AWS Encryption SDK for Go 使用指南

AWS Encryption SDK for Go (aws-encryption-sdk-go) 是一个用于数据加密和解密的客户端库，支持使用AWS KMS、AWS CloudHSM和其他密钥提供程序。

安装

go get github.com/aws/aws-encryption-sdk-go

基本用法

1. 初始化加密客户端

import (
	"github.com/aws/aws-encryption-sdk-go/pkg/client"
	"github.com/aws/aws-encryption-sdk-go/pkg/materials"
	"github.com/aws/aws-encryption-sdk-go/pkg/providers/kms"
)

func getEncryptionClient() (*client.Client, error) {
	// 使用KMS密钥ID初始化密钥提供程序
	kmsKeyID := "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
	kmsProvider, err := kms.New(kmsKeyID)
	if err != nil {
		return nil, err
	}

	// 创建加密材料管理器
	cmm, err := materials.NewDefault(kmsProvider)
	if err != nil {
		return nil, err
	}

	// 创建加密客户端
	encryptionClient := client.NewClient()
	return encryptionClient, nil
}

2. 加密数据

func encryptData(plaintext []byte) ([]byte, error) {
	encryptionClient, err := getEncryptionClient()
	if err != nil {
		return nil, err
	}

	// 加密上下文（可选但推荐）
	encryptionContext := map[string]string{
		"purpose": "test",
		"origin":  "golang-app",
	}

	// 执行加密
	result, err := encryptionClient.Encrypt(&client.EncryptInput{
		Plaintext:         plaintext,
		EncryptionContext: encryptionContext,
	})
	if err != nil {
		return nil, err
	}

	return result.Ciphertext, nil
}

3. 解密数据

func decryptData(ciphertext []byte) ([]byte, error) {
	encryptionClient, err := getEncryptionClient()
	if err != nil {
		return nil, err
	}

	// 执行解密
	result, err := encryptionClient.Decrypt(&client.DecryptInput{
		Ciphertext: ciphertext,
	})
	if err != nil {
		return nil, err
	}

	// 验证加密上下文（可选但推荐）
	expectedContext := map[string]string{
		"purpose": "test",
		"origin":  "golang-app",
	}
	for k, v := range expectedContext {
		if result.EncryptionContext[k] != v {
			return nil, fmt.Errorf("encryption context mismatch for key %s", k)
		}
	}

	return result.Plaintext, nil
}

高级用法

使用多个KMS密钥

func getMultiKeyEncryptionClient() (*client.Client, error) {
	// 多个KMS密钥ID
	kmsKeyIDs := []string{
		"arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
		"arn:aws:kms:us-east-1:111122223333:key/0987zyxw-98zy-76xw-54vu-321098765432",
	}
	
	kmsProvider, err := kms.New(kmsKeyIDs...)
	if err != nil {
		return nil, err
	}

	cmm, err := materials.NewDefault(kmsProvider)
	if err != nil {
		return nil, err
	}

	return client.NewClient(), nil
}

使用数据密钥缓存

import (
	"github.com/aws/aws-encryption-sdk-go/pkg/caching"
)

func getCachingEncryptionClient() (*client.Client, error) {
	kmsKeyID := "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
	kmsProvider, err := kms.New(kmsKeyID)
	if err != nil {
		return nil, err
	}

	// 配置缓存
	cache := caching.NewLocalCryptoMaterialsCache(10000) // 缓存容量
	cmm := materials.NewCaching(kmsProvider, cache)

	return client.NewClient(), nil
}

完整示例

package main

import (
	"fmt"
	"log"

	"github.com/aws/aws-encryption-sdk-go/pkg/client"
	"github.com/aws/aws-encryption-sdk-go/pkg/materials"
	"github.com/aws/aws-encryption-sdk-go/pkg/providers/kms"
)

func main() {
	// 原始数据
	originalData := []byte("这是一些需要加密的敏感数据")

	// 加密
	encrypted, err := encryptData(originalData)
	if err != nil {
		log.Fatalf("加密失败: %v", err)
	}
	fmt.Printf("加密后的数据长度: %d\n", len(encrypted))

	// 解密
	decrypted, err := decryptData(encrypted)
	if err != nil {
		log.Fatalf("解密失败: %v", err)
	}

	fmt.Printf("解密后的数据: %s\n", string(decrypted))
	fmt.Printf("原始数据和解密数据是否一致: %t\n", string(originalData) == string(decrypted))
}

func getEncryptionClient() (*client.Client, error) {
	kmsKeyID := "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab"
	kmsProvider, err := kms.New(kmsKeyID)
	if err != nil {
		return nil, err
	}

	cmm, err := materials.NewDefault(kmsProvider)
	if err != nil {
		return nil, err
	}

	return client.NewClient(), nil
}

func encryptData(plaintext []byte) ([]byte, error) {
	encryptionClient, err := getEncryptionClient()
	if err != nil {
		return nil, err
	}

	encryptionContext := map[string]string{
		"purpose": "demo",
		"app":     "aws-encryption-sdk-go-example",
	}

	result, err := encryptionClient.Encrypt(&client.EncryptInput{
		Plaintext:         plaintext,
		EncryptionContext: encryptionContext,
	})
	if err != nil {
		return nil, err
	}

	return result.Ciphertext, nil
}

func decryptData(ciphertext []byte) ([]byte, error) {
	encryptionClient, err := getEncryptionClient()
	if err != nil {
		return nil, err
	}

	result, err := encryptionClient.Decrypt(&client.DecryptInput{
		Ciphertext: ciphertext,
	})
	if err != nil {
		return nil, err
	}

	// 验证加密上下文
	expectedContext := map[string]string{
		"purpose": "demo",
		"app":     "aws-encryption-sdk-go-example",
	}
	for k, v := range expectedContext {
		if result.EncryptionContext[k] != v {
			return nil, fmt.Errorf("encryption context mismatch for key %s", k)
		}
	}

	return result.Plaintext, nil
}

最佳实践

1. 始终使用加密上下文：加密上下文可以帮助验证数据的完整性，并且不会影响加密强度。

2. 监控KMS配额：大量加密操作可能会达到KMS API配额限制，考虑使用数据密钥缓存。

3. 处理大文件：对于大文件，考虑使用流式处理而不是一次性加载到内存。

4. 密钥轮换：定期轮换KMS密钥以提高安全性。

5. 错误处理：妥善处理所有可能的错误，特别是网络相关的错误。

AWS Encryption SDK for Go 提供了强大的加密功能，同时简化了与AWS KMS的集成。通过合理配置，可以满足大多数应用的数据保护需求。