如何使用aws-encryption-cli --decrypt解密指定S3加密对象？

当然可以直接指定S3加密对象的存储位置作为输入，你给出的命令思路是对的，但有几个关键细节需要确认和调整，确保解密顺利执行：

核心命令的正确性确认 #

• 你使用的--input s3://XXX/encryptedfile.text是完全支持的，AWS Encryption CLI允许直接从S3读取加密对象，只要当前角色具备两个核心权限：
  • S3对象的读取权限（s3:GetObject）
  • 对应加密密钥的KMS解密权限（kms:Decrypt）
• 不需要手动指定KMS密钥是正确的做法——加密后的文件元数据中已经包含了密钥标识符，CLI会自动读取并使用该密钥，只要你的角色对其有解密权限即可。

需要注意的关键细节 #

1. 加密上下文必须完全匹配

   加密上下文是解密的必要验证条件，如果解密时使用的--encryption-context purpose=test和加密该文件时的上下文不完全一致（包括键值对的顺序、内容），KMS会直接拒绝解密请求。请务必确认加密时使用的上下文和这里完全相同。

2. 路径权限与覆盖风险

   • 确保--metadata-output ~/metadata指定的路径存在且你有写入权限，CLI需要将解密元数据写入该位置，权限不足会导致执行失败。
   • --output .表示解密后的文件会输出到当前工作目录，文件名与原S3对象一致（encryptedfile.text），如果当前目录已有同名文件，会被直接覆盖，执行前请确认。

排错与测试建议 #

如果命令执行报错，可以通过以下步骤排查：

• 先验证基础权限：
  用AWS CLI测试是否能读取S3对象：

  aws s3 cp s3://XXX/encryptedfile.text ./temp-file
  

  再测试KMS解密权限（如果是客户端加密的文件，可提取加密块测试）：

  aws kms decrypt --ciphertext-blob fileb://temp-file --encryption-context purpose=test
  

• 启用详细日志：
  在命令后添加--verbose参数获取详细执行日志，帮助定位问题：

  aws-encryption-cli --decrypt --input s3://XXX/encryptedfile.text --encryption-context purpose=test --metadata-output ~/metadata --output . --verbose
  

补充说明 #

• 如果你的文件是通过AWS Encryption SDK客户端加密的，这个命令完全适用；如果是S3自带的SSE-KMS服务器端加密，其实无需使用该CLI——直接下载文件时AWS会自动完成解密（只要角色有对应KMS权限）。
• CLI会自动使用当前环境的角色凭证，无需额外指定凭证参数，确保你的角色会话是有效的。

内容的提问来源于stack exchange，提问作者ASChakkalakal