如何从AWS Encryption CLI查看加密文件所用的初始化向量(IV)？

我来帮你搞定这个问题！AWS Encryption CLI在加密文件时，会把初始化向量(IV)以及其他加密元数据（比如加密上下文、密钥信息）嵌入到加密后的文件头部，我们只需要提取这些元数据就能拿到IV值，具体步骤如下：

步骤1：导出加密元数据 #

使用AWS Encryption CLI的decrypt命令，配合--metadata-output参数导出元数据（不需要实际完成解密操作，只要你有对应KMS密钥的访问权限即可）：

# 将元数据输出到JSON文件
aws-encryption-cli decrypt --input your-encrypted-file --metadata-output encryption-metadata.json --key alias/your-kms-key-alias

如果你不想生成文件，也可以直接把元数据输出到终端：

# 将元数据输出到标准输出
aws-encryption-cli decrypt --input your-encrypted-file --metadata-output - --key alias/your-kms-key-alias

步骤2：从元数据中提取IV #

打开生成的encryption-metadata.json文件（或者查看终端输出），找到initialization_vector字段，它的值就是加密时使用的IV（通常是Base64编码格式，你可以根据Elastic Transcoder的要求直接使用这个值，或者解码为二进制）。

举个JSON片段的例子：

{
  "header": {
    "algorithm_suite": "AES_256_GCM_IV12_TAG16_HKDF_SHA384",
    "initialization_vector": "abcdef1234567890abcdef",
    "key_ids": ["arn:aws:kms:us-east-1:123456789012:key/xxxx-xxxx-xxxx-xxxx"],
    ...
  }
}

这里的initialization_vector就是你需要的具体IV值，可以直接提供给AWS Elastic Transcoder用于解密。

注意事项 #

• 确保你拥有对应KMS密钥的kms:Decrypt权限，否则无法导出元数据。
• AWS Encryption CLI的加密输出格式遵循AWS加密SDK规范，所有必要的解密元数据都内嵌在加密文件中，不需要额外手动存储IV。

内容的提问来源于stack exchange，提问作者Dasmowenator