Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Wenn Sie einen verschlüsselten Snapshot freigeben, müssen Sie auch den vom Kunden verwalteten Schlüssel freigeben, mit dem der Snapshot verschlüsselt wurde. Sie können kontenübergreifende Berechtigungen auf einen vom Kunden verwalteten Schlüssel entweder bei dessen Erstellung oder zu einem späteren Zeitpunkt anwenden.
Benutzer Ihres freigegebenen vom Kunden verwalteten Schlüssels, die auf verschlüsselte Snapshots zugreifen, müssen Berechtigungen erhalten, um die folgenden Aktionen für den Schlüssel durchzuführen:
-
kms:DescribeKey -
kms:CreateGrant -
kms:GenerateDataKey -
kms:GenerateDataKeyWithoutPlaintext -
kms:ReEncrypt -
kms:Decrypt
Tipp
Um den Grundsatz der Erteilung der geringsten erforderlichen Berechtigungen zu befolgen, lassen Sie den vollständigen Zugriff auf kms:CreateGrant nicht zu. Verwenden Sie stattdessen den kms:GrantIsForAWSResource Bedingungsschlüssel, damit der Benutzer nur dann Berechtigungen für den KMS-Schlüssel erstellen kann, wenn der Zuschuss im Namen des Benutzers von einem AWS Dienst erstellt wird.
Weitere Informationen über die Kontrolle des Zugriffs auf vom Kunden verwaltete Schlüssel finden Sie unter Verwenden von Schlüsselrichtlinien in AWS KMS im AWS Key Management Service -Entwicklerhandbuch.
Um den vom Kunden verwalteten Schlüssel über die AWS KMS Konsole weiterzugeben
-
Öffnen Sie die AWS KMS Konsole unter https://console.aws.amazon.com/kms
. -
Um das zu ändern AWS-Region, verwenden Sie die Regionsauswahl in der oberen rechten Ecke der Seite.
-
Wählen Sie im Navigationsbereich Customer managed keys (Vom Kunden verwaltete Schlüssel).
-
Wählen Sie in der Spalte Alias den Alias (Textlink) des vom Kunden verwalteten Schlüssels aus, mit dem Sie den Snapshot verschlüsselt haben. Die Schlüsseldetails werden auf einer neuen Seite geöffnet.
-
Im Abschnitt Key policy (Schlüsselrichtlinie) wird entweder die Richtlinienansicht oder die Standardansicht angezeigt. In der Richtlinienansicht wird das wichtige Richtliniendokument angezeigt. In der Standardansicht werden Abschnitte für Key administrators (Schlüsseladministratoren), Key deletion (Schlüssellöschung), Key Use (Schlüsselverwendung) und Other AWS accounts angezeigt. Die Standardansicht wird angezeigt, wenn Sie die Richtlinie in der Konsole erstellt und nicht angepasst haben. Wenn die Standardansicht nicht verfügbar ist, müssen Sie die Richtlinie in der Richtlinienansicht manuell bearbeiten. Weitere Informationen finden Sie unter Anzeigen einer Schlüsselrichtlinie (Konsole) im AWS Key Management Service -Entwicklerhandbuch.
Verwenden Sie entweder die Richtlinienansicht oder die Standardansicht, je nachdem, auf welche Ansicht Sie zugreifen können, um der Richtlinie ein oder mehrere AWS Konten hinzuzufügen. Gehen Sie IDs dabei wie folgt vor:
(Richtlinienansicht) Wählen Sie Edit (Bearbeiten) aus. Fügen Sie den folgenden Aussagen ein oder mehrere AWS Konten IDs hinzu:
"Allow use of the key"und"Allow attachment of persistent resources". Wählen Sie Änderungen speichern. Im folgenden Beispiel444455556666wird die AWS Konto-ID der Richtlinie hinzugefügt.{ "Sid": "Allow use of the key", "Effect": "Allow", "Principal": {"AWS": [ "arn:aws:iam::111122223333:user/KeyUser", "arn:aws:iam::444455556666:root" ]}, "Action": [ "kms:Encrypt", "kms:Decrypt", "kms:ReEncrypt*", "kms:GenerateDataKey*", "kms:DescribeKey" ], "Resource": "*" }, { "Sid": "Allow attachment of persistent resources", "Effect": "Allow", "Principal": {"AWS": [ "arn:aws:iam::111122223333:user/KeyUser", "arn:aws:iam::444455556666:root" ]}, "Action": [ "kms:CreateGrant", "kms:ListGrants", "kms:RevokeGrant" ], "Resource": "*", "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}} }-
(Standardansicht) Scrollen Sie nach unten zu Andere AWS Konten. Wählen Sie Weitere AWS Konten hinzufügen und geben Sie die AWS Konto-ID ein, wenn Sie dazu aufgefordert werden. Um ein weiteres Konto hinzuzufügen, wählen Sie Weiteres AWS Konto hinzufügen und geben Sie die AWS Konto-ID ein. Wenn Sie alle AWS -Konten hinzugefügt haben, wählen Sie Save Changes (Änderungen speichern) aus.
