AWS Encryption SDK的工作方式

本节中的工作流介绍了 AWS Encryption SDK 如何加密数据和解密加密消息。这些工作流使用默认特征描述基本流程。有关定义和使用自定义组件的详细信息，请参阅每种支持的语言实现的 GitHub 存储库。

AWS Encryption SDK 使用信封加密保护您的数据。每条消息都使用唯一的数据密钥进行加密。然后，使用您指定的包装密钥加密数据密钥。为了解密加密消息，AWS Encryption SDK 使用您指定的包装密钥解密至少一个加密数据密钥。然后其可解密加密文字并返回一条明文消息。

需要有关 AWS Encryption SDK 所用术语方面的帮助？ 请参阅 AWS Encryption SDK中的概念。

AWS Encryption SDK 如何加密数据

AWS Encryption SDK 提供了一些方法以加密字符串、字节数组和字节流。有关代码示例，请参阅各个 编程语言 部分的示例主题。

1. 创建指定用于保护您数据的包装密钥的密钥环（或主密钥提供程序）。

2. 将密钥环和明文数据传递给加密方法。建议您传入一个可选的非机密加密上下文。

3. 加密方法要求密钥环提供加密材料。密钥环返回消息的唯一数据加密密钥：一个纯文本数据密钥和一个由每个指定的包装密钥加密的数据密钥的副本。

4. 加密方法使用明文数据密钥加密数据，然后丢弃明文数据密钥。如果您提供加密上下文（AWS Encryption SDK 最佳实践），加密方法会以加密方式将加密上下文绑定到加密的数据。

5. 加密方法返回一条加密消息，其中包含加密的数据、加密的数据密钥和包括加密上下文（如果有）在内的其他元数据。

AWS Encryption SDK 如何解密加密消息

AWS Encryption SDK 提供了解密加密消息并返回明文的方法。有关代码示例，请参阅各个 编程语言 部分的示例主题。

解密加密消息的密钥环（或主密钥提供程序）必须与用于加密消息的密钥环兼容。其中一个包装密钥必须能够解密加密消息中的加密数据密钥。有关与密钥环和主密钥提供程序的兼容性的信息，请参阅 密钥环兼容性。

1. 使用可解密数据的包装密钥创建密钥环或主密钥提供程序。您可以使用与加密方法相同的密钥环或其他密钥环。

2. 将加密消息和密钥环传递给解密方法。

3. 解密方法要求密钥环或主密钥提供程序解密加密消息中的一个加密数据密钥。它传入加密的消息中的信息，包括加密的数据密钥。

4. 密钥环使用其包装密钥以解密一个加密的数据密钥。如果成功，响应则包含明文数据密钥。如果密钥环或主密钥提供程序指定的包装密钥均无法解密加密数据密钥，则解密调用失败。

5. 解密方法使用明文数据密钥解密数据，丢弃明文数据密钥，然后返回明文数据。