Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Implementieren der geringsten Berechtigungen
Bei der Verwendung eines Schlüsselspeichers und AWS KMS hierarchischer Schlüsselbunde empfehlen wir, dass Sie dem Prinzip der geringsten Rechte folgen, indem Sie die folgenden Rollen definieren:
- Administrator des Schlüsselspeichers
-
Schlüsselspeicheradministratoren sind für die Erstellung und Verwaltung des Schlüsselspeichers und der Filialschlüssel verantwortlich, die dieser speichert und schützt. Key-Store-Administratoren sollten die einzigen Benutzer mit Schreibberechtigungen für die Amazon DynamoDB-Tabelle sein, die als Ihr Schlüsselspeicher dient. Sie sollten die einzigen Benutzer sein, die Zugriff auf privilegierte Administratoroperationen wie CreateKeyund haben. VersionKey Sie können diese Operationen nur ausführen, wenn Sie Ihre Schlüsselspeicher-Aktionen statisch konfigurieren.
CreateKeyist eine privilegierte Operation, mit der Sie Ihrer KMS ARN Schlüsselspeicher-Zulassungsliste einen neuen Schlüssel hinzufügen können. Mit diesem KMS Schlüssel können neue aktive Zweigschlüssel erstellt werden. Wir empfehlen, den Zugriff auf diesen Vorgang einzuschränken, da ein KMS Schlüssel, der einmal dem Zweigschlüsselspeicher hinzugefügt wurde, nicht gelöscht werden kann. - Benutzer des Schlüsselspeichers
-
In den meisten Anwendungsfällen interagiert der Schlüsselspeicher-Benutzer beim Verschlüsseln, Entschlüsseln, Signieren und Überprüfen von Daten nur über den hierarchischen Schlüsselbund mit dem Schlüsselspeicher. Daher benötigen sie nur Leseberechtigungen für die Amazon DynamoDB-Tabelle, die als Ihr Schlüsselspeicher dient. Key-Store-Benutzer sollten nur Zugriff auf die Verwendungsvorgänge benötigen, die kryptografische Operationen ermöglichen, wie
GetActiveBranchKey, undGetBranchKeyVersion.GetBeaconKeySie benötigen keine Berechtigungen, um die von ihnen verwendeten Branch-Schlüssel zu erstellen oder zu verwalten.Sie können Verwendungsvorgänge ausführen, wenn Ihre Schlüsselspeicher-Aktionen statisch konfiguriert sind oder wenn sie für die Erkennung konfiguriert sind. Sie können keine Administratoroperationen (
CreateKeyundVersionKey) ausführen, wenn Ihre Schlüsselspeicher-Aktionen für die Erkennung konfiguriert sind.Wenn Ihr Filialschlüsselspeicheradministrator mehrere KMS Schlüssel in Ihrem Filialschlüsselspeicher zugelassen hat, empfehlen wir Ihren Schlüsselspeicher-Benutzern, ihre Schlüsselspeicher-Aktionen für die Erkennung so zu konfigurieren, dass ihr hierarchischer Schlüsselbund mehrere Schlüssel verwenden kann. KMS
