Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Standardschlüsselrichtlinie

Wenn Sie einen KMS Schlüssel erstellen, können Sie die Schlüsselrichtlinie für den neuen KMS Schlüssel angeben. Wenn Sie keinen angeben, AWS KMS erstellt er einen für Sie. Die verwendete Standardschlüsselrichtlinie unterscheidet sich je nachdem, ob Sie den Schlüssel in der AWS KMS Konsole erstellen oder die verwenden AWS KMS API. AWS KMS

Standardschlüsselrichtlinie, wenn Sie einen KMS Schlüssel programmgesteuert erstellen

Wenn Sie einen KMS Schlüssel programmgesteuert mit dem AWS KMS API(auch mithilfe von AWS SDKs, AWS Command Line Interfaceoder AWS Tools for PowerShell) erstellen und keine Schlüsselrichtlinie angeben, wird eine sehr einfache Standard-Schlüsselrichtlinie AWS KMS angewendet. Diese Standardschlüsselrichtlinie enthält eine Richtlinienanweisung, die demjenigen, der den KMS Schlüssel besitzt AWS-Konto , die Erlaubnis erteilt, IAM Richtlinien zu verwenden, um Zugriff auf alle AWS KMS Operationen mit dem KMS Schlüssel zu gewähren. Weitere Informationen zu dieser Richtlinienanweisung finden Sie unter Ermöglicht den Zugriff auf die IAM Richtlinien AWS-Konto und aktiviert sie.

Standardschlüsselrichtlinie, wenn Sie einen KMS Schlüssel mit dem erstellen AWS Management Console

Wenn Sie einen KMS Schlüssel mit dem erstellen AWS Management Console, beginnt die Schlüsselrichtlinie mit der Richtlinienerklärung, die den Zugriff auf die ermöglicht AWS-Konto und die IAM Richtlinien aktiviert. Die Konsole fügt dann eine wichtige Administratoranweisung, eine Schlüsselbenutzeranweisung und (bei den meisten Schlüsseltypen) eine Anweisung hinzu, die es Prinzipalen ermöglicht, den KMS Schlüssel mit anderen AWS Diensten zu verwenden. Mithilfe der Funktionen der AWS KMS Konsole können Sie die IAM Benutzer angeben und angebenIAMroles, AWS-Konten wer Schlüsseladministratoren und welche Hauptbenutzer sind (oder beides).

Berechtigungen

Ermöglicht den Zugriff auf die IAM Richtlinien AWS-Konto und aktiviert sie

Die folgende standardmäßige Schlüsselrichtlinienanweisung ist kritisch.

Die folgende wichtige Richtlinienerklärung ist die gesamte Standardschlüsselrichtlinie für programmgesteuert erstellte KMS Schlüssel. Dies ist die erste Richtlinienanweisung in der Standard-Schlüsselrichtlinie für KMS Schlüssel, die in der AWS KMS Konsole erstellt wurden.

{
  "Sid": "Enable IAM User Permissions",
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:root"
   },
  "Action": "kms:*",
  "Resource": "*"
}

Ermöglicht Schlüsseladministratoren die Verwaltung des KMS Schlüssels

Die von der Konsole erstellte Standardschlüsselrichtlinie ermöglicht es Ihnen, IAM Benutzer und Rollen im Konto auszuwählen und sie zu Schlüsseladministratoren zu machen. Diese Anweisung wird Schlüsseladministratoren-Anweisung genannt. Schlüsseladministratoren sind berechtigt, den KMS Schlüssel zu verwalten, aber nicht berechtigt, den KMS Schlüssel für kryptografische Operationen zu verwenden. Sie können IAM Benutzer und Rollen zur Liste der Schlüsseladministratoren hinzufügen, wenn Sie den KMS Schlüssel in der Standardansicht oder der Richtlinienansicht erstellen.

Das folgende Beispiel zeigt die Schlüsseladministratoren-Anweisung in der Standardansicht der AWS KMS -Konsole.

Nachfolgend sehen Sie ein Beispiel für eine Schlüsseladministratoren-Anweisung in der Richtlinienansicht der AWS KMS -Konsole. Diese Erklärung für wichtige Administratoren bezieht sich auf einen symmetrischen KMS Verschlüsselungsschlüssel für eine einzelne Region.

{
  "Sid": "Allow access for Key Administrators",
  "Effect": "Allow",
  "Principal": {"AWS":"arn:aws:iam::111122223333:role/ExampleAdminRole"},
  "Action": [
    "kms:Create*",
    "kms:Describe*",
    "kms:Enable*",
    "kms:List*",
    "kms:Put*",
    "kms:Update*",
    "kms:Revoke*",
    "kms:Disable*",
    "kms:Get*",
    "kms:Delete*",
    "kms:TagResource",
    "kms:UntagResource",
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion",
    "kms:RotateKeyOnDemand"
  ],
  "Resource": "*"
}

Die Standardeinstellung von Schlüsseladministratoren für den gängigsten KMS Schlüssel, einen symmetrischen KMS Verschlüsselungsschlüssel für eine einzelne Region, ermöglicht die folgenden Berechtigungen. Ausführliche Informationen zu den einzelnen Berechtigungen finden Sie unter AWS KMS Berechtigungen.

Wenn Sie die AWS KMS Konsole verwenden, um einen KMS Schlüssel zu erstellen, fügt die Konsole die von Ihnen angegebenen Benutzer und Rollen dem Principal Element in der Anweisung für Schlüsseladministratoren hinzu.

Viele dieser Berechtigungen enthalten das Platzhalterzeichen (*), sodass alle Berechtigungen zugelassen werden, die mit dem angegebenen Verb beginnen. Wenn neue API Operationen AWS KMS hinzugefügt werden, dürfen Schlüsseladministratoren diese daher automatisch verwenden. Sie müssen Ihre Schlüsselrichtlinien nicht aktualisieren, um die neuen Operationen einzubeziehen. Wenn Sie es vorziehen, Ihre Schlüsseladministratoren auf einen festen Satz von API Vorgängen zu beschränken, können Sie Ihre Schlüsselrichtlinie ändern.

 

AWS KMS fügt der Standardanweisung für Schlüsseladministratoren die folgenden Berechtigungen hinzu, wenn Sie Schlüssel für spezielle Zwecke erstellen.

Ermöglicht Schlüsselbenutzern die Verwendung des Schlüssels KMS

Die Standardschlüsselrichtlinie, die die Konsole für KMS Schlüssel erstellt, ermöglicht es Ihnen, IAM Benutzer und IAM Rollen innerhalb des Kontos sowie externe AWS-Konten Benutzer und Rollen auszuwählen und sie zu Schlüsselbenutzern zu machen.

Die Konsole fügt der Schlüsselrichtlinie für Schlüsselbenutzer zwei Richtlinienanweisungen hinzu.

Sie können IAM Benutzer, IAM Rollen und andere Benutzer AWS-Konten zur Liste der Hauptbenutzer hinzufügen, wenn Sie den Schlüssel erstellen. KMS Sie können auch die Liste der Schlüsselrichtlinien in der Standardansicht der Konsole wie in der folgenden Abbildung dargestellt bearbeiten. Die Standardansicht für Schlüsselrichtlinien finden Sie auf der Seite mit den Schlüsseldetails. Weitere Informationen darüber, wie Sie Benutzern in anderen AWS-Konten Ländern die Verwendung des KMS Schlüssels ermöglichen, finden Sie unterBenutzern mit anderen Konten die Verwendung eines KMS Schlüssels ermöglichen.

Die Standard-Schlüsselbenutzer-Anweisung für einen symmetrischen Schlüssel für eine Region gewährt die folgenden Berechtigungen. Ausführliche Informationen zu den einzelnen Berechtigungen finden Sie unter AWS KMS Berechtigungen.

Wenn Sie die AWS KMS Konsole verwenden, um einen KMS Schlüssel zu erstellen, fügt die Konsole die Benutzer und Rollen, die Sie angeben, dem Principal Element in jeder Key-User-Anweisung hinzu.

{
  "Sid": "Allow use of the key",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:Encrypt",
    "kms:Decrypt",
    "kms:ReEncrypt*",
    "kms:GenerateDataKey*",
    "kms:DescribeKey"
  ],
  "Resource": "*"
},
{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": [
    "arn:aws:iam::111122223333:role/ExampleRole",
    "arn:aws:iam::444455556666:root"
  ]},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

Ermöglicht Schlüsselbenutzern, einen KMS Schlüssel für kryptografische Operationen zu verwenden

Schlüsselbenutzer sind berechtigt, den KMS Schlüssel direkt für alle kryptografischen Operationen zu verwenden, die für den KMS Schlüssel unterstützt werden. Sie können den DescribeKeyVorgang auch verwenden, um detaillierte Informationen über den KMS Schlüssel in der AWS KMS Konsole oder mithilfe der AWS KMS API Operationen abzurufen.

Standardmäßig fügt die AWS KMS Konsole wichtige Benutzeranweisungen wie die in den folgenden Beispielen zur Standardschlüsselrichtlinie hinzu. Da sie unterschiedliche API Operationen unterstützen, unterscheiden sich die Aktionen in den Richtlinienanweisungen für symmetrische KMS Verschlüsselungsschlüssel, HMAC KMS Schlüssel, asymmetrische KMS Schlüssel für die Verschlüsselung mit öffentlichen Schlüsseln und asymmetrische KMS Schlüssel für Signierung und Überprüfung geringfügig.

Die Aktionen in diesen Anweisungen geben den Schlüsselbenutzern die folgenden Berechtigungen.

Ermöglicht Schlüsselbenutzern, den KMS Schlüssel mit AWS Diensten zu verwenden

Die Standardschlüsselrichtlinie in der Konsole gewährt Schlüsselbenutzern außerdem die Berechtigungen, die sie benötigen, um ihre Daten in AWS Diensten zu schützen, die Grants verwenden. AWS Dienste verwenden häufig Zuschüsse, um spezifische und eingeschränkte Berechtigungen zur Verwendung eines KMS Schlüssels zu erhalten.

Diese wichtige Richtlinienerklärung ermöglicht es dem Hauptbenutzer, Genehmigungen für den Schlüssel zu erstellen, einzusehen und zu widerrufen. Dies ist jedoch nur möglich, wenn die Anfrage für die Gewährung von einem AWS Dienst stammt, in den der KMS Schlüssel integriert ist AWS KMS. Die GrantIsFor AWSResource Richtlinienbedingung kms: erlaubt es dem Benutzer nicht, diese Grant-Operationen direkt aufzurufen. Wenn der Hauptbenutzer dies zulässt, kann ein AWS Dienst im Namen des Benutzers eine Gewährung einrichten, die es dem Dienst ermöglicht, den KMS Schlüssel zum Schutz der Benutzerdaten zu verwenden.

Schlüsselbenutzer benötigen diese Erteilungsberechtigungen, um ihren KMS Schlüssel mit integrierten Diensten verwenden zu können, aber diese Berechtigungen reichen nicht aus. Schlüsselbenutzer benötigen außerdem die Berechtigung, die integrierten Services zu nutzen. Einzelheiten darüber, wie Sie Benutzern Zugriff auf einen AWS Dienst gewähren, der in den integrierten Dienst integriert werden kann AWS KMS, finden Sie in der Dokumentation zum integrierten Dienst.

{
  "Sid": "Allow attachment of persistent resources",
  "Effect": "Allow",
  "Principal": {"AWS": "arn:aws:iam::111122223333:role/ExampleKeyUserRole"},
  "Action": [
    "kms:CreateGrant",
    "kms:ListGrants",
    "kms:RevokeGrant"
  ],
  "Resource": "*",
  "Condition": {"Bool": {"kms:GrantIsForAWSResource": true}}
}

Key-User können diese Berechtigungen für den KMS Schlüssel beispielsweise auf folgende Weise verwenden.

Die Standard-Berechtigung ermöglicht es Schlüsselbenutzern, alle integrierten Services zu verwenden, die Zugriffserteilungen nutzen. Sie können jedoch eine benutzerdefinierte Schlüsselrichtlinie erstellen, die die Berechtigungen auf bestimmte AWS Dienste beschränkt. Weitere Informationen erhalten Sie unter km: ViaService Bedingungsschlüssel.