S3双加密文件加载到Snowflake的解密逻辑及传输加密问题咨询

1. 自动摄入过程的传输中数据加密状态 #

Snowflake与AWS S3之间的所有官方数据交互默认走TLS 1.2及以上版本的加密传输通道，无论存储侧加密配置如何，传输链路中的所有数据全程处于加密状态。
自动摄入（包含Snowpipe自动拉取、手动执行COPY INTO命令）的全传输阶段不会出现明文数据，加密数据只有进入Snowflake内存计算节点后才会执行解密操作。

2. 外部阶段配置对应KMS密钥后的解密逻辑 #

你描述的双重加密场景包含两层加密：S3存储层默认的SSE-S3加密、上传前自定义的KMS客户端加密，配置指定KMS密钥后的工作逻辑如下：

• S3桶的SSE-S3加密是AWS侧透明加密，合法身份请求S3对象时，AWS会自动解密该层加密再返回数据，该过程对Snowflake无感知，不需要额外配置。
• 外部阶段配置encryption = (type = 'AWS_SSE_KMS' kms_key_id = 'xxxx-yyyy')后，只要Snowflake访问S3所用的IAM角色拥有该KMS密钥的kms:Decrypt权限，Snowflake会自动调用AWS KMS接口解密你上传前预加的KMS加密层，得到明文数据。
• 解密后的明文数据会按照Snowflake默认的存储加密规则（全量落盘数据AES-256加密）写入目标表，后续查询该表时，Snowflake会自动处理自身存储层的加密解密，直接返回明文查询结果，不需要额外操作。

注意：如果Snowflake所用的IAM角色缺少对应KMS密钥的解密权限，数据加载作业会直接报错终止。

内容的提问来源于stack exchange，提问作者Syamjith