如何通过JavaScript版AWS SDK完成AWS KMS身份认证

基于官方Node端KMS加解密示例编写的业务代码本身不需要额外嵌入凭证逻辑，底层依赖的AWS SDK会按照固定优先级自动加载合法凭证，自动完成身份校验和权限验证。

当前参考示例写出的实现代码如下：

import { buildClient, CommitmentPolicy, KmsKeyringNode } from '@aws-crypto/client-node';

const generatorKeyId = 'arn:aws:kms:us-west-2:464646464:alias/EncryptDecrypt';
const keyIds = [];

const keyring = new KmsKeyringNode({ generatorKeyId, keyIds });

console.log(keyring);

const context = {
  stage: 'demo',
  purpose: 'simple demonstration app',
  origin: 'us-west-2',
};

/* Create a string to encrypt */
const cleartext = 'my-test-string';

const { encrypt, decrypt } = buildClient(CommitmentPolicy.REQUIRE_ENCRYPT_REQUIRE_DECRYPT);

const { result } = await encrypt(keyring, cleartext, { encryptionContext: context });
console.log("RESULT", result)

常用凭证配置方式 #

凭证不需要写在业务代码里，根据运行场景选下面任意一种方式配置即可，SDK会自动识别加载：

• 本地开发场景：通过AWS CLI配置
  安装AWS CLI后在终端执行aws configure，按照提示依次输入IAM用户对应的Access Key ID、Secret Access Key、默认区域（和KMS密钥所属区域一致，示例中为us-west-2）、默认输出格式即可。配置完成后凭证会存在本地用户目录下的.aws/credentials文件中，SDK会自动读取。
• 容器/CI/CD场景：通过环境变量配置
  在运行Node.js进程的环境中注入三个标准AWS环境变量即可：
  • AWS_ACCESS_KEY_ID：访问密钥ID
  • AWS_SECRET_ACCESS_KEY：对应的访问密钥
  • AWS_REGION：KMS密钥所在区域，示例填us-west-2
• AWS云上生产环境（EC2/ECS/EKS/Lambda等）
  不需要手动配置永久访问密钥，只需要给运行代码的云服务绑定对应IAM角色，给角色授予目标KMS密钥的相关操作权限，SDK会自动获取服务的临时安全凭证完成鉴权，这种方式安全性最高，避免硬编码密钥带来的泄露风险。

权限校验注意点 #

配置完凭证后，要确保凭证对应的IAM身份（用户/角色）已经被目标KMS密钥的密钥策略授权，至少需要拥有以下KMS操作权限才能完成加解密流程：

• kms:GenerateDataKey（加密流程依赖）
• kms:Encrypt
• kms:Decrypt

注意：不需要在初始化KmsKeyringNode的时候手动传入凭证参数，强行硬编码凭证反而会带来密钥泄露风险，不符合AWS安全最佳实践。

内容的提问来源于stack exchange，提问作者MrsBookik