将GPG私钥存储至AWS KMS时遇私钥加载失败问题求助

常见原因及修复方案 #

1. GPG私钥格式不符合KMS要求 #

KMS只接受无密码的纯RSA/ECC私钥（PEM或二进制原始格式），但GPG默认导出的私钥是带自身封装格式的，不是KMS需要的原始密钥格式。

操作步骤：

• 导出未加密的二进制原始私钥：

  gpg --export-secret-keys --armor 你的密钥ID | gpg --dearmor > private-key.raw
  

• 或者转成标准PEM格式：

  gpg --export-secret-key 你的密钥ID | openssl pkey -out private-key.pem
  

2. 私钥带密码保护 #

KMS无法加载带密码的密钥材料，必须先移除密码。

操作步骤：

• 进入GPG密钥编辑模式：

  gpg --edit-key 你的密钥ID
  

• 在交互界面输入passwd，按提示删除密码后保存退出。

3. 密钥材料是Base64编码状态 #

KMS要求使用二进制格式的密钥材料，若你之前对私钥做过Base64编码，需先解码。

操作步骤：

base64 -d 编码后的密钥文件.txt > private-key.raw

4. 误将公钥当成私钥导入 #

确认你操作的是私钥，公钥无法作为KMS解密用的密钥材料。

操作步骤：

• 用gpg --list-secret-keys确认导出的是私钥文件，而非公钥。

提前验证格式 #

在导入前先确认私钥格式正确，避免无效操作：

openssl rsa -check -in private-key.pem

如果输出「RSA key ok」，说明格式没问题，可以继续执行KMS加密密钥材料的步骤。

内容的提问来源于stack exchange，提问作者Jacob Kearney