完整JSON结构。Lambda环境变量的加密逻辑是针对单个变量值设计的，加密整个JSON会导致KMS无法正确解析密文关联的CMK元数据，进而触发权限或密钥不存在的报错。

其他可能的配置错误点 #

• 区域不匹配：KMS密钥是AWS区域级资源，必须保证你的CMK和Lambda函数处于同一个区域。检查Terraform的provider区域配置、CMK的创建区域、Lambda的部署区域三者是否完全一致。
• CMK密钥策略未授权：很多人只给Lambda执行角色附加了kms:Decrypt的IAM权限，但忽略了CMK本身的密钥策略。需要在CMK的密钥策略中明确允许Lambda执行角色的ARN进行kms:Decrypt操作，否则即使IAM权限到位，CMK也会拒绝访问。
• IAM权限的资源范围错误：确保Lambda执行角色的kms:Decrypt权限是针对目标CMK的ARN配置，而非使用通配符*（通配符可能因AWS的权限边界或CMK策略限制失效）。正确的IAM权限示例：

  {
    "Effect": "Allow",
    "Action": "kms:Decrypt",
    "Resource": "arn:aws:kms:us-east-1:123456789012:key/your-cmk-id"
  }
  

• 密文传递的格式问题：data "aws_kms_ciphertext"生成的ciphertext_blob是base64编码的密文，直接赋值给Lambda环境变量即可，无需额外编码或转义。正确的Terraform配置示例：

  data "aws_kms_ciphertext" "lambda_token" {
    key_id     = "arn:aws:kms:us-east-1:123456789012:key/your-cmk-id"
    plaintext  = "your-raw-token-value" # 仅加密token原始值
  }
  
  resource "aws_lambda_function" "example" {
    function_name = "example-function"
    # 其他必填配置（runtime、handler、filename等）...
    environment {
      variables = {
        ENV_TOKEN = data.aws_kms_ciphertext.lambda_token.ciphertext_blob
      }
    }
    role = aws_iam_role.lambda_exec_role.arn
  }
  

• 代码解密逻辑错误：确保Lambda代码中没有对密文做多余的base64解码（AWS SDK会自动处理ciphertext_blob的编码格式）。Python代码示例：

  import boto3
  import os
  
  def lambda_handler(event, context):
      kms_client = boto3.client('kms')
      encrypted_token = os.environ['ENV_TOKEN']
      decrypt_response = kms_client.decrypt(CiphertextBlob=bytes(encrypted_token, 'utf-8'))
      decrypted_token = decrypt_response['Plaintext'].decode('utf-8')
      # 后续业务逻辑
  

总结修正步骤 #

1. 将aws_kms_ciphertext的plaintext改为纯token值，而非JSON键值对
2. 验证CMK与Lambda的区域完全一致
3. 检查CMK密钥策略是否允许Lambda执行角色进行kms:Decrypt
4. 确认Lambda执行角色的IAM权限正确指向目标CMK的ARN
5. 修正代码中的解密逻辑，避免多余的编码操作

内容的提问来源于stack exchange，提问作者change198