Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
In CloudTrail der Konsole erstellte Standard-KMS-Schlüsselrichtlinie
Wenn Sie eine AWS KMS key in der CloudTrail Konsole erstellen, werden die folgenden Richtlinien automatisch für Sie erstellt. Die Richtlinie gewährt die folgenden Berechtigungen:
-
Ermöglicht AWS-Konto (Stamm-) Berechtigungen für den KMS-Schlüssel.
-
Ermöglicht CloudTrail das Verschlüsseln von Protokolldateien und Digest-Dateien unter dem KMS-Schlüssel und die Beschreibung des KMS-Schlüssels.
-
Ermöglicht allen Benutzern in den angegebenen Konten das Entschlüsseln von Protokoll- und Digest-Dateien.
-
Ermöglicht allen Benutzern in dem angegebenen Konto das Erstellen eines KMS-Alias für den KMS-Schlüssel.
-
Aktiviert die kontoübergreifende Protokollentschlüsselung für die Konto-ID des Kontos, das den Trail erstellt hat.
Standardmäßige KMS-Schlüsselrichtlinie für Trails
Im Folgenden finden Sie die Standardrichtlinie, die für eine erstellt wurde AWS KMS key , die Sie mit einem Trail verwenden.
Die Richtlinie enthält eine Anweisung, die es verschiedenen Konten ermöglicht, Protokolldateien und Digest-Dateien mit dem KMS-Schlüssel zu entschlüsseln.
- JSON
-
-
{
"Version":"2012-10-17",
"Id": "Key policy created by CloudTrail",
"Statement": [
{
"Sid": "Enable IAM user permissions",
"Effect": "Allow",
"Principal": {
"AWS": [
"arn:aws:iam::111111111111:root",
"arn:aws:iam::111111111111:user/username"
]
},
"Action": "kms:*",
"Resource": "*"
},
{
"Sid": "Allow CloudTrail to encrypt logs",
"Effect": "Allow",
"Principal": {
"Service": "cloudtrail.amazonaws.com"
},
"Action": "kms:GenerateDataKey*",
"Resource": "*",
"Condition": {
"StringEquals": {
"aws:SourceArn": "arn:aws:cloudtrail:us-east-1:111111111111:trail/trail-name"
},
"StringLike": {
"kms:EncryptionContext:aws:cloudtrail:arn": "arn:aws:cloudtrail:*:111111111111:trail/*"
}
}
},
{
"Sid": "Allow CloudTrail to describe key",
"Effect": "Allow",
"Principal": {
"Service": "cloudtrail.amazonaws.com"
},
"Action": "kms:DescribeKey",
"Resource": "*"
},
{
"Sid": "Allow principals in the account to decrypt log files",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": [
"kms:Decrypt",
"kms:ReEncryptFrom"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"kms:CallerAccount": "111111111111"
},
"StringLike": {
"kms:EncryptionContext:aws:cloudtrail:arn": "arn:aws:cloudtrail:*:111111111111:trail/*"
}
}
},
{
"Sid": "Enable cross account log decryption",
"Effect": "Allow",
"Principal": {
"AWS": "*"
},
"Action": [
"kms:Decrypt",
"kms:ReEncryptFrom"
],
"Resource": "*",
"Condition": {
"StringEquals": {
"kms:CallerAccount": "111111111111"
},
"StringLike": {
"kms:EncryptionContext:aws:cloudtrail:arn": "arn:aws:cloudtrail:*:111111111111:trail/*"
}
}
}
]
}
Standard-KMS-Schlüsselrichtlinie für CloudTrail Lake-Event-Datenspeicher
Im Folgenden finden Sie die Standardrichtlinie, die für eine erstellt wurde und AWS KMS key die Sie mit einem Event-Datenspeicher in CloudTrail Lake verwenden.
- JSON
-
-
{
"Version":"2012-10-17",
"Id": "Key policy created by CloudTrail",
"Statement": [
{
"Sid": "The key created by CloudTrail to encrypt event data stores. Created ${new Date().toUTCString()}",
"Effect": "Allow",
"Principal": {
"Service": "cloudtrail.amazonaws.com"
},
"Action": [
"kms:GenerateDataKey",
"kms:Decrypt"
],
"Resource": "*"
},
{
"Sid": "Enable IAM user permissions",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111111111111:root"
},
"Action": "kms:*",
"Resource": "*"
},
{
"Sid": "Enable user to have permissions",
"Effect": "Allow",
"Principal": {
"AWS" : "arn:aws:sts::111111111111:assumed-role/example-role-name"
},
"Action": [
"kms:Decrypt",
"kms:GenerateDataKey"
],
"Resource": "*"
}
]
}
