AWS Encryption SDK 对于。 NET例子

首先实例化材料提供者库 AWS Encryption SDK 和材料提供者库。您将使用中的方法 AWS Encryption SDK 来加密和解密数据。您将使用材料提供程序库中的方法创建密钥环，密钥环指定哪些密钥保护您的数据。

在版本 3 中，实例化材料提供者库 AWS Encryption SDK 和材质提供者库的方式有所不同。 x 和 4。 for AWS Encryption SDK 的 x。 NET。两个版本 3 的以下所有步骤都相同。 x 和 4。 for AWS Encryption SDK 的 x。 NET。

每个密钥环创建方法均有对应的输入对象类。例如，要为 CreateAwsKmsKeyring() 方法创建输入对象，请创建 CreateAwsKmsKeyringInput 类的实例。

尽管此密钥环的输入未指定生成器密钥，但KmsKeyId参数指定的单个KMS密钥就是生成器密钥。其生成并加密进行数据加密的数据密钥。

这个输入对象需要一个 AWS KMS 客户端来 AWS 区域 获取KMS密钥。要创建 AWS KMS 客户端，请在中实例化该AmazonKeyManagementServiceClient类。 AWS SDK for .NET调用不带参数的 AmazonKeyManagementServiceClient() 构造函数会创建具有默认值的客户端。

在用于使用 for 进行加密的密 AWS KMS 钥环中。 AWS Encryption SDK NET，您可以使用KMS密钥 ID、密钥ARN、别名或别名来识别密钥ARN。在用于解密的密 AWS KMS 钥环中，必须使用密钥ARN来识别每个密钥。KMS如果您计划重复使用加密密钥环进行解密，请为所有密钥使用密钥ARN标识符。KMS

string keyArn = "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab";

// Instantiate the keyring input object
var kmsKeyringInput = new CreateAwsKmsKeyringInput
{    
    KmsClient = new AmazonKeyManagementServiceClient(),
    KmsKeyId = keyArn
};

要创建密钥环，请使用密钥环输入对象调用密钥环方法。此示例使用CreateAwsKmsKeyring()方法，该方法只需要一个KMS密钥。

var keyring = materialProviders.CreateAwsKmsKeyring(kmsKeyringInput);

加密上下文是可选的，但强烈建议在中进行加密操作。 AWS Encryption SDK您可以定义一个或多个非机密键值对。

// Define the encryption context
var encryptionContext = new Dictionary<string, string>()
{
    {"purpose", "test"}
};

在调用 Encrypt() 方法之前，请创建 EncryptInput 类实例。

string plaintext = File.ReadAllText("C:\\Documents\\CryptoTest\\TestFile.txt");
            
// Define the encrypt input
var encryptInput = new EncryptInput
{
    Plaintext = plaintext,
    Keyring = keyring,
    EncryptionContext = encryptionContext
};

使用Encrypt()的方法，使用您定义 AWS Encryption SDK 的密钥环对纯文本进行加密。

Encrypt() 方法返回的 EncryptOutput 包含用于获取加密消息 (Ciphertext)、加密上下文和算法套件的方法。

var encryptOutput = encryptionSdk.Encrypt(encryptInput);

for 中的Decrypt() AWS Encryption SDK 方法。 NET取EncryptOutput实例Ciphertext的成员。

EncryptOutput 对象的 Ciphertext 成员是加密消息，其为便携式对象，其中包括加密数据、加密数据密钥和元数据，包括加密上下文。您可以长时间安全存储加密消息，也可以将其提交给 Decrypt() 方法以便恢复明文。

var encryptedMessage = encryptOutput.Ciphertext;

// Instantiate the AWS Encryption SDK and material providers
var esdk =  new ESDK(new AwsEncryptionSdkConfig());
var mpl = new MaterialProviders(new MaterialProvidersConfig());

要为密钥环方法指定参数，请创建输入对象。for 中的每种密钥环方法 AWS Encryption SDK 。 NET有相应的输入对象。由于此示例使用 CreateAwsKmsKeyring() 方法创建密钥环，因此会为输入实例化 CreateAwsKmsKeyringInput 类。

在解密密钥环中，必须使用密钥来识别密钥ARN。KMS

string keyArn = "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab";

// Instantiate the keyring input object
var kmsKeyringInput = new CreateAwsKmsKeyringInput
{
    KmsClient = new AmazonKeyManagementServiceClient(),
    KmsKeyId = keyArn
};

要创建解密密钥环，此示例使用 CreateAwsKmsKeyring() 方法和密钥环输入对象。

var keyring = materialProviders.CreateAwsKmsKeyring(kmsKeyringInput);

要为 Decrypt() 方法创建输入对象，请实例化 DecryptInput 类。

DecryptInput() 构造函数的 Ciphertext 参数需要 Encrypt() 方法返回的 EncryptOutput 对象 Ciphertext 的成员。Ciphertext 属性表示加密消息，其中包括加密数据、加密数据密钥和 AWS Encryption SDK 解密消息所需元数据。

使用版本 4。 for AWS Encryption SDK 的 x。 NET，您可以使用可选EncryptionContext参数在Decrypt()方法中指定您的加密上下文。

使用 EncryptionContext 参数验证加密时使用的加密上下文是否包含在用于解密加密文字的加密上下文中。如果您使用的是带签名的算法套件（例如默认算法套件），则会将成对 AWS Encryption SDK 添加到加密上下文中，包括数字签名。

var encryptedMessage = encryptOutput.Ciphertext;

var decryptInput = new DecryptInput
{
    Ciphertext = encryptedMessage,
    Keyring = keyring,
    EncryptionContext = encryptionContext // OPTIONAL
};

var decryptOutput = encryptionSdk.Decrypt(decryptInput);

版本 3 Decrypt() 的方法。 for AWS Encryption SDK 的 x。 NET不采用加密上下文。其会从加密消息的元数据中获取加密上下文值。但是，在返回或使用明文之前，最佳做法是验证用于解密加密文字的加密上下文是否包含您在加密时提供的加密上下文。

验证加密时使用的加密上下文是否包含在用于解密加密文字的加密上下文中。如果您使用的是带签名的算法套件（例如默认算法套件），则会将成对 AWS Encryption SDK 添加到加密上下文中，包括数字签名。

// Verify the encryption context
string contextKey = "purpose";
string contextValue = "test";

if (!decryptOutput.EncryptionContext.TryGetValue(contextKey, out var decryptContextValue)
    || !decryptContextValue.Equals(contextValue))
{
    throw new Exception("Encryption context does not match expected values");
}

// Instantiate the AWS Encryption SDK and material providers
var esdk =  new ESDK(new AwsEncryptionSdkConfig());
var mpl = new MaterialProviders(new MaterialProvidersConfig());

要为密钥环方法指定参数，请创建输入对象。for 中的每种密钥环方法 AWS Encryption SDK 。 NET有相应的输入对象。由于此示例使用 CreateAwsKmsDiscoveryKeyring() 方法创建密钥环，因此会为输入实例化 CreateAwsKmsDiscoveryKeyringInput 类。

List<string> accounts = new List<string> { "111122223333" };

var discoveryKeyringInput = new CreateAwsKmsDiscoveryKeyringInput
{
    KmsClient = new AmazonKeyManagementServiceClient(),
    DiscoveryFilter = new DiscoveryFilter()
    {
        AccountIds = accounts,
        Partition = "aws"
    }
};

要创建解密密钥环，此示例使用 CreateAwsKmsDiscoveryKeyring() 方法和密钥环输入对象。

var discoveryKeyring = materialProviders.CreateAwsKmsDiscoveryKeyring(discoveryKeyringInput);

要为 Decrypt() 方法创建输入对象，请实例化 DecryptInput 类。Ciphertext 参数的值为 Encrypt() 方法返回的 EncryptOutput 对象的 Ciphertext 成员。

使用版本 4。 for AWS Encryption SDK 的 x。 NET，您可以使用可选EncryptionContext参数在Decrypt()方法中指定您的加密上下文。

使用 EncryptionContext 参数验证加密时使用的加密上下文是否包含在用于解密加密文字的加密上下文中。如果您使用的是带签名的算法套件（例如默认算法套件），则会将成对 AWS Encryption SDK 添加到加密上下文中，包括数字签名。

var ciphertext = encryptOutput.Ciphertext;

var decryptInput = new DecryptInput
{
    Ciphertext = ciphertext,
    Keyring = discoveryKeyring,
    EncryptionContext = encryptionContext // OPTIONAL
    
};
var decryptOutput = encryptionSdk.Decrypt(decryptInput);

版本 3 Decrypt() 的方法。 for AWS Encryption SDK 的 x。 NET不开启加密上下文Decrypt()。其会从加密消息的元数据中获取加密上下文值。但是，在返回或使用明文之前，最佳做法是验证用于解密加密文字的加密上下文是否包含您在加密时提供的加密上下文。

验证加密时使用的加密上下文是否包含在曾用于解密加密文字的加密上下文中。如果您使用的是带签名的算法套件（例如默认算法套件），则会将成对 AWS Encryption SDK 添加到加密上下文中，包括数字签名。

// Verify the encryption context
string contextKey = "purpose";
string contextValue = "test";

if (!decryptOutput.EncryptionContext.TryGetValue(contextKey, out var decryptContextValue)
    || !decryptContextValue.Equals(contextValue))
{
    throw new Exception("Encryption context does not match expected values");
}