Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Steuern des Zugriffs auf multiregionale Schlüssel

Sie können multiregionale Schlüssel in Compliance-, Notfallwiederherstellungs- und Backup-Szenarien verwenden, die mit einzelregionalen Schlüsseln komplexer wären. Da sich die Sicherheitseigenschaften von multiregionalen Schlüsseln erheblich von denen von einzelregionalen Schlüsseln unterscheiden, empfehlen wir, bei der Autorisierung der Erstellung, Verwaltung und Verwendung von multiregionalen Schlüsseln Vorsicht walten zu lassen.

Verwenden Sie Ihre Autorisierungstools, um die Erstellung und Verwendung von multiregionalen Schlüsseln in jedem Szenario zu verhindern, in dem ein einzelregionaler Schlüssel ausreicht. Erlauben Sie Prinzipalen die Replikation eines multiregionalen Schlüssels nur in AWS-Regionen, die sie erfordern. Erteilen Sie Berechtigungen für multiregionale Schlüssel nur an Prinzipale, die sie benötigen, und nur für Aufgaben, für die sie erforderlich sind.

Sie können Schlüsselrichtlinien, IAM-Richtlinien und Erteilungen verwenden, um IAM-Prinzipalen die Verwaltung und Verwendung von multiregionalen Schlüsseln in Ihrem AWS-Konto zu erlauben. Jeder multiregionaler Schlüssel ist eine unabhängige Ressource mit einem eindeutigen Schlüssel-ARN und einer Schlüsselrichtlinie. Sie müssen für jeden Schlüssel eine Schlüsselrichtlinie einrichten und pflegen und sicherstellen, dass neue und vorhandene IAM-Richtlinien Ihre Autorisierungsstrategie implementieren.

Grundlagen der Autorisierung für multiregionale Schlüssel

Berücksichtigen Sie beim Entwerfen von Schlüsselrichtlinien und IAM-Richtlinien für multiregionale Schlüssel die folgenden Grundsätze.

Autorisieren von Administratoren und Benutzern für multiregionale Schlüssel

Prinzipale, die multiregionale Schlüssel erstellen und verwalten, benötigen die folgenden Berechtigungen in den primären und Replikatregionen:

Erstellen eines Primärschlüssels

Um einen multiregionalen Primärschlüssel zu erstellen, benötigt der Prinzipal kms:CreateKey- und iam:CreateServiceLinkedRole-Berechtigungen in einer IAM-Richtlinie, die in der Region des Primärschlüssels wirksam ist. Prinzipale, die über diese Berechtigungen verfügen, können einzelregionale Schlüssel und multiregionale Schlüssel erstellen, es sei denn, Sie beschränken ihre Berechtigungen.

Die -iam:CreateServiceLinkedRoleBerechtigung ermöglicht es AWS KMS, die AWSServiceRoleForKeyManagementServiceMultiRegionKeys Rolle zum Synchronisieren der gemeinsamen Eigenschaften verwandter multiregionaler Schlüssel zu erstellen.

Zum Beispiel kann mit dieser IAM-Richtlinie ein Prinzipal einen beliebigen KMS-Schlüsseltyp erstellen.

{
  "Version": "2012-10-17",
  "Statement":{
      "Action": [
        "kms:CreateKey",
        "iam:CreateServiceLinkedRole"
      ],
      "Effect":"Allow",
      "Resource":"*"
  }
}

Um die Berechtigung zum Erstellen von multiregionalen Primärschlüsseln zu gewähren oder zu verweigern, verwenden Sie den kms:MultiRegion-Bedingungsschlüssel. Gültige Werte sind true (multiregionaler Schlüssel) oder false (einzelregionaler Schlüssel). Beispielsweise verwendet die folgende IAM-Richtlinienanweisung eine Deny-Aktion mit dem kms:MultiRegion-Bedingungsschlüssel, um zu verhindern, dass Prinzipale multiregionale Schlüssel erstellen.

{
  "Version": "2012-10-17",
  "Statement":{
      "Action":"kms:CreateKey",
      "Effect":"Deny",
      "Resource":"*",
      "Condition": {
          "Bool": "kms:MultiRegion": true
      }
  }
}

Replizieren von Schlüsseln

Um einen multiregionalen Replikatschlüssel zu erstellen, benötigt der Prinzipal die folgenden Berechtigungen:

Seien Sie vorsichtig, wenn Sie diese Berechtigungen zulassen. Sie ermöglichen es Prinzipalen, KMS-Schlüssel und die Schlüsselrichtlinien zu erstellen, die ihre Verwendung autorisieren. Die kms:ReplicateKey-Berechtigung autorisiert auch die Übertragung von Schlüsselmaterial über Regionsgrenzen innerhalb von AWS KMS.

Um die einzuschränken, AWS-Regionen in der ein multiregionaler Schlüssel repliziert werden kann, verwenden Sie den Bedingungsschlüssel kms:ReplicaRegion. Es begrenzt nur diekms:ReplicateKey-Berechtigung. Andernfalls hat es keine Auswirkungen. Beispielsweise ermöglicht die folgende Schlüsselrichtlinie dem Prinzipal, diesen Primärschlüssel zu replizieren, jedoch nur in den angegebenen Regionen.

{
  "Effect": "Allow",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/Administrator"
  },
  "Action": "kms:ReplicateKey",
  "Resource": "*",
  "Condition": {
    "StringEquals": {
      "kms:ReplicaRegion": [
         "us-east-1",
         "eu-west-3",
         "ap-southeast-2"
      ]
    }
  }
}

Aktualisieren der primären Region

Autorisierte Prinzipale können einen Replikatschlüssel in einen Primärschlüssel konvertieren, wodurch der frühere Primärschlüssel in ein Replikat umgewandelt wird. Diese Aktion ist bekannt als Aktualisieren der primären Region. Um die primäre Region zu aktualisieren, benötigt der Prinzipal die kms:-UpdatePrimaryRegionBerechtigung in beiden Regionen. Sie können diese Berechtigungen in einer Schlüsselrichtlinie oder einer IAM-Richtlinie bereitstellen.

Die folgende Schlüsselrichtlinie gibt Benutzern, die die Administratorrolle übernehmen können, die Berechtigung zum Aktualisieren der primären Region des KMS-Schlüssels. Dieser KMS-Schlüssel kann der Primärschlüssel oder ein Replikatschlüssel in dieser Operation sein.

{
  "Effect": "Allow",
  "Resource": "*",
  "Principal": {
    "AWS": "arn:aws:iam::111122223333:role/Administrator"
  },
  "Action": "kms:UpdatePrimaryRegion"
}

Um die einzuschränkenAWS-Regionen, die einen Primärschlüssel hosten kann, verwenden Sie den kms:PrimaryRegion-Bedingungsschlüssel. Mit der folgenden IAM-Richtlinienanweisung können die Prinzipale beispielsweise die primäre Region der multiregionalen Schlüssel im AWS-Konto aktualisieren, jedoch nur, wenn die neue primäre Region eine der angegebenen Regionen ist.

{
  "Effect": "Allow",  
  "Action": "kms:UpdatePrimaryRegion",
  "Resource": {
      "arn:aws:kms:*:111122223333:key/*"
  },
  "Condition": {
    "StringEquals": {
      "kms:PrimaryRegion": [ 
         "us-west-2",
         "sa-east-1",
         "ap-southeast-1"
      ]
    }
  }
}

Verwenden und Verwalten von multiregionalen Schlüsseln

Standardmäßig haben Prinzipale, die über die Berechtigung zum Verwenden und Verwalten von KMS-Schlüsseln in einem AWS-Konto und einer Region haben, auch die Berechtigung, multiregionale Schlüssel zu verwenden und zu verwalten. Sie können jedoch den Bedingungsschlüssel kms:MultiRegion verwenden, um nur einzelregionale Schlüssel oder nur multiregionale Schlüssel zuzulassen. Oder verwenden Sie den kms:MultiRegionKeyType-Bedingungsschlüssel, um nur multiregionale Primärschlüssel oder nur Replikatschlüssel zuzulassen. Beide Bedingungsschlüssel steuern den Zugriff auf die -CreateKeyOperation und auf jede Operation, die einen vorhandenen KMS-Schlüssel verwendet, z. B. Encrypt oder EnableKey.

Beispielsweise verwendet die folgende IAM-Richtlinienanweisung den kms:MultiRegion-Bedingungsschlüssel, um zu verhindern, dass Prinzipale multiregionale Schlüssel verwenden oder verwalten.

{
  "Effect": "Deny",  
  "Action": "kms:*",
  "Resource": "*",
  "Condition": {
    "Bool": "kms:MultiRegion": true
  }
}

In diesem Beispiel verwendet die IAM-Richtlinienanweisung die kms:MultiRegionKeyType-Bedingung, damit Prinzipale das Löschen von Schlüsseln planen und abbrechen können, jedoch nur für multiregionale Replikatschlüssel.

{
  "Effect": "Allow",  
  "Action": [
    "kms:ScheduleKeyDeletion",
    "kms:CancelKeyDeletion"
  ],
  "Resource": {
      "arn:aws:kms:us-west-2:111122223333:key/*"
  },
  "Condition": {
    "StringEquals": "kms:MultiRegionKeyType": "REPLICA"
  }
} 

Autorisieren von AWS KMS zum Synchronisieren der multiregionalen Schlüsseln

Zur Unterstützung von multiregionalen Schlüsseln, verwendet AWS KMS eine serviceverknüpfte IAM-Rolle. Diese Rolle gibt AWS KMS die Berechtigungen, die es zum Synchronisieren von gemeinsam genutzten Eigenschaften benötigt. Sie können das SynchronizeMultiRegionKey CloudTrail Ereignis anzeigen, das Datensätze aufzeichnet, die freigegebene Eigenschaften in Ihren AWS CloudTrail Protokollen AWS KMS synchronisieren.

Über die serviceverknüpfte Rolle für multiregionale Schlüssel

Eine serviceverknüpfte Rolle ist eine IAM-Rolle, die einem AWS-Service die Berechtigung gewährt, in Ihrem Namen andere AWS-Services aufzurufen. Sie soll die Verwendung der Funktionen mehrerer integrierter AWS-Services für Sie vereinfachen, da Sie keine komplexen IAM-Richtlinien erstellen und verwalten müssen.

Bei multiregionalen Schlüsseln AWS KMS erstellt die AWSServiceRoleForKeyManagementServiceMultiRegionKeys serviceverknüpfte Rolle mit der AWSKeyManagementServiceMultiRegionKeysServiceRolePolicy Richtlinie . Diese Richtlinie gibt der Rolle die kms:SynchronizeMultiRegionKey-Berechtigung, die es ermöglicht, die freigegebenen Eigenschaften von multiregionalen Schlüsseln zu synchronisieren.

Da die AWSServiceRoleForKeyManagementServiceMultiRegionKeys serviceverknüpfte Rolle nur vertrautmrk.kms.amazonaws.com, AWS KMS kann nur diese serviceverknüpfte Rolle übernehmen. Diese Rolle ist auf die Vorgänge beschränkt, die AWS KMS benötigt, um freigegebene multiregionale Eigenschaften zu synchronisieren. AWS KMS werden keine weiteren Berechtigungen erteilt. Zum Beispiel hat AWS KMS nicht die Berechtigung zum Erstellen, Replizieren oder Löschen von KMS-Schlüsseln.

Weitere Informationen darüber, wie AWS-Services serviceverknüpften Rollen verwenden, finden Sie unter Verwenden von serviceverknüpften Rollen im IAM-Benutzerhandbuch.

Erstellen der serviceverknüpften Rolle

AWS KMS erstellt automatisch die AWSServiceRoleForKeyManagementServiceMultiRegionKeys serviceverknüpfte Rolle in Ihrem , AWS-Konto wenn Sie einen multiregionalen Schlüssel erstellen, sofern die Rolle noch nicht vorhanden ist. Sie können diese serviceverknüpfte Rolle nicht direkt erstellen oder direkt neu erstellen.

Bearbeiten der Beschreibung der serviceverknüpften Rolle

Sie können den Rollennamen oder die Richtlinienanweisungen in der AWSServiceRoleForKeyManagementServiceMultiRegionKeys serviceverknüpften Rolle nicht bearbeiten, aber Sie können die Rollenbeschreibung bearbeiten. Anweisungen finden Sie unter Bearbeiten einer serviceverknüpften Rolle im IAM-Benutzerhandbuch.

Löschen der serviceverknüpften Rolle

AWS KMS löscht die AWSServiceRoleForKeyManagementServiceMultiRegionKeys serviceverknüpfte Rolle nicht aus Ihrem AWS-Konto und Sie können sie nicht löschen. übernimmt jedoch AWS KMS die AWSServiceRoleForKeyManagementServiceMultiRegionKeys Rolle und verwendet keine ihrer Berechtigungen, es sei denn, Sie haben multiregionale Schlüssel in Ihrem AWS-Konto und Ihrer Region.