Todos os produtos
Search

Este produto

    Key Management Service:Decrypt

    Central de documentação

    Key Management Service:Decrypt

    Última atualização: Oct 27, 2026

    Descriptografa o texto cifrado.

    Descrição da operação

    Precauções

    • Para obter detalhes sobre a política de acesso necessária para que um usuário do Resource Access Management (RAM) ou uma função do RAM invoque esta operação de API, consulte Controle de acesso.

    • Você pode invocar esta operação de API por meio de um gateway compartilhado ou um gateway dedicado. Para obter mais informações, consulte Alibaba Cloud SDK.

      • Gateway compartilhado: Acesse o KMS pela rede pública ou por meio de um endpoint de VPC. Você deve ativar o acesso à rede pública. Para obter mais informações, consulte Chaves de acesso em uma instância do KMS pela rede pública.

      • Gateway dedicado: Acesse o KMS por meio do endpoint privado do KMS (<YOUR_KMS_INSTANCE_ID>.cryptoservice.kms.aliyuncs.com).

    Limite de taxa

    • Chamadas por meio de um gateway compartilhado: O limite de consultas por segundo (QPS) por usuário para esta operação de API é de 1.000. Se o limite for excedido, as chamadas de API serão limitadas, o que pode afetar seus negócios. Faça chamadas de API em uma taxa razoável.

    • Chamadas por meio de um gateway dedicado: O limite de QPS por usuário para esta operação de API depende das especificações de desempenho de computação da sua instância do KMS. Para obter mais informações, consulte Dados de desempenho.

    Experimente agora

    Experimente esta API no OpenAPI Explorer, sem necessidade de assinatura manual. Chamadas bem-sucedidas geram automaticamente código SDK correspondente aos seus parâmetros. Faça o download com segurança de credenciais integrada para uso local.

    Testar

    Autorização RAM

    A tabela abaixo descreve a autorização necessária para chamar esta API. Você pode defini-la em uma política do Resource Access Management (RAM). As colunas da tabela estão detalhadas abaixo:

    • Ação: As ações que podem ser usadas no elemento Action das instruções de política de permissão do RAM para conceder permissões para executar a operação.

    • API: A API que você pode chamar para executar a ação.

    • Nível de acesso: O nível de acesso predefinido concedido para cada API. Valores válidos: create, list, get, update e delete.

    • Tipo de recurso: O tipo de recurso que suporta autorização para executar a ação. Indica se a ação suporta permissão em nível de recurso. O recurso especificado deve ser compatível com a ação. Caso contrário, a política será ineficaz.

      • Para APIs com permissões em nível de recurso, os tipos de recursos obrigatórios são marcados com um asterisco (*). Especifique o Nome de Recurso Alibaba Cloud (ARN) correspondente no elemento Resource da política.

      • Para APIs sem permissões em nível de recurso, é exibido como Todos os Recursos. Use um asterisco (*) no elemento Resource da política.

    • Chave de condição: As chaves de condição definidas pelo serviço. A chave permite controle granular, aplicando-se somente a ações ou a ações associadas a recursos específicos. Além das chaves de condição específicas do serviço, o Alibaba Cloud fornece um conjunto de chaves de condição comuns aplicáveis a todos os serviços compatíveis com RAM.

    • Ação dependente: As ações dependentes necessárias para executar a ação. Para concluir a ação, o usuário RAM ou a função RAM deve ter permissões para executar todas as ações dependentes.

    Ação

    Nível de acesso

    Tipo de recurso

    Chave de condição

    Ação dependente

    kms:Decrypt

    get

    *Chave.

    acs:kms:{#regionId}:{#accountId}:key/{#KeyId}
    • kms:tag
    		 Nenhuma

    Parâmetros da solicitação

    Parâmetro

    Tipo

    Obrigatório

    Descrição

    Exemplo
    CiphertextBlob

    string

    Sim

    O texto cifrado a ser descriptografado.
    O texto cifrado pode ser gerado pelas seguintes operações de API:

    DZhOWVmZDktM2QxNi00ODk0LWJkNGYtMWZjNDNmM2YyYWJmaaSl+TztSIMe43nbTH/Z1Wr4XfLftKhAciUmDQXuMRl4WTvKhxjMThjK****
    EncryptionContext

    object

    Não

    A string JSON de pares chave-valor.

    Nota

    Se você especificar EncryptionContext ao chamar GenerateDataKey, Encrypt ou GenerateDataKeyWithoutPlaintext para criptografia, deverá fornecer o mesmo parâmetro para descriptografia. Para obter mais informações, consulte Descrição do EncryptionContext.

    {"Example":"Example"}
    DryRun

    string

    Não

    Especifica se o modo dry run deve ser ativado. Valores válidos:

    • true: Ativado.

    • false: Desativado. Este é o valor padrão.

    O modo dry run é usado para testar chamadas de API, verificar se você tem as permissões nos recursos correspondentes e verificar se os parâmetros da solicitação estão configurados corretamente. Após a ativação do modo dry run, o KMS sempre retorna uma falha e informa a causa da falha. As causas incluem:

    • DryRunOperationError: A solicitação seria bem-sucedida se o parâmetro DryRun não estivesse configurado.

    • ValidationError: O parâmetro especificado na solicitação é inválido.

    • AccessDeniedError: Você não tem as permissões para realizar a operação no recurso do KMS.

    false
    Recipient

    string

    Não

    As informações de atestação do ambiente confiável.

    • AttestationDocument // A codificação Base64 do documento de atestação do ambiente confiável, que inclui informações como medições de ambiente, assinaturas e certificados.

    • KeyEncryptionAlgorithm // O algoritmo de criptografia de chave. Atualmente, apenas RSAES_OAEP_SHA_256 é suportado.

    Estrutura do conteúdo do AttestationDocument:

    • quoted

    • extendUserData // A codificação Base64 dos dados de extensão do usuário. A estrutura decodificada é a seguinte:

      • aud // Valor fixo "kms"

      • iat // Hora de emissão (carimbo de data/hora UNIX em segundos)

      • exp // Hora de expiração (carimbo de data/hora UNIX em segundos)

      • pubKey // Chave pública RSA2048 (codificação Base64 do formato SPKI)

      • digestAlg // Algoritmo de resumo. Atualmente, apenas "sha256" é suportado.

      • ver // Versão do protocolo. Atualmente, apenas "v1" é suportado.

      • signature // Assinatura do relatório, usada para verificar a integridade de quoted e extendUserData.

    • pcrInfo:

      • pcrValues // Medições do Platform Configuration Register (PCR)

      • pcrSelectionOut // Informações de seleção de PCR

      • pcrUpdateCounter // Contagem de atualizações de PCR

    • cert // Certificado de atestação da plataforma, usado para verificar a validade da assinatura.
      Importante Este parâmetro só entra em vigor quando você invoca a operação de API por meio de um gateway dedicado.

    { "AttestationDocument":"base64-encoded-attestion-document", "KeyEncryptionAlgorithm":"RSAES_OAEP_SHA_256" }

    Elementos de resposta

    Elemento

    Tipo

    Descrição

    Exemplo

    object

    KeyVersionId

    string

    O identificador da versão da chave que é usada para descriptografar o texto cifrado sob a chave mestra.

    2ab1a983-7072-4bbc-a582-584b5bd8****
    KeyId

    string

    O ID da chave mestra usada para descriptografar o texto cifrado. O identificador globalmente exclusivo da chave mestra.

    202b9877-5a25-46e3-a763-e20791b5****
    RequestId

    string

    O ID da solicitação. O ID é um identificador exclusivo gerado pela Alibaba Cloud para a solicitação e pode ser usado para solução de problemas.

    207596a2-36d3-4840-b1bd-f87044699bd7
    Plaintext

    string

    O texto simples descriptografado.

    tRYXuCwgja12xxO1N/gZERDDCLw9doZEQiPDk/Bv****
    CiphertextForRecipient

    string

    Quando Recipient é especificado, a chave de dados de texto simples é criptografada usando a pubkey no extendUserData de Recipient, e a codificação Base64 é aplicada.

    Importante Este parâmetro só entra em vigor quando você invoca a operação de API por meio de um gateway dedicado.

    NIahY6pgjK4ZMP2R0EmsmBqntrv0AI2rcDyU7Su6uOT9Le7EOvlCpjHJfr9z3M0vkfulQoyuETmKSpYDfixE3auE4MwxloT6D9Gfsk6hm5FV2iAxL//Ms2kLv6K4z6yGi7lKm2yjX4***==

    Exemplos

    Resposta de sucesso

    JSON formato

    {
  "KeyVersionId": "2ab1a983-7072-4bbc-a582-584b5bd8****",
  "KeyId": "202b9877-5a25-46e3-a763-e20791b5****",
  "RequestId": "207596a2-36d3-4840-b1bd-f87044699bd7",
  "Plaintext": "tRYXuCwgja12xxO1N/gZERDDCLw9doZEQiPDk/Bv****",
  "CiphertextForRecipient": "NIahY6pgjK4ZMP2R0EmsmBqntrv0AI2rcDyU7Su6uOT9Le7EOvlCpjHJfr9z3M0vkfulQoyuETmKSpYDfixE3auE4MwxloT6D9Gfsk6hm5FV2iAxL//Ms2kLv6K4z6yGi7lKm2yjX4***==\n"
}

    Códigos de erro

    Código de status HTTP

    Código de erro

    Mensagem de erro

    Descrição
    400 UnsupportedOperation This action is not supported.
    404 Forbidden.AliasNotFound The specified Alias is not found.
    404 Forbidden.KeyNotFound The specified Key is not found.
    409 Rejected.Disabled The request was rejected because the key state is Disabled.
    409 Rejected.PendingDeletion The request was rejected because the key state is PendingDeletion.
    409 Rejected.Unavailable The request was rejected because the key state is Unavailable.

    Consulte Códigos de Erro para uma lista completa.

    Notas de versão

    Consulte Notas de Versão para uma lista completa.