问从KMS CipherTextBlob获取KMS密钥

EN

可以，您可以使用aws kms decrypt (向其传递密文和地域)来获取密钥id，它不需要密钥id来执行解密。用于加密的密钥的信息是密文的一部分，因此，KMS将能够获得这些信息，并向您返回“明文”和"KeyId“。

恐怕你做不到这件事。亚马逊应用编程接口使用客户主密钥(CMK)来加密数据，该密钥永远不会离开encrypt。除非您将密钥ID保存在某个地方(这不是一个很好的做法)，否则您将无法从加密文件中获取它。

如果您拥有对AWS控制台的管理访问权限，以下几项可能会有所帮助：

从字面上看，

• 尝试使用您拥有的主密钥调用aws kms decrypt (假设它们不是很多，并且原始密钥没有在您的CloudTrail日志中被deleted);
• looking )，如果您粗略地了解使用它的时间(假设您有CloudTrail enabled on your KMS operations).

)，您也许能够找出使用了哪个密钥

加密的blob包含解密它所需的密钥信息。没有办法弄清楚加密的blob是用什么密钥加密的，作为加密值的一部分。如果您不确定使用了哪个密钥，则必须滚动该值并重新加密，或者开始尝试使用一次只能访问一个密钥的权限进行解密。