Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Diese Tabelle soll Ihnen helfen, die AWS KMS Berechtigungen zu verstehen, sodass Sie den Zugriff auf Ihre AWS KMS Ressourcen kontrollieren können. Definitionen der Spaltenüberschriften werden unter der Tabelle angezeigt.
Informationen zu AWS KMS Berechtigungen finden Sie auch in den Abschnitten Aktionen, Ressourcen und Bedingungsschlüssel zum AWS Key Management Service Thema Service Authorization Reference. In diesem Thema werden jedoch nicht alle Bedingungsschlüssel aufgeführt, die Sie zum Verfeinern jeder Berechtigung verwenden können.
Weitere Informationen darüber, welche AWS KMS Operationen für KMS-Schlüssel mit symmetrischer Verschlüsselung, asymmetrische KMS-Schlüssel und HMAC-KMS-Schlüssel gültig sind, finden Sie unter. Schlüsseltypreferenz
Anmerkung
Möglicherweise müssen Sie horizontal oder vertikal scrollen, um alle Daten in der Tabelle anzuzeigen.
| Aktionen und Berechtigungen | Richtlinientyp | Kontoübergreifende Verwendung | Ressourcen (für IAM-Richtlinien) | AWS KMS Bedingungsschlüssel |
|---|---|---|---|---|
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
| ConnectCustomKeyStore
|
IAM-Richtlinie | Nein |
|
|
|
Um diese Produktion verwenden zu können, benötigt der Aufrufer die Berechtigung
Details hierzu finden Sie unter Steuern des Zugriffs auf Aliasse. |
IAM-Richtlinie (für den Alias) |
Nein |
Alias |
Keine (bei der Steuerung des Zugriffs auf den Alias) |
|
Schlüsselrichtlinie (für den KMS-Schlüssel) |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
| CreateCustomKeyStore
|
IAM-Richtlinie | Nein |
|
|
|
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für Erteilungen: Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
IAM-Richtlinie |
Nein |
|
km: BypassPolicyLockoutSafetyCheck aws:RequestTag/tag-key (AWS globaler Bedingungsschlüssel) aws:ResourceTag/tag-key (globaler Bedingungsschlüssel)AWS aws: TagKeys (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
Um diese Produktion verwenden zu können, benötigt der Aufrufer die Berechtigung
Details hierzu finden Sie unter Steuern des Zugriffs auf Aliasse. |
IAM-Richtlinie (für den Alias) |
Nein |
Alias |
Keine (bei der Steuerung des Zugriffs auf den Alias) |
|
Schlüsselrichtlinie (für den KMS-Schlüssel) |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
| DeleteCustomKeyStore
|
IAM-Richtlinie | Nein |
|
|
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
| DeriveSharedSecret
|
Schlüsselrichtlinie | Ja | KMS-Schlüssel | Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für kryptografische Operationen |
| DescribeCustomKeyStores
|
IAM-Richtlinie | Nein |
|
|
|
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
| DisconnectCustomKeyStore
|
IAM-Richtlinie | Nein |
|
|
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für die automatische Schlüsselrotation: |
|
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel Generierung eines asymmetrischen Datenschlüsselpaars, das durch einen KMS-Schlüssel mit symmetrischer Verschlüsselung geschützt ist. |
Bedingungen für Datenschlüsselpaare: Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
GenerateDataKeyPairWithoutPlaintext
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel Generierung eines asymmetrischen Datenschlüsselpaars, das durch einen KMS-Schlüssel mit symmetrischer Verschlüsselung geschützt ist. |
Bedingungen für Datenschlüsselpaare: Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
GenerateDataKeyWithoutPlaintext
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
| GenerateMac
|
Schlüsselrichtlinie | Ja | KMS-Schlüssel | Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für kryptografische Operationen |
|
|
IAM-Richtlinie |
N/A |
|
Keine |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: km: ExpirationModel |
|
|
IAM-Richtlinie |
Nein |
|
Keine |
|
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
IAM-Richtlinie |
Nein |
|
Keine |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
IAM-Richtlinie |
Der angegebene Prinzipal muss sich im lokalen Konto befinden, aber die Produktion gibt Erteilungen in allen Konten zurück. |
|
Keine |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
Um diese Produktion verwenden zu können, benötigt der Anrufer die Berechtigung für zwei KMS-Schlüssel:
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für kryptografische Operationen Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
Um diese Produktion verwenden zu können, benötigt der Anrufer die folgenden Berechtigungen:
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
Die Berechtigung zur Außerbetriebnahme einer Erteilung wird hauptsächlich durch die Erteilung bestimmt. Eine Richtlinie allein kann den Zugriff auf diese Produktion nicht erlauben. Weitere Informationen finden Sie unter Außerbetriebnahme und Widerruf von Erteilungen. |
IAM-Richtlinie (Diese Berechtigung ist in einer Schlüsselrichtlinie nicht wirksam.) |
Ja |
KMS-Schlüssel |
Bedingungen für den Verschlüsselungskontext: kms:EncryptionContext: Kontextschlüssel Bedingungen für Erteilungen: Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen: |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Ja |
KMS-Schlüssel |
Bedingungen für Signatur und Verifizierung: km: RequestAliasBedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für Markierung: aws:RequestTag/tag-key (AWS globaler Bedingungsschlüssel) aws: TagKeys (AWS globaler Bedingungsschlüssel) |
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für Markierung: aws:RequestTag/tag-key (AWS globaler Bedingungsschlüssel) aws: TagKeys (AWS globaler Bedingungsschlüssel) |
|
Um diese Produktion verwenden zu können, benötigt der Aufrufer die Berechtigung
Details hierzu finden Sie unter Steuern des Zugriffs auf Aliasse. |
IAM-Richtlinie (für den Alias) |
Nein |
Alias |
Keine (bei der Steuerung des Zugriffs auf den Alias) |
|
Schlüsselrichtlinie (für die KMS-Schlüssel) |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
| UpdateCustomKeyStore
|
IAM-Richtlinie | Nein |
|
|
|
|
Schlüsselrichtlinie |
Nein |
KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
|
Um diese Produktion verwenden zu können, benötigt der Aufrufer die |
Schlüsselrichtlinie |
Nein | KMS-Schlüssel |
Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Andere Bedingungen |
|
|
Schlüsselrichtlinie |
Ja | KMS-Schlüssel |
Bedingungen für Signatur und Verifizierung: km: RequestAliasBedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) |
| VerifyMac
|
Schlüsselrichtlinie | Ja | KMS-Schlüssel | Bedingungen für KMS-Schlüssel-Operationen: aws:ResourceTag/tag-key (AWS globaler Bedingungsschlüssel) Bedingungen für kryptografische Operationen |
Beschreibungen der Spalten
Die Spalten in dieser Tabelle enthalten folgende Informationen:
-
Unter Aktionen und Berechtigungen werden alle AWS KMS API-Operationen und die Berechtigungen aufgeführt, die den Vorgang zulassen. Sie geben die Produktion im
Action-Element einer Richtlinienanweisung an. -
Policy type (Richtlinientyp) gibt an, ob die Berechtigung in einer Schlüsselrichtlinie oder einer IAM-Richtlinie verwendet werden kann.
Key policy (Schlüsselrichtlinie) bedeutet, dass Sie die Berechtigung in der Schlüsselrichtlinie angeben können. Wenn die Schlüsselrichtlinie die Richtlinienanweisung zur Aktivierung von IAM-Richtlinien enthält, können Sie die Berechtigung in einer IAM-Richtlinie angeben.
IAM policy (IAM-Richtlinie) bedeutet, dass Sie die Berechtigung nur in einer IAM-Richtlinie angeben können.
-
Kontenübergreifende Verwendung zeigt die Operationen an, die autorisierte Benutzer für Ressourcen in einem anderen AWS-Konto ausführen können.
Ein Wert von Ja bedeutet, dass Prinzipale die Produktion für Ressourcen in einem anderen AWS-Konto ausführen können.
Ein Wert von No (Nein) bedeutet, dass Prinzipale die Produktion nur auf Ressourcen in ihrem eigenen AWS-Konto ausführen können.
Wenn Sie einem Prinzipal in einem anderen Konto eine Berechtigung erteilen, die nicht für eine kontoübergreifende Ressource verwendet werden kann, ist die Berechtigung nicht wirksam. Wenn Sie beispielsweise einem Prinzipal in einem anderen Konto die TagResource Berechtigung kms: für einen KMS-Schlüssel in Ihrem Konto erteilen, schlagen seine Versuche fehl, den KMS-Schlüssel in Ihrem Konto zu kennzeichnen.
-
Resources listet die AWS KMS Ressourcen auf, für die die Berechtigungen gelten. AWS KMS unterstützt zwei Ressourcentypen: einen KMS-Schlüssel und einen Alias. In einer Schlüsselrichtlinie ist der Wert des
Resource-Elements stets*. Dies gibt den KMS-Schlüssel an, dem die Schlüsselrichtlinie angefügt ist.Verwenden Sie die folgenden Werte, um eine AWS KMS Ressource in einer IAM-Richtlinie darzustellen.
- KMS-Schlüssel
-
Wenn es sich bei der Ressource um einen KMS-Schlüssel handelt, verwenden Sie dessen Schlüssel-ARN. Weitere Informationen dazu finden Sie unter Finden Sie die Schlüssel-ID und den Schlüssel-ARN.
arn:AWS_partition_name:kms:AWS_Region:AWS_account_ID:key/key_IDZum Beispiel:
arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab
- Alias
-
Wenn es sich bei der Ressource um einen Alias handelt, verwenden Sie den Alias-ARN. Weitere Informationen dazu finden Sie unter Suchen Sie den Aliasnamen und den Alias-ARN für einen KMS-Schlüssel.
arn:AWS_partition_name:kms:AWS_region:AWS_account_ID:alias/alias_nameZum Beispiel:
arn:aws:kms:us-west- 2:111122223333:alias/ ExampleAlias
*(Sternchen)-
Wenn die Berechtigung nicht für eine bestimmte Ressource (KMS-Schlüssel oder Alias) gilt, verwenden Sie ein Sternchen (
*).In einer IAM-Richtlinie für eine Berechtigung steht ein Sternchen im Element für alle Ressourcen (KMS-Schlüssel und Aliase). AWS KMS
ResourceAWS KMS Sie können in demResourceElement auch ein Sternchen verwenden, wenn die AWS KMS Berechtigung nicht für bestimmte KMS-Schlüssel oder -Aliase gilt. Wenn Sie beispielsweise einekms:ListKeysErlaubnis zulassenkms:CreateKeyoder verweigern, müssen Sie dasResourceElement auf setzen.*
-
AWS KMS Bedingungstasten listet die AWS KMS Bedingungsschlüssel auf, mit denen Sie den Zugriff auf den Vorgang steuern können. Sie geben Bedingungen im
Condition-Element einer Richtlinie an. Weitere Informationen finden Sie unter AWS KMS Bedingungsschlüssel. Diese Spalte enthält auch AWS globale Bedingungsschlüssel, die von AWS KMS, aber nicht von allen AWS Diensten unterstützt werden.
