KMSで暗号化されたS3のデータをLambdaで処理する方法を試してみた

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "S3Read",
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::<BUCKET_NAME>/*"
    },
    {
      "Sid": "S3WriteWithKmsOnly",
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::<BUCKET_NAME>/*"
    },
    {
      "Sid": "KmsForSseKmsFromS3Only",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:GenerateDataKey*"
      ],
      "Resource": "arn:aws:kms:ap-northeast-1:<ACCOUNT_ID>:key/<KMS_KEY_ID>",
      "Condition": {
        "StringEquals": {
          "kms:ViaService": "s3.ap-northeast-1.amazonaws.com"
        },
        "ForAnyValue:StringLike": {
          "kms:EncryptionContext:aws:s3:arn": "arn:aws:s3:::<BUCKET_NAME>/*"
        }
      }
    }
  ]
}

{
	"Version": "2012-10-17",
	"Id": "key-consolepolicy-3",
	"Statement": [
		{
			"Sid": "Enable IAM User Permissions",
			"Effect": "Allow",
			"Principal": {
				"AWS": "arn:aws:iam::<ACCOUNT_ID>:root"
			},
			"Action": "kms:*",
			"Resource": "*"
		},
		{
			"Sid": "AllowLambdaRoleUseOfKey",
			"Effect": "Allow",
			"Principal": {
				"AWS": "arn:aws:iam::<ACCOUNT_ID>:role/<LAMBDA_ROLE_NAME>"
			},
			"Action": [
				"kms:Decrypt",
				"kms:GenerateDataKey*"
			],
			"Resource": "*",
			"Condition": {
				"StringEquals": {
					"kms:ViaService": "s3.ap-northeast-1.amazonaws.com"
				}
			}
		}
	]
}

import json
import boto3
import os

# --- S3 クライアント作成 ---
s3 = boto3.client("s3")

# 環境変数から S3 バケット名と KMS キーARNを取得
BUCKET = os.environ["BUCKET"]
KMS_KEY_ARN = os.environ["KMS_KEY_ARN"]

def lambda_handler(event, context):
    # --- 保存するテスト用データ（固定値） ---
    payload = {"message": "Hello from Lambda with SSE-KMS"}
    # JSON形式に変換し、バイト列にエンコード
    body = json.dumps(payload).encode("utf-8")

    # --- PutObject: S3に暗号化して保存 ---
    s3.put_object(
        Bucket=BUCKET,                      # 対象のバケット
        Key="sample.json",                  # 保存するオブジェクトのキー（ファイル名に相当）
        Body=body,                          # 保存するデータ本体
        ContentType="application/json",     # コンテンツタイプ（JSONを明示）
        ServerSideEncryption="aws:kms",     # サーバーサイド暗号化方式（KMS）を明示
        SSEKMSKeyId=KMS_KEY_ARN,            # 使用するKMSキーARNを指定
        BucketKeyEnabled=True               # 任意: S3 Bucket Keysを有効化（KMSリクエスト削減）
    )

    # --- GetObject: 保存した暗号化オブジェクトを取得 ---
    response = s3.get_object(
        Bucket=BUCKET, 
        Key="sample.json"
    )

    # 取得したデータをデコードして JSON として読み込み
    content = response['Body'].read().decode('utf-8')
    data = json.loads(content)

    # --- Lambdaの戻り値 ---
    return {
        'statusCode': 200,
        'body': json.dumps({
            'message': 'Successfully processed KMS encrypted S3 object',
            'data': data
        })
    }

{
  "statusCode": 200,
  "body": "{\"message\": \"Successfully processed KMS encrypted S3 object\", \"data\": {\"message\": \"Hello from Lambda with SSE-KMS\"}}"
}