Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

ABACfür AWS KMS

Die attributbasierte Zugriffskontrolle (ABAC) ist eine Autorisierungsstrategie, bei der Berechtigungen auf der Grundlage von Attributen definiert werden. AWS KMS unterstützt, ABAC indem es Ihnen ermöglicht, den Zugriff auf Ihre vom Kunden verwalteten Schlüssel anhand der mit den Schlüsseln verknüpften Tags und Aliasnamen zu kontrollieren. KMS Die Bedingungsschlüssel für Tag und Alias, die das ermöglichenABAC, AWS KMS bieten eine leistungsstarke und flexible Möglichkeit, Principals zur Verwendung von KMS Schlüsseln zu autorisieren, ohne Richtlinien bearbeiten oder Zuschüsse verwalten zu müssen. Sie sollten diese Funktion jedoch mit Vorsicht verwenden, damit Prinzipalen der Zugriff nicht versehentlich zugelassen oder verweigert wird.

Beachten Sie bei der Verwendung von Tags und AliasenABAC, dass es sich bei der Berechtigung zur Verwaltung von Tags und Aliasnamen jetzt um eine Zugriffskontrollberechtigung handelt. Stellen Sie sicher, dass Sie die vorhandenen Tags und Aliase für alle KMS Schlüssel kennen, bevor Sie eine Richtlinie implementieren, die von Tags oder Aliasen abhängt. Treffen Sie angemessene Vorsichtsmaßnahmen beim Hinzufügen, Löschen und Aktualisieren von Aliassen sowie beim Markieren und Entmarkieren von Schlüsseln. Erteilen Sie Berechtigungen zum Verwalten von Tags und Aliassen nur Prinzipalen, die sie benötigen, und beschränken Sie die Tags und Aliasse, die sie verwalten können.

Weitere Informationen

ABACBedingungsschlüssel für AWS KMS

Um den Zugriff auf KMS Schlüssel auf der Grundlage ihrer Tags und Aliase zu autorisieren, verwenden Sie die folgenden Bedingungsschlüssel in einer Schlüsselrichtlinie oder IAM -richtlinie.

¹ Jeder Bedingungsschlüssel, der in einer Schlüsselrichtlinie verwendet werden kann, kann auch in einer IAM Richtlinie verwendet werden, jedoch nur, wenn die Schlüsselrichtlinie dies zulässt.

² Eine KMSSchlüsselressourcenoperation ist eine Operation, die für einen bestimmten KMS Schlüssel autorisiert ist. Um die KMS wichtigsten Ressourcenoperationen zu identifizieren, suchen Sie in der AWS KMS Berechtigungstabelle nach dem Wert KMS key in der Resources Spalte für den Vorgang.

Beispielsweise können Sie diese Bedingungsschlüssel verwenden, um die folgenden Richtlinien zu erstellen.

ABACmacht die Zugriffsverwaltung flexibel und skalierbar. Sie können beispielsweise den aws:ResourceTag/tag-key Bedingungsschlüssel verwenden, um eine IAM Richtlinie zu erstellen, die es Prinzipalen erlaubt, einen KMS Schlüssel nur dann für bestimmte Operationen zu verwenden, wenn der KMS Schlüssel über ein Purpose=Test Tag verfügt. Die Richtlinie gilt für alle KMS Schlüssel in allen Regionen von. AWS-Konto

Wenn sie einem Benutzer oder einer Rolle zugewiesen ist, ermöglicht die folgende IAM Richtlinie Prinzipalen, alle vorhandenen KMS Schlüssel mit einem Purpose=Test Tag für die angegebenen Operationen zu verwenden. Um diesen Zugriff auf neue oder vorhandene KMS Schlüssel zu gewähren, müssen Sie die Richtlinie nicht ändern. Befestigen Sie einfach das Purpose=Test Etikett an den KMS Schlüsseln. Um diesen Zugriff auch von KMS Schlüsseln mit einem Purpose=Test Tag zu entfernen, bearbeiten oder löschen Sie das Tag.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AliasBasedIAMPolicy",
      "Effect": "Allow",
      "Action": [
        "kms:Decrypt",
        "kms:Encrypt",
        "kms:GenerateDataKey*",
        "kms:DescribeKey"
      ],
      "Resource": "arn:aws:kms:*:111122223333:key/*",
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/Purpose": "Test"
        }
      }
    }
  ]
}

Wenn Sie diese Funktion verwenden, sollten Sie jedoch vorsichtig sein, wenn Sie Tags und Aliasse verwalten. Durch das Hinzufügen, Ändern oder Löschen eines Tags oder Alias kann versehentlich der Zugriff auf einen Schlüssel gewährt oder verweigert werden. KMS Schlüsseladministratoren, die nicht berechtigt sind, wichtige Richtlinien zu ändern oder Zuweisungen zu erstellen, können den Zugriff auf KMS Schlüssel kontrollieren, sofern sie berechtigt sind, Tags und Aliase zu verwalten. Um dieses Risiko zu mindern, sollten Sie Berechtigungen zum Verwalten von Tags und Aliassen beschränken. Sie können es beispielsweise nur ausgewählten Prinzipalen erlauben, Purpose=Test-Tags zu verwalten. Details dazu finden Sie unter Verwenden Sie Aliase, um den Zugriff auf Schlüssel zu KMS steuern und Verwenden Sie Tags, um den Zugriff auf KMS Schlüssel zu steuern.

Tags oder Aliasse?

AWS KMS unterstützt ABAC mit Tags und Aliasnamen. Beide Optionen bieten eine flexible, skalierbare Strategie zur Zugriffssteuerung, unterscheiden sich jedoch geringfügig voneinander.

Sie können sich entscheiden, Tags oder Aliase zu verwenden, die auf Ihren speziellen AWS Verwendungsmustern basieren. Wenn Sie beispielsweise den meisten Administratoren bereits Markierungs-Berechtigungen erteilt haben, ist es möglicherweise einfacher, eine Autorisierungsstrategie basierend auf Aliasse zu steuern. Oder, wenn Sie das Kontingent für Aliase pro KMS Schlüssel fast erreicht haben, bevorzugen Sie vielleicht eine Autorisierungsstrategie, die auf Tags basiert.

Die folgenden Nutzen sind von allgemeinem Interesse.

Vorteile einer Tag-basierten Zugriffskontrolle

Vorteile einer Alias-basierten Zugriffskontrolle