Eingangsparameter entschlüsseln in Lambda-Funktion in AWS Codepipeline

Question

Ich habe eine CodePipeline mit einem CodeBuild-Schritt erstellt, die als Ausgabe eine Datei "build.json" mit einer einzelnen Zeile Tag-Informationen erzeugt. Diese Datei ist die Eingabe für einen nächsten Lambda-Schritt in der Codepipeline. Die Lambda-Funktion möchte die Tag-Information lesen und dann etwas damit machen. Deshalb las ich das S3-Objekt mit s3 :: getobject und als Antwort, die ich erhalten:

{ 
"AcceptRanges": "bytes", 
"LastModified": "2017-08-07T00:25:22.000Z", 
"ContentLength": 158, 
"ETag": "\"4444a193ad79ffe0ec0bd51ce7cf297c\"", 
"ContentType": "", 
"ServerSideEncryption": "aws:kms", 
"Metadata": { 
    "codebuild-content-sha256": "fa85881e29d5b68464b078243ac23754189741e244bbf2d3748c02d97885ff51", 
    "codebuild-content-md5": "44444449e8f4b830a487b86e1e94c0" 
}, 
"SSEKMSKeyId": "arn:aws:kms:eu-central-1:813287844011:key/4444444-0db2-4c3c-b24e-20ff7bbe206a", 
"Body": { 
    "type": "Buffer", 
    "data": [ 
     80, 
     75, 
     3,...]}} 

wenn ich den Inhalt verwenden, und senden Sie es an km zum Entschlüsseln wie:

kms.decrypt({ CiphertextBlob: mydata.Metadata["codebuild-content-sha256"] }, function (err, kmsData) { 
if (err) { 
    console.log("ERROR " + err); 
} else { 
    console.log("SUCCESS"); 
} 

ich nur bekommen: ERROR InvalidCiphertextException: null.

Ich habe auch versucht, einige der anderen Werte als EncryptionContext bereitzustellen, hatte aber kein Glück.

Danke.

Answer 1

Ist das Objekt mit einem anderen KMS-Schlüssel als der S3-Serverseitenverschlüsselung verschlüsselt? Nach meinem Verständnis werden die von S3: GetObject zurückgegebenen Daten entschlüsselt, siehe http://docs.aws.amazon.com/AmazonS3/latest/dev/serv-side-encryption.html