Implementación de permisos de privilegio mínimo

Los administradores del almacén de claves son responsables de crear y administrar el almacén de claves y las claves de sucursal que conserva y protege. Los administradores del almacén de claves deben ser los únicos usuarios con permisos de escritura en la tabla de Amazon DynamoDB que sirve como almacén de claves. Deben ser los únicos usuarios con acceso a operaciones de administrador privilegiadas, como CreateKeyy. VersionKey Solo puede realizar estas operaciones si configura estáticamente las acciones del almacén de claves.

CreateKeyes una operación privilegiada que puede añadir una nueva KMS clave ARN a la lista de almacenes de claves permitidos. Esta KMS clave puede crear nuevas claves de rama activas. Recomendamos limitar el acceso a esta operación porque una vez que se agrega una KMS clave al almacén de claves de la rama, no se puede eliminar.

En la mayoría de los casos de uso, el usuario del almacén de claves solo interactúa con el almacén de claves a través del anillo de claves jerárquico mientras cifra, descifra, firma y verifica los datos. Como resultado, solo necesitan permisos de lectura para la tabla de Amazon DynamoDB que sirve como almacén de claves. Los usuarios del almacén de claves solo deberían necesitar acceder a las operaciones de uso que posibilitan las operaciones criptográficas, comoGetActiveBranchKey, yGetBranchKeyVersion. GetBeaconKey No necesitan permisos para crear o administrar las claves de sucursal que utilizan.

Puedes realizar operaciones de uso cuando las acciones de tu almacén de claves estén configuradas de forma estática o cuando estén configuradas para su detección. No puede realizar operaciones de administrador (niVersionKey) cuando CreateKey las acciones del almacén de claves están configuradas para su descubrimiento.

Si el administrador del almacén de claves de la sucursal ha incluido varias KMS claves en el almacén de claves de la sucursal, recomendamos que los usuarios del almacén de claves configuren las acciones del almacén de claves para su detección, de modo que su conjunto de claves jerárquico pueda utilizar varias claves. KMS