无网络连接时绕过AWS KMS API解密调用的标准方法问询

有官方推荐的标准方案，核心是通过*带缓存的加密材料管理器（CMM）*复用已解密的明文数据密钥（DEK），无需对现有加密逻辑做大幅改造。

AWS KMS加密SDK的工作流本身就天然适配这种场景：加密阶段生成的密文DEK会和加密后的业务数据绑定存储，常规解密流程需要先调用KMS API解密密文DEK，再用明文DEK解密业务数据。只要将已解密的明文DEK缓存到本地，后续解密相同密文时优先命中本地缓存，就可以跳过KMS API调用，实现无网络解密。

官方SDK已经封装了CachingCryptoMaterialsManager，不需要从零实现自定义CMM，直接配置缓存规则即可。

配置步骤（以Python SDK为例） #

• 初始化KMS密钥环，对应正常使用的KMS主密钥ARN
• 配置本地缓存的容量、最大有效期：出于安全考虑，建议缓存有效期不超过24小时，容量根据常用的DEK数量设置
• 用官方的缓存CMM封装原有的密钥环，后续加密解密都用这个缓存CMM实例即可

import aws_encryption_sdk
from aws_encryption_sdk.caches.local import LocalCryptoMaterialsCache
from aws_encryption_sdk.keyrings.aws_kms import AwsKmsKeyring
from aws_encryption_sdk.materials_managers.caching import CachingCryptoMaterialsManager

# 初始化KMS密钥环
kms_keyring = AwsKmsKeyring(generator_key_id="arn:aws:kms:区域:账号ID:key/你的主密钥ID")
# 初始化本地缓存，最多存100个DEK条目
local_cache = LocalCryptoMaterialsCache(capacity=100)
# 构造带缓存的CMM，DEK缓存有效期设为1小时
cached_cmm = CachingCryptoMaterialsManager(
    backing_materials_manager=kms_keyring,
    cache=local_cache,
    max_age=3600.0,  # 单位：秒
    max_messages_encrypted=200
)

# 解密时传入cached_cmm，已解密过的DEK会优先命中本地缓存，无网络也可完成解密
plaintext, header = aws_encryption_sdk.decrypt(
    source=待解密密文,
    materials_manager=cached_cmm
)

重要限制：该方案仅支持解密此前在有网络时已经成功解密过的密文，首次解密的密文没有对应的缓存明文DEK，必须调用KMS API才能完成解密，无法绕过网络请求。

• 本地缓存的明文DEK会被SDK自动加密存储，不需要额外处理，但不要在不可信的公共设备上开启该功能，避免设备被破解后密钥泄露
• SDK会自动校验加密上下文（Encryption Context）一致性，不需要额外实现校验逻辑，可有效避免密文篡改攻击
• 不要随意延长缓存有效期，DEK留存时间越长，泄露后的风险范围越大

内容的提问来源于stack exchange，提问作者Kenneth Haagner