Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
AWS KMS Berechtigungen
Diese Tabelle soll Ihnen helfen, die AWS KMS Berechtigungen zu verstehen, sodass Sie den Zugriff auf Ihre AWS KMS Ressourcen kontrollieren können. Definitionen der Spaltenüberschriften werden unter der Tabelle angezeigt.
Informationen zu AWS KMS Berechtigungen finden Sie auch in den Abschnitten Aktionen, Ressourcen und Bedingungsschlüssel zum AWS Key Management Service Thema Service Authorization Reference. In diesem Thema werden jedoch nicht alle Bedingungsschlüssel aufgeführt, die Sie zum Verfeinern jeder Berechtigung verwenden können.
Weitere Informationen darüber, welche AWS KMS Operationen für symmetrische KMS Verschlüsselungsschlüssel, asymmetrische Schlüssel und KMS HMAC KMS Schlüssel gültig sind, finden Sie unter. Schlüsseltypreferenz
Anmerkung
Möglicherweise müssen Sie horizontal oder vertikal scrollen, um alle Daten in der Tabelle anzuzeigen.
| Aktionen und Berechtigungen | Richtlinientyp | Kontoübergreifende Verwendung | Ressourcen (für IAM-Richtlinien) | AWS KMS Bedingungsschlüssel |
|---|---|---|---|---|
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
| ConnectCustomKeyStore
|
IAMPolitik | Nein |
|
|
|
Um diese Produktion verwenden zu können, benötigt der Aufrufer die Berechtigung
Details hierzu finden Sie unter Steuern des Zugriffs auf Aliasse. |
IAM-Richtlinie (für den Alias) |
Nein |
Alias |
Keine (bei der Steuerung des Zugriffs auf den Alias) |
|
Schlüsselrichtlinie (für den KMS Schlüssel) |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
| CreateCustomKeyStore
|
IAMPolitik | Nein |
|
|
|
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für Erteilungen: Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
IAMPolitik |
Nein |
|
km: BypassPolicyLockoutSafetyCheck aws:RequestTag/tag-key (AWS globaler Bedingungsschlüssel) aws:ResourceTag/tag-key (globaler Bedingungsschlüssel)AWS aws: TagKeys (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
Um diese Produktion verwenden zu können, benötigt der Aufrufer die Berechtigung
Details hierzu finden Sie unter Steuern des Zugriffs auf Aliasse. |
IAM-Richtlinie (für den Alias) |
Nein |
Alias |
Keine (bei der Steuerung des Zugriffs auf den Alias) |
|
Schlüsselrichtlinie (für den KMS Schlüssel) |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
| DeleteCustomKeyStore
|
IAMPolitik | Nein |
|
|
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
| DedriveSharedSecret
|
Schlüsselrichtlinie | Ja | KMSSchlüssel | Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für kryptografische Operationen |
| DescribeCustomKeyStores
|
IAMPolitik | Nein |
|
|
|
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
| DisconnectCustomKeyStore
|
IAMPolitik | Nein |
|
|
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für die automatische Schlüsselrotation: |
|
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel Generiert ein asymmetrisches Datenschlüsselpaar, das durch einen symmetrischen KMS Verschlüsselungsschlüssel geschützt ist. |
Bedingungen für Datenschlüsselpaare: Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
GenerateDataKeyPairWithoutPlaintext
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel Generiert ein asymmetrisches Datenschlüsselpaar, das durch einen symmetrischen KMS Verschlüsselungsschlüssel geschützt ist. |
Bedingungen für Datenschlüsselpaare: Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
GenerateDataKeyWithoutPlaintext
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
| GenerateMac
|
Schlüsselrichtlinie | Ja | KMSSchlüssel | Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für kryptografische Operationen |
|
|
IAMPolitik |
N/A |
|
None |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: km: ExpirationModel |
|
|
IAMPolitik |
Nein |
|
None |
|
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
IAMPolitik |
Nein |
|
None |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
IAMPolitik |
Der angegebene Prinzipal muss sich im lokalen Konto befinden, aber die Produktion gibt Erteilungen in allen Konten zurück. |
|
None |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
Um diesen Vorgang verwenden zu können, benötigt der Anrufer die Erlaubnis für zwei KMS Tasten:
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
Um diese Produktion verwenden zu können, benötigt der Anrufer die folgenden Berechtigungen:
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
Die Berechtigung zur Außerbetriebnahme einer Erteilung wird hauptsächlich durch die Erteilung bestimmt. Eine Richtlinie allein kann den Zugriff auf diese Produktion nicht erlauben. Weitere Informationen finden Sie unter Außerbetriebnahme und Widerruf von Erteilungen. |
IAMPolitik (Diese Berechtigung ist in einer Schlüsselrichtlinie nicht wirksam.) |
Ja |
KMSSchlüssel |
Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für Erteilungen: Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMSSchlüssel |
Bedingungen für Signatur und Verifizierung: km: RequestAliasBedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für Markierung: aws:RequestTag/tag-key (AWS globaler Bedingungsschlüssel) aws: TagKeys (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für Markierung: aws:RequestTag/tag-key (AWS globaler Bedingungsschlüssel) aws: TagKeys (AWS globaler Bedingungsschlüssel) |
|
Um diese Produktion verwenden zu können, benötigt der Aufrufer die Berechtigung
Details hierzu finden Sie unter Steuern des Zugriffs auf Aliasse. |
IAM-Richtlinie (für den Alias) |
Nein |
Alias |
Keine (bei der Steuerung des Zugriffs auf den Alias) |
|
Schlüsselrichtlinie (für die KMS Schlüssel) |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
| UpdateCustomKeyStore
|
IAMPolitik | Nein |
|
|
|
|
Schlüsselrichtlinie |
Nein |
KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
Um diese Produktion verwenden zu können, benötigt der Aufrufer die |
Schlüsselrichtlinie |
Nein | KMSSchlüssel |
Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen |
|
|
Schlüsselrichtlinie |
Ja | KMSSchlüssel |
Bedingungen für Signatur und Verifizierung: km: RequestAliasBedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
| VerifyMac
|
Schlüsselrichtlinie | Ja | KMSSchlüssel | Bedingungen für KMS wichtige Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für kryptografische Operationen |
Beschreibungen der Spalten
Die Spalten in dieser Tabelle enthalten folgende Informationen:
-
Unter Aktionen und Berechtigungen werden alle AWS KMS API Operationen und die Berechtigungen aufgeführt, die den Vorgang zulassen. Sie geben die Produktion im
Action-Element einer Richtlinienanweisung an. -
Der Richtlinientyp gibt an, ob die Berechtigung in einer wichtigen Richtlinie oder IAM Richtlinie verwendet werden kann.
Key policy (Schlüsselrichtlinie) bedeutet, dass Sie die Berechtigung in der Schlüsselrichtlinie angeben können. Wenn die Schlüsselrichtlinie die Richtlinienerklärung enthält, die IAM Richtlinien aktiviert, können Sie die Berechtigung in einer IAM Richtlinie angeben.
IAMRichtlinie bedeutet, dass Sie die Berechtigung nur in einer IAM Richtlinie angeben können.
-
Kontenübergreifende Verwendung zeigt die Operationen an, die autorisierte Benutzer für Ressourcen in einem anderen AWS-Konto ausführen können.
Ein Wert von Ja bedeutet, dass Prinzipale die Produktion für Ressourcen in einem anderen AWS-Konto ausführen können.
Ein Wert von No (Nein) bedeutet, dass Prinzipale die Produktion nur auf Ressourcen in ihrem eigenen AWS-Konto ausführen können.
Wenn Sie einem Prinzipal in einem anderen Konto eine Berechtigung erteilen, die nicht für eine kontoübergreifende Ressource verwendet werden kann, ist die Berechtigung nicht wirksam. Wenn Sie beispielsweise einem Prinzipal in einem anderen Konto die TagResource Erlaubnis kms: für einen KMS Schlüssel in Ihrem Konto erteilen, schlagen seine Versuche fehl, den KMS Schlüssel in Ihrem Konto zu kennzeichnen.
-
Resources listet die AWS KMS Ressourcen auf, für die die Berechtigungen gelten. AWS KMS unterstützt zwei Ressourcentypen: einen KMS Schlüssel und einen Alias. In einer Schlüsselrichtlinie ist der Wert des
ResourceElements immer*, was den KMS Schlüssel angibt, an den die Schlüsselrichtlinie angehängt ist.Verwenden Sie die folgenden Werte, um eine AWS KMS Ressource in einer IAM Richtlinie darzustellen.
- KMSSchlüssel
-
Wenn es sich bei der Ressource um einen KMS Schlüssel handelt, verwenden Sie seinen Schlüssel ARN. Weitere Informationen dazu finden Sie unter Finden Sie die Schlüssel-ID und den Schlüssel ARN.
arn:AWS_partition_name:kms:AWS_Region:AWS_account_ID:key/key_IDBeispielsweise:
arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab
- Alias
-
Wenn die Ressource ein Alias ist, verwenden Sie ihren Alias ARN. Weitere Informationen dazu finden Sie unter Suchen Sie den Aliasnamen und den Alias ARN für einen KMS Schlüssel.
arn:AWS_partition_name:kms:AWS_region:AWS_account_ID:alias/alias_nameBeispielsweise:
arn:aws:kms:us-west- 2:111122223333:alias/ ExampleAlias
*(Sternchen)-
Wenn die Berechtigung nicht für eine bestimmte Ressource (Schlüssel oder Alias) gilt, verwenden Sie ein Sternchen (). KMS
*In einer IAM Richtlinie für eine AWS KMS Berechtigung steht ein Sternchen im
ResourceElement für alle AWS KMS Ressourcen (KMSSchlüssel und Aliase). Sie können auch ein Sternchen imResourceElement verwenden, wenn die AWS KMS Berechtigung nicht für bestimmte KMS Schlüssel oder Aliase gilt. Wenn Sie beispielsweise einekms:ListKeysErlaubnis zulassenkms:CreateKeyoder verweigern, müssen Sie dasResourceElement auf setzen.*
-
AWS KMS Bedingungstasten listet die AWS KMS Bedingungsschlüssel auf, mit denen Sie den Zugriff auf den Vorgang steuern können. Sie geben Bedingungen im
Condition-Element einer Richtlinie an. Weitere Informationen finden Sie unter AWS KMS Bedingungsschlüssel. Diese Spalte enthält auch AWS globale Bedingungsschlüssel, die von AWS KMS, aber nicht von allen AWS Diensten unterstützt werden.
